Cybercriminalité et transport maritime

L’ émission Secrets d’info(1) du 6 décembre en début de soirée a joué les lanceurs d’alerte en rappelant le film catastrophe de 1997, Speed-2 Cruise Control. Un psychopathe prend le contrôle d’un paquebot en « s’introduisant » dans les systèmes informatiques et le dirige sur un pétrolier. « Fin des années 1990, tout cela était de la science-fiction. Aujourd’hui, c’est complètement réalisable », estime Patrick Hébard, titulaire de la chaire de cyberdéfense des systèmes navals de l’École navale. D’autant plus facilement que tous les systèmes à bord d’un navire de commerce sont interconnectés, ajoute-t-il. Une simple clé USB suffit à pénétrer dans le système. « Au début c’était un jeu. Aujourd’hui, c’est une véritable menace, et même une véritable guerre avec une organisation qui rappelle les réseaux terroristes », ajoute Michel Agostini, directeur systèmes de mission intégrés à la DCNS.

Il faut distinguer deux types d’intrusion dans les systèmes informatiques des navires: l’espionnage commercial et le sabotage du navire, explique le contre-amiral Dominique Riban, d.g. adjoint de l’Agence nationale de la sécurité des systèmes d’information (ANSSI). Dans le premier cas, il s’agit de « pomper » les informations du manifeste cargaison ainsi qu’éventuellement les taux de fret applicables. L’idée étant d’aller démarcher le client.

Les professionnels du transport maritime conteneurisé savent que grâce aux services d’interface entre les systèmes informatiques des chargeurs et ceux des transporteurs proposés par des entreprises citoyennes américaines, il est probable que des agences fédérales américaines aient déjà accès à bon nombre de ces informations, surtout pour des flux ne concernant pas les États-Unis. Il y a une trentaine d’années, les manifestes papier s’achetaient dans certains ports. Curieusement, le contre-amiral Riban mentionne l’usage malveillant des émissions de l’AIS par les pirates somaliens. Or un simple récepteur de quelques centaines d’euros suffit à capter librement le signal AIS.

Patrick Hébart imagine, lui, la prise de contrôle malveillante de la passerelle d’un porte-conteneurs de 20 000 EVP, d’une valeur comprise entre 2 Md$ et 4 Md$. « Tous les systèmes informatique présents à bord sont potentiellement attaquables avec des conséquences gravissimes. Les automates industriels, les fameux Scada, peuvent potentiellement être soumis à des attaques informatiques.(2) »

Les animateurs de Secrets d’info rappellent qu’il y a deux ans, des étudiants ingénieurs avaient, en accord avec le propriétaire d’un yacht, trafiqué à distance les données reçues par le GPS, introduisant ainsi des fausses informations utilisées par le pilote automatique.

Il y a quelques années, poursuit Patrick Hébard, un « gros » cargo perd sa propulsion en pleine mer. Après analyse, il apparaît que c’est une équipe d’entretien à distance de la machine qui s’est trompée d’adresse internet et qui a donc arrêté le mauvais navire en lieu et place de celui qui était à quai.

Informatique portuaire piratée

Autre exemple, on a découvert récemment que le système de gestion du port d’Anvers était en partie contrôlé par les pirates « hollandais » qui s’en servaient pour prendre réception de certains conteneurs chargés de drogue avant que la douane ne les inspecte.

Le contre-amiral Arnaud Coustillière, chargé de la cyber-défense au ministère de la Défense, évoque deux autres menaces. La prise en otage du navire à distance permettrait de soutirer de l’argent à son armateur s’il veut éviter que son navire soit neutralisé durant un certain temps. On imagine bien la scène durant un transit dans le Pas-de-Calais ou dans le canal de Suez. Arnaud Coustillière rappelle qu’en novembre 2011, un rapport de l’Agence européenne pour la sécurité des systèmes d’information et leurs réseaux (Enisa) a clairement souligné la grande vulnérabilité des cartes de navigation électroniques. Ces dernières pouvant être effacées ou altérées.

Pour lutter contre les intrusions illicites dans les systèmes informatiques embarqués ou non, une succession de pare-feu n’est plus suffisante, estime Michel Agostini. Il faut passer à la « protection dynamique », c’est-à-dire à l’analyse des flux entrants et sortants par des spécialistes basés à terre. En effet, pour les navires de commerce comme pour les bâtiments de guerre, il est difficilement imaginable que ces personnels soient embarqués. Ils pourraient être formés en Bretagne. En effet, fin octobre a été annoncée la création de la chaire de cyberdéfense des systèmes navals au sein de l’École navale. Elle est coordonnée par DCNS, en partenariat avec Thales et l’école d’ingénieurs Télécoms Bretagne avec le soutien de la Région.

Secrets d’info n’a pas eu l’opportunité de rappeler que pour éradiquer l’erreur humaine, quelques grands faiseurs internationaux ne rêvent que de drones de charge, pilotés ou autonomes; histoire de rassurer les États côtiers.