Cybersécurité maritime et portuaire.

Depuis le début de l’année, plus d’une trentaine de cibles françaises du secteur maritime ont été revendiquées par NoName057(16), un groupe hacktiviste prorusse (j’avais décrit son action contre un port roumain) qui mène des attaques par déni de service distribué (DDoS, Distributed Denial of Service) avec l’outil DDoSia. Quatre datent de mai et de juin, une quinzaine en juillet et autant en octobre.

Je ne nomme pas les organisations pour une raison simple : une revendication est une intention d’attaque, pas un constat de panne… et citer, à part faire du name and shame systématique, c’est une manière de faire de certains, assez rarement la mienne.

Le 12 octobre 2026, entre 13 h 53 et 14 h 16 UTC, le site de fuite d’un groupe cybercriminel récent, se faisant appeler n0n, a listé 38 organisations [1] [2]. Chaque fiche porte la mention « non payé » et \1 Ces listes reposent sur la seule revendication du groupe, qu'aucune victime n'a confirmée à ma connaissance. Parmi ces 38 organisations citées, 34 appartiennent au transport maritime, aux ports et aux terminaux.

Au 14 octobre 2026, mon jeu de données d’incidentologie cyber maritime compte d’ores et déjà 1 365 incidents pour l’année 2026. L’année 2025 entière en compte 1 352. À la même date, en 2025, nous en étions à 1 036, soit un écart de 32 %.

Pourtant, le premier semestre s’annonçait assez comparable à 2025. De janvier à juin 2026, 616 évènements pouvaient être relevés, pour 649 sur la même période en 2025. Le retournement a lieu en juillet. De juillet à septembre 2026, le jeu de données enregistre 653 évènements, dont… 261 pour le seul mois d’août contre 112 l’année dernière (ah… pauvres RSSI qui n’ont jamais de vacances).

Le 12 octobre 2026 (après de nombreuses alertes, relais presse et j’en passe), le CERT-FR a publié, à froid, une alerte sur de « nombreuses compromissions » de contrôleurs à distance d’installations de réfrigération. Elle visait d’abord des Danfoss AK-SC et AK-SM, et une mise à jour du 13 octobre y a ajouté des contrôleurs Copeland xweb et des Dixell xweb [1]. Les attaques datent de la nuit du 11 au 12 octobre (les attaques la nuit, et le w.e., c’est bien la forme la plus nuisible). L’alerte désigne - ô surprise - des interfaces d’administration exposées directement sur Internet. L’alerte du CERT-FR demande (ce que l’ANSSI recommande depuis des années) de retirer l’exposition, de n’accéder aux équipements que par un VPN (Virtual Private Network, réseau privé virtuel) ou un réseau protégé, de mettre à jour les équipements (bon, souvent en fin de vie…) et de changer les mots de passe par défaut.

Récemment, un chercheur écrivait de moi, derrière le paywall d’un article scientifique, sans m’avoir consulté ni proposé un droit de réponse, que lorsque je m’exprimais, c’était pour évoquer la résilience du secteur maritime et soutenir que des attaques y sont impossibles. Pour quelqu’un qui travaille sur le sujet depuis plus de 25 ans, qui a créé ce blog en 2017 (quand la cyber maritime était encore un non-sujet), qui a constitué la première base mondiale d’incidents de cybersécurité maritime il y a plus de cinq ans, et qui en décrit une partie ici, je pense que vous trouverez cela aussi cocasse que moi.

À ces chercheurs, si vous avez un minimum d’éthique et de considération, laissez-moi seulement la liberté de ne pas vouloir souffler sur les braises lorsqu’un incident survient et d’éviter dans ces cas-là, par modestie ou par éthique, de recourir systématiquement au « je vous l’avais dit » ou au « si vous avez besoin de moi, je suis là ».

Un méthanier chargé de gaz naturel liquéfié (GNL) américain est toujours à la recherche de solutions pour sa cargaison, un mois après avoir quitté la Louisiane. Il a renoncé au terminal de l’Adriatique, puis à Barcelone, et fait maintenant route vers Gibraltar. Son équipage a signalé début septembre une perte d’accès à des systèmes du bord. C’est le troisième navire en un mois dont l’équipage soupçonne une cyberattaque. Les garde-côtes italiens décrivent une panne dont la cause n’a pas pu être déterminée. Trois publications successives, de plus en plus précises, parlent d’une cyberattaque, et aucune ne vient d’une partie ayant accès au navire.