Rapport cyber 2026 de Marlink : que disent les données de terrain (ou plutôt de l'espace !) ?

Marlink a publié le 15 avril 2026 trois rapports de renseignement sur la menace cyber [1], fondés sur l’activité 2025 de ses centres opérationnels de sécurité (Security Operations Center, SOC) ainsi que sur plus de 200 évaluations de sécurité. Le fournisseur de connectivité satellitaire dispose d’un point d’observation rare : la télémétrie directe des navires en exploitation. Ces documents contiennent donc des données de terrain originales à analyser pour nous qui nous situons généralement de l’autre coté (enfin, souvent), c’est-à-dire à attendre que l’attaquant communique et, globalement, à veiller les mêmes sources.

Cet article est aussi disponible en anglais.

Le rapport complet et ses deux déclinaisons

Le rapport « Cyber intelligence report for remote operations » (38 pages) est le document de référence. Les rapports consacrés spécifiquement au maritime (26 pages) et à l’énergie, l’entreprise et les infrastructures critiques (20 pages) en sont des extraits repris presque mot pour mot. Les trois se téléchargent contre un formulaire et une adresse de courriel sur le site de l’éditeur [2]. La déclinaison maritime circule aussi en accès libre, puisque le site de Hellenic Shipping News l’a publié en accès libre [3], et que Marlink a mis en ligne le 16 septembre 2026 une synthèse de six pages [4].

La déclinaison maritime ajoute une section sur la connectivité en orbite basse (constellations type LEO (Low Earth Orbit)) et une présentation plus détaillée d’une étude de cas. Elle omet en revanche la plupart des chiffres transverses : exposition IT/OT, identifiants exposés, statistiques de hameçonnage, tactiques observées par le SOC, volumes de rançongiciels. IT et OT désignent ici l’informatique de gestion (Information Technology) et celle qui pilote les systèmes industriels ou de bord (Operational Technology). Donc si vous vous en tenez exclusivement au rapport maritime, vous risquez de passer à côté des données les plus intéressantes. Sauf mention contraire, les chiffres cités ici renvoient donc au rapport complet.

La méthodologie de Marlink décrit ses sources : supervision SOC, plus de 200 évaluations dont 160 tests techniques et exercices type red team, investigations d’incidents, campagnes de hameçonnage simulées et analyse de la menace. Le rapport précise honnêtement que ses résultats sont des tendances indicatives, « indicative patterns derived from observed environments rather than exhaustive measurements of global cyber activity » (rapport maritime, p. 25). Il ne donne aucun volume, ni de navires supervisés, ni d’alertes, ni d’incidents confirmés, et tous les résultats sont ainsi exprimés en pourcentages. La même page promet des citations pour les chiffres externes, « Where external research findings or third-party statistics are referenced, they are clearly cited in the report to ensure transparency and proper attribution ». Aucun des trois documents ne comporte la moindre référence, et plusieurs chiffres examinés plus bas en pâtissent.

Des constats attendus…

Ces pourcentages servent une thèse centrale qui ne surprendra personne : les incidents sont de plus en plus centrés sur l’identité et la persistance. L’accès initial passe par des identifiants compromis, le hameçonnage ou le détournement d’accès légitimes, y compris ceux des tiers. Vient ensuite une activité discrète, qui s’appuie sur les outils d’administration déjà présents (LOTL, living off the land). Le rapport en conclut que la priorité se déplace de la prévention vers la détection précoce et le confinement (vous aussi, vous penserez peut-être au Zero Trust).

Le constat est connu, mais il est cohérent et les recommandations sont concrètes. Le rapport émet quelques recommandations, parmi lesquelles :

• de supprimer les identifiants partagés à l’échelle de la flotte (dont beaucoup sont, d’ailleurs, sur le segment satellite),

• d’imposer l’authentification multifacteur sur les accès distants,

• de centraliser l’approbation et la supervision des accès fournisseurs,

• de cloisonner le réseau équipage, les systèmes de gestion et les domaines opérationnels,

• d’intégrer aux exercices la perte de la navigation et des communications.

La section consacrée aux idées reçues est assez bien construite : l’isolation physique (air gap) rarement réelle en pratique, l’assurance qui ne remplace pas la résilience, et le fameux argument « trop petit pour être ciblé ».

Sur le plan réglementaire, le rapport s’appuie sur la Final Rule de l’US Coast Guard sur la cybersécurité du Maritime Transportation System (MTS) [5]. Publiée le 17 janvier 2025 et en vigueur depuis le 16 juillet 2025 pour les navires sous pavillon américain et les installations soumises au MTSA (Maritime Transportation Security Act), elle échelonne ses obligations jusqu’au plan de cybersécurité attendu au 16 juillet 2027. La consultation ouverte sur un report de deux à cinq ans pour les seuls navires n’a pas eu de suite publiée à la date de rédaction, et les instructions de juin 2026 sur l’évaluation, commentées ici, s’inscrivent dans le calendrier initial.

Le rapport mentionne aussi les obligations découlant de NIS 2 pour les entités maritimes et portuaires concernées. On rappellera que la fameuse directive [6] exclut les navires exploités par les compagnies qu’elle couvre : ceux-ci relèvent du cadre de l’OMI, de l’État du pavillon et… des sociétés de classification. En France, le projet de loi de transposition adopté par le Sénat en mars 2025 n’était toujours pas inscrit en séance publique à l’Assemblée nationale à la mi-septembre 2026 [7]. Les textes de référence sont rassemblés sur la page de liens de ce site.

Quant à elles, les exigences IACS UR E26 et E27 [8], les Unified Requirements de l’International Association of Classification Societies, s’appliquent aux navires contractés à partir du 1er juillet 2024. Or, en raison de l’engorgement des chantiers, une bonne partie des navires livrés en 2025 et 2026 ont été commandés avant cette date. Les flottes resteront donc hétérogènes pendant encore de longues années. Le rapport pointe aussi la tendance des armateurs à considérer que la cybersécurité est prise en charge par les équipementiers et les intégrateurs, alors que l’engagement de ces derniers porte sur le fonctionnement des systèmes (rapport maritime, p. 13). Le risque global reste à la charge de l’armateur (qui en sera ravi). Les clauses cyber des contrats de construction restent vagues, et la compétence cyber appliquée à l’OT embarquée fait souvent défaut chez les armateurs, gestionnaires et affréteurs (et les équipementiers, rajouterons-nous). Bon, en résumé, on n’est pas encore tout à fait prêt pour le CRA (Cyber Resilience Act) :-)

Le rapport range enfin le secteur de l’assurance parmi les régulateurs parallèles, avec une hausse des primes d’environ 34 % sur un an (rapport maritime, p. 9). Il ne dit pas d’où vient ce chiffre, et les indicateurs de marché disponibles vont dans l’autre sens pour les tarifs. Fitch Ratings [9] relève pour 2025 une hausse de près de 11 % des primes cyber émises aux États-Unis, portée par une progression d’environ 34 % du nombre de polices en vigueur, avec des tarifs stables ou en baisse. L’indice de marché de Marsh [10] mesure de son côté un recul de 7 % des tarifs cyber au quatrième trimestre 2025, dans toutes les régions du monde. L’élargissement des exclusions pour les attaques attribuées à des États et pour les systèmes non corrigés, que le rapport mentionne dans la même phrase, est en revanche cohérent avec l’évolution des clauses du marché de l’assurance depuis 2023.

Les audits, la partie solide

Ces constats de gouvernance sortent des audits de Marlink, d’où viennent aussi les chiffres les plus utiles du rapport (p. 9 du rapport complet). Environ 60 % des sites évalués en 2025 reposaient sur une infrastructure partagée entre IT et OT, plus de 70 % présentaient des connexions non documentées ou mal sécurisées vers l’IT ou l’extérieur, et 30 à 40 % des actifs OT étaient initialement inconnus ou non documentés. Moins de 25 % des organisations avaient désigné un responsable de la sécurité OT, et plus de la moitié utilisaient des solutions d’accès distant de tiers sans supervision centralisée. Avec cependant une réserve importante : les sites évalués sont ceux d’organisations qui ont commandé une évaluation, ce qui n’en fait donc pas un échantillon représentatif. Les ordres de grandeur restent cependant parlants.

Sinon, la surveillance de la surface d’attaque externe fait ressortir 69 % de risques liés à des identifiants exposés ou compromis, contre 12 % liés à des vulnérabilités (p. 12). Sur les 160 tests techniques, 33 % des constats d’infrastructure sont de sévérité critique ou élevée, et 45 % des constats sur les applications web sont de sévérité élevée (p. 14). Les exercices de type red team aboutissent de façon récurrente à une compromission complète du domaine, obtenue en enchaînant des faiblesses modérées. OK, pourquoi pas. Ça dépend probablement de qui est « en face » ;-)

Le SOC voit… ce qu’il supervise

Le rapport classe ce que voit son SOC dans le référentiel MITRE ATT&CK (Adversarial Tactics, Techniques and Common Knowledge), devenu la « langue commune » de nombreuses équipes de détection. Une tactique y désigne l’objectif d’une étape de l’intrusion : découvrir l’environnement, s’y maintenir, récupérer des identifiants, exécuter du code. Une technique désigne le procédé employé pour y parvenir. Un SOC qui étiquette chaque alerte de cette façon peut dire à quel moment de la chaîne d’attaque il surprend le plus souvent l’adversaire, et où il ne voit rien. La même grille sert à comparer d’une année sur l’autre, à condition que la couverture de détection n’ait pas bougé entre-temps.

Chez Marlink, les tactiques les plus fréquentes en 2025 sont Discovery (20 %), Persistence (17 %) et Credential Access (15 %) : l’attaquant, une fois entré, cartographie, s’installe et cherche des identifiants. Au niveau des techniques dominent System Owner/User Discovery (18 %), OS Credential Dumping (7 %) et Command and Scripting Interpreter (7 %). En clair : l’identification de l’utilisateur et de la machine sur lesquels on est tombé, l’extraction des secrets d’authentification conservés par le système, et l’usage de l’interpréteur de commandes déjà présent. La tactique Execution, autrefois en tête, recule au cinquième rang. Les événements liés aux processus représentent 60 % de l’activité observée dans les environnements entreprise et énergie (rapport énergie, p. 11). Le SOC surprend donc surtout l’adversaire déjà à l’intérieur, en train de s’orienter, et rarement au moment où il entre.

Le rapport y voit un changement de comportement des attaquants, « a structural change in attacker behaviour » (rapport énergie, p. 11). Or la même page décrit, chez Marlink, « the transition from perimeter-centric detection toward internal behavioural monitoring », présentée comme une amélioration du niveau de maturité de la défense. Une distribution de tactiques mesure d’abord ce que le SOC sait détecter. La technique System Owner/User Discovery, en tête avec 18 %, est légitimement très présente dans l’administration quotidienne et génère généralement beaucoup de faux positifs. De même, le rapport lit dans la concentration des alertes aux heures ouvrées une volonté des attaquants de se fondre dans l’activité normale (p. 14), alors qu’un tel pic peut tout aussi bien suivre celle des utilisateurs. Rien dans le rapport ne permet de départager les deux lectures.

Le rapport maritime (p. 14) resserre ensuite la focale sur ce que le SOC voit des navires. Les alertes s’y concentrent à 82 % sur le réseau équipage et à 17 % sur le support réseau ; les zones bureautique, LAN (Local Area Network), administration et OT/ICS (Industrial Control Systems, les automates et systèmes de contrôle) pèsent chacune moins de 1 % (ouch !). La supervision maritime de Marlink porte donc essentiellement sur l’accès internet du bord. Le rapport le reconnaît d’ailleurs en toutes lettres : « Low detection rates in these environments should not be interpreted as low risk, but rather as an indication of monitoring constraints and architectural complexity » (rapport maritime, p. 5). Un faible taux de détection y traduit des contraintes de supervision (cela me rappelle mes travaux de thèse). Les conclusions du rapport sur l’OT embarquée viennent donc surtout des audits plutôt que du SOC.

La même page répartit les investigations et incidents confirmés du SOC en trois parts : 41 % pour le transport maritime, 41 % pour la grande plaisance et 18 % pour la croisière. La grande plaisance pèserait donc autant, dans l’activité de réponse de Marlink, que l’ensemble du transport maritime. Ce poids reflète vraisemblablement une caractéristique spécifique du portefeuille des clients de l’opérateur : en effet, on notera que le logo d’OmniAccess, marque du groupe dédiée aux yachts depuis son rachat en 2018 [11], figure en pied de page du rapport complet. Rien ne permet d’y lire la sinistralité du secteur, ni le nombre d’incidents que cachent ces pourcentages, puisque le rapport ne donne aucun volume. L’offshore, qui bénéficie pourtant d’une section qualitative, semble ainsi absente de cette répartition (et n’en est pas moins exposée).

Dans ces alertes, le rapport ne relève aucune contamination à grande échelle due à un logiciel malveillant sur la période : les intrusions reposent sur des identifiants valides, des accès mal configurés et des déplacements latéraux discrets. Les détections d’accès initial sont moins fréquentes que les alertes de milieu ou de fin de chaîne, ce qui suggère des intrusions repérées après l’installation de l’attaquant. Le rapport indique enfin que 92 % des groupes suivis par son équipe de renseignement ne relèvent pas de la catégorie des menaces persistantes avancées (Advanced Persistent Threat, APT) (p. 12), autrement dit, pour l’essentiel, de la cybercriminalité. Pour un armateur, la menace probable ressemble donc à ce qui frappe n’importe quelle entreprise connectée.

Deux études de cas maritimes complètent le tableau (rapport maritime, p. 18) :

• la première concerne une évaluation de conformité à la règle de l’US Coast Guard pour un opérateur de navires sous pavillon américain : 17 constats répartis dans 8 catégories, 16 exigences applicables, une maturité évaluée à 2,1 sur 5 ;

• la seconde concerne un yacht : un membre d’équipage revient de relève avec un appareil personnel compromis, qui se connecte au WiFi de bord et propage un logiciel malveillant à d’autres systèmes. L’incident n’a été détecté qu’après la propagation.

Le cas du yacht illustre ce que la section sur l’orbite basse, propre au rapport maritime (p. 16), développe avec pertinence. Avec les constellations en orbite basse, le débit disponible à bord monte, la latence tombe d’une demi-seconde à quelques dizaines de millisecondes, et la liaison devient permanente : le navire n’est plus isolé de fait. L’équipage y gagne un usage d’internet comparable à celui de la maison, appareils personnels compris, et chaque usage supplémentaire ouvre un chemin de plus vers les systèmes de bord. La même liaison permet aussi une supervision continue, à condition que la gouvernance, le cloisonnement et la surveillance suivent¹.

Hameçonnage : un agrégat et deux cas qui ne se recoupent pas

Côté hameçonnage simulé, environ 20 % des destinataires ont cliqué (c’est pas beaucoup, généralement, une première fois, sur un exercice réaliste, moi je vois plutôt 80 %), 11 % de ceux qui ont cliqué ont saisi leurs identifiants (soit environ 2 % des destinataires), et seuls 11 % des destinataires ont signalé le message (p. 11). La plupart des divulgations surviennent dans l’heure qui suit la réception, ce qui laisse très peu de marge de réaction. Les attaquants s’appuient sur des services légitimes comme SharePoint, DocuSign, PayPal ou Zoom pour héberger leurs contenus.

Cet agrégat ne se recoupe pas avec les cas détaillés. Le rapport énergie (p. 12) en présente deux, un industriel de plus de 600 salariés soumis à trois campagnes, et un opérateur d’infrastructure critique du secteur de l’énergie de moins de 100 personnes soumis à quatre campagnes, chez qui le signalement recule au fil des envois. Leurs graphiques donnent, en agrégé, 9 % de clics, 3 % de divulgation et 28 % de signalement pour le premier, et 19 %, 10 % et 30 % pour le second. Si la divulgation est rapportée aux destinataires, un tiers des cliqueurs ont saisi leurs identifiants dans le premier cas, et plus de la moitié dans le second. On est loin des 11 % annoncés globalement. Les taux de signalement (28 à 30 %) sont aussi bien supérieurs aux 11 % de l’agrégat. Soit les bases de calcul diffèrent, soit l’agrégat est dominé par d’autres campagnes. Le rapport ne le précise pas.

Rançongiciels : un décompte plausible dont la source manque

Le rapport indique (p. 12) une hausse de 5 740 attaques en 2024 à 7 793 en 2025, « based on leak-site reporting », sans nommer la source. Son graphique des groupes les plus actifs place Qilin en tête avec 1 024 victimes, devant Akira (723), Clop (510), Play (390) et SafePay (373). Ces valeurs sont cohérentes avec celles des principaux observatoires, qui divergent d’ailleurs sensiblement entre eux.

Le classement de Comparitech, publié en janvier 2026, donne les cinq mêmes groupes dans le même ordre, avec des valeurs proches (Qilin 1 034, Akira 765, Clop 454, Play 393, SafePay 374), ce qui suggère une lecture des mêmes sites de divulgation à quelques semaines d’écart.

Le rapport ne s’accorde pas, en revanche, avec son propre communiqué. Celui du 15 avril 2026 [1] annonce des rançongiciels « detected across Marlink-monitored environments rising from 5,740 in 2024 to 7,793 in 2025 », soit des incidents détectés chez les clients supervisés. Le rapport, lui, rapporte ces mêmes chiffres aux sites de divulgation des groupes de rançongiciel, c’est-à-dire au décompte mondial des victimes publiées. Aucun SOC ne voit 7 793 rançongiciels par an chez ses seuls clients. La version du rapport est la bonne, et la synthèse de septembre parle d’ailleurs d’attaques « reported ».

Le rapport, pourtant décliné pour le maritime, ne propose aucune ventilation maritime des rançongiciels. Mon propre jeu de données de recherche sur les incidents cyber maritimes, constitué pendant mes travaux de doctorat et entretenu depuis avec mes propres moyens, en donne une. Son filtre retient les organisations dont l’activité relève de l’écosystème maritime, des armateurs aux équipementiers en passant par les ports, la logistique portuaire et l’offshore. Pour 2025, il compte 299 incidents de rançongiciel contre ces organisations, soit un peu moins de 4 % des victimes publiées dans le monde, dont 86 chez des équipementiers et industriels, 58 chez des logisticiens, 38 chez des armateurs et 32 dans des ports. Les cinq premiers groupes sont Qilin (51), Play (40), Cl0p (37), Akira (27) et SafePay (15). Ce sont exactement les cinq de Marlink, dans un ordre différent : Play et Cl0p passent devant Akira, et Cl0p doit son rang à deux vagues, en début et en fin d’année, typiques de ses campagnes d’exploitation massive d’une seule vulnérabilité. Le maritime suit donc la hiérarchie mondiale de 2025, et les groupes qui y frappent le plus sont ceux qui frappent le plus partout. J’ai détaillé ailleurs ce que cette base dit de l’année écoulée.

Leurrage GNSS : des chiffres sans source et une mer Rouge absente

Le rapport maritime (p. 11) avance deux chiffres sur le leurrage GNSS (Global Navigation Satellite System, dont le GPS est le représentant le plus connu) : une hausse d’environ 340 % des incidents en 2025, et 88 % des navires qui reposeraient principalement sur le GPS. Le rapport complet les reprend (p. 19), et la presse spécialisée les a déjà attribués à Marlink. Je n’ai trouvé aucune source pour le premier, ni chez Marlink, ni chez les observatoires habituels. Les indicateurs publics existent mais mesurent autre chose. Windward, par exemple, compte plus de 13 000 navires touchés par du brouillage au deuxième trimestre 2025, puis 11 600 au troisième, soit une hausse de 510 % par rapport au premier trimestre [15]. Ces métriques comptent des navires par trimestre, quand Marlink compte des « incidents » sur une année, sans les définir (incidents déclarés ? navires affectés ?), ni les dater, ni les sourcer. Marlink a pourtant publié le 25 mars 2026 un communiqué sur une hausse de plus de 50 % des interférences GNSS constatées chez ses clients au cours du seul mois de mars [16]. Ce chiffre-là est daté et rattaché à une base de clients. Il ne recoupe pas les 340 %.

Même silence sur l’origine du second. Un chiffre voisin circule depuis des années : le centre européen de services GNSS écrit qu’environ 87 % de la flotte marchande utilise les systèmes de navigation par satellite, en renvoyant à l’étude de marché de l’agence européenne [17], et un billet du CICR le reprenait déjà en 2017 [18]. Au-delà de la source, la formulation confond GPS et GNSS. Elle n’apporte pas grand-chose non plus : la quasi-totalité des navires utilise le GNSS comme référence de position principale.

Quant aux zones de leurrage citées, figurent la Baltique, le golfe Persique et la mer de Chine méridionale. Ni la mer Rouge, ni la Méditerranée orientale, ni la mer Noire n’apparaissent. Pourtant, Marlink avait communiqué à l’été 2025 sur une hausse spectaculaire des demandes d’assistance. Son président maritime expliquait à Splash247 [19] qu’en juillet 2024 le support recevait un appel toutes les deux semaines pour un GPS indisponible, et qu’à la mi-juillet 2025 plus de 150 navires avaient signalé le problème en une seule journée. Cette donnée propriétaire, datée et parlante ne figure pas dans le rapport. J’ai déjà décrit ce qu’une interférence GNSS fait à un bord au-delà de la position. Un fournisseur qui reçoit les appels des équipages détient sur ce sujet une matière que personne d’autre n’a.

Bilan

On peut reprendre les données d’audit sur la convergence IT/OT, le rapport 69/12 entre identifiants exposés et vulnérabilités, la sévérité des constats de tests techniques et la rapidité des divulgations d’identifiants lors du hameçonnage. Valent aussi le détour le phasage des exigences E26 et E27, le constat sur la dépendance aux équipementiers, l’analyse de l’orbite basse et les recommandations. Les répartitions issues du SOC se lisent avec le portefeuille de clients en tête et une visibilité quasi nulle sur l’OT, les agrégats de hameçonnage avec les écarts relevés plus haut, et les 340 %, 88 % et 34 % attendront qu’une source soit produite.

Marlink occupe un point d’observation privilégié, et le rapport ne l’exploite qu’en partie. Des volumes absolus, une ventilation maritime des rançongiciels, l’exploitation de ses propres données d’assistance GNSS et des références pour les chiffres externes en feraient un document de référence. Reste la nature du document : les recommandations de validation indépendante, d’exercices red team et d’évaluation de conformité recoupent l’offre de services du groupe. C’est de bonne guerre pour un prestataire, et en tant que lecteurs attentifs vous le garderez bien sûr à l’esprit. Bonnes lectures ;-)

Droit de réponse

Marlink, comme toute organisation citée dans cet article, dispose d’un droit de réponse. Toute demande reçue via la page de contact sera publiée intégralement et sans commentaire à la suite de cet article, sous quelques jours.

Image d’en-tête : haut de page du rapport « Cyber intelligence report for maritime 2026 ». Source : Marlink, reproduit au titre du droit de citation.

Sources

• [1] Marlink, Marlink report reveals evolving cyber risk driven by user credentials and human error, communiqué du 15 avril 2026
• [2] Marlink, page de téléchargement des rapports Cyber intelligence report for remote operations 2026, Cyber intelligence report for maritime 2026 et Cyber intelligence report for energy, enterprise & critical infrastructure 2026
• [3] Hellenic Shipping News, copie en accès libre du rapport maritime (avril 2026)
• [4] Marlink, Cyber intelligence report, executive summary 2026 (16 septembre 2026)
• [5] US Coast Guard, Final Rule: Cybersecurity in the Marine Transportation System, Implementation Timeline
• [6] Directive (UE) 2022/2555 dite NIS 2
• [7] Assemblée nationale, dossier législatif du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité
• [8] IACS, Unified Requirement E26, Cyber resilience of ships
• [9] Fitch Ratings, US Cyber Insurance Growth Raises Underwriting Risk (15 avril 2026)
• [10] Marsh, Global commercial insurance rates fall 4% in Q4 2025 (4 février 2026)
• [11] The Maritime Executive, OmniAccess Becomes Part of Marlink Group (2018)
• [12] Comparitech, Worldwide ransomware roundup: 2025 end-of-year report (13 janvier 2026)
• [13] Searchlight Cyber, Ransomware Groups Claimed Record Number of Victims in 2025 with 30% Annual Increase (17 février 2026)
• [14] Check Point, Ransomware Attack, What is it and How Does it Work?
• [15] Windward, GPS Jamming Is Now a Mainstream Maritime Threat (23 octobre 2025)
• [16] Marlink, Marlink reports 50% surge in satellite jamming and spoofing as geopolitical tensions impact global shipping (25 mars 2026)
• [17] European GNSS Service Centre, Expanding Opportunities for Maritime use of GNSS
• [18] CICR, blog Law & Policy, Combating ‘cyber fatigue’ in the maritime domain (7 décembre 2017)
• [19] Splash247, Ship crews reach out for support as Red Sea GPS spoofing climbs to danger levels (22 juillet 2025)