Les cyberattaques contre le monde du secteur privé et public ont augmenté de 15% selon l'Agence nationale de la sécurité des systèmes d'information (ANSII). Parallèlement, en France, la loi sur la sécurité des transports est en discussion au Sénat. Un secteur est particulièrement visé : celui du trafic maritime.

Le problème de la sécurité informatique, c'est qu'on en parle beaucoup sans trop savoir de quoi il s'agit. Dans son dernier rapport, le cabinet britannique CyberOwl estime qu'un armateur sur six comprend ce qu'est un navire cybersécurisé à la livraison. Les navires sont chargés soit de passagers, soit de matières stratégiques (produits dangereux, marchandises précieuses, combustibles…), donc avec un haut niveau de responsabilité. Sans bouclier efficace, ce sont des proies fragiles.

Stéphane Fronczak, ancien chef de la cellule nationale de sécurité maritime, explique tous les dommages causés par les cyberattaques. Cela va du naufrage à distance au vol de données ou au brouillage des circulations maritimes : « L'un des dommages les plus courants est de rendre un navire invisible. Les autres paquebots ne l'ont pas sur leurs écrans de navigation. Vous imaginez les risques de collision. D'autres peuvent prendre le contrôle à distance en vue d'un échouage ou d'une fausse route. À bord d'un navire, il est primordial que le capitaine et son officier cyber – quand il y en a un – ne soient pas les seuls concernés. »

« Ne jamais payer la rançon »

« Aujourd'hui, s'équiper de logiciels et d'outils boucliers coûte très cher, poursuit Stéphane Fronczak. Toutes les entreprises navales ne peuvent pas se permettre de tels coûts. Il faut donc que la sécurité cyber implique tout l'équipage. Chaque personne embarquée doit surveiller ses propres ordinateurs et téléphones, mais aussi ses connexions aux outils partagés. Et malheureusement, quand une attaque arrive, la première règle : ne jamais payer la rançon. Vous n'êtes jamais sûr de retrouver toutes vos données. Contactez les autorités. Si vous êtes français, consultez le site de l'ANSII. »

À bord, tous les appareils sont connectés. Il faut donc maintenir de bonnes habitudes, des gestes et des règles simples. C'est ce que l'on appelle l'« hygiène informatique » : apprendre à bien gérer les outils et leurs connexions à bord. Pour Yrieix Denis, spécialiste du piratage informatique, un autre pare-feu a prouvé son efficacité : cela consiste à améliorer la vigilance de tous les sous-traitants. Équipementiers, entrepôts, chantiers navals... en gros, tous les maillons de la chaîne :

« Il est grand temps de changer les habitudes. Il faut désormais, dès l'élaboration et la construction du navire, installer le risque cyber. Tous les sous-traitants, petites et moyennes entreprises, les fournisseurs d'équipements, les vendeurs de logiciels d'ordinateurs embarqués, voire les équipes de la maintenance et de l'entretien... Pourquoi ? Parce que les attaquants tentent de rentrer par toutes les portes possibles. L'industrie du crime est organisée autour de ce principe. En 2023, la seule attaque d'un fournisseur d'outils maritimes s'est répercutée sur 70 de ses clients. Au final, 1 000 navires ont été touchés. »

Un risque à ne surtout pas négliger

L'Union européenne prend le risque au sérieux. Des règles existent en matière de normes de logiciels embarqués sécurisés. Mais les experts s'accordent pour dire que le risque cyber en mer n'est pas assez pris au sérieux. La directive européenne NIS2 (Network and Information Security) du Journal officiel de l'Union européenne date de 2022. C'est maintenant à chaque État de promulguer les nouvelles versions de cette directive. La France, à la suite de la dissolution de l'Assemblée, reste en attente.

Dans son étude, le cabinet CyberOwl estime qu'en 2024, une flotte typique de 30 navires subit environ sept cyberattaques par mois. Si la majorité n'aboutit pas à une paralysie ou à une demande de rançon, cela demande deux mois pour traiter l'accident. Ces agressions coûteraient près de 182 000 dollars par an.

Preuve que le gouvernement français, pour sa part, prend le risque au sérieux : le 18 septembre prochain, des pirates vont paralyser les ports, les entrepôts et toutes les infrastructures du pays. Rassurez-vous, ce sera pour de faux. En revanche, les réflexes et les précautions à prendre, eux, seront bien réels. Cet exercice de simulation est ouvert à toutes les organisations. Il porte le nom de REMPAR25.

À lire ou à écouter aussiInsécurité maritime dans le golfe de Guinée : quels défis ?