Aéroports paralysés: «Les pirates étaient encore dans le réseau»
Une fois de plus, l’industrie aéronautique européenne a dû constater, ce week-end, à quel point la numérisation la rend vulnérable.
Depuis 2010, l’Union européenne (UE) cherche à mieux protéger le transport aérien, classé comme infrastructure critique, contre les attaques de cybercriminels. Ces efforts ont subi un sérieux revers ces derniers jours: plusieurs aéroports en Europe ont été durement touchés par une attaque informatique.
Les cyberpirates ont lancé leur offensive contre les systèmes d’enregistrement vendredi soir. Tout au long du week-end, les perturbations ont entraîné de nombreux retards et même l’annulation de vols réguliers.
Lundi matin, l'Agence de l'Union européenne pour la cybersécurité (AESRI) a confirmé qu’il s’agissait bien des conséquences d’une attaque.
D’après un mémo interne cité par la BBC, plus d’un millier d’ordinateurs de l’aéroport de Londres Heathrow pourraient avoir été «endommagés». La remise en service nécessiterait dans la plupart des cas une intervention manuelle, impossible à distance.
Le même document évoque aussi la situation du fournisseur américain Collins Aerospace, dont les systèmes ont été reconstruits et redémarrés, «pour découvrir ensuite que les pirates étaient toujours présents dans le réseau».
Comment cela s'est-il produit?
Ce type d’opération correspond à une «supply chain attack»: les pirates ne ciblent pas directement leur proie, mais passent par un prestataire de logiciels ou de services. Ils exploitent une faille chez ce tiers pour s’infiltrer et, grâce à la complexité des interconnexions, provoquer un maximum de dégâts.
Dans ce cas précis, la perturbation massive a été causée par un logiciel méconnu du grand public, mais essentiel au fonctionnement des aéroports modernes: Muse. Il est utilisé pour l’enregistrement des passagers.
Un modèle vanté pour ses économies de coûts et ses gains d’efficacité, mais qui, comme le souligne l’International Business Times, met les aéroports dans une situation de vulnérabilité.
Lorsque Muse a cessé de fonctionner, plusieurs compagnies en Europe se sont en effet retrouvées incapables de traiter leurs passagers électroniquement.
Pour les voyageurs, au-delà des désagréments immédiats, l’incident a mis en lumière l’arrière-scène du transport aérien: le comptoir d’enregistrement est en réalité le rouage visible d’un immense système connecté, dont une panne peut se répercuter à l’échelle continentale en quelques minutes.
Ce rappel évoque le «plantage informatique mondial» de l’an dernier, qui a paralysé des vols aux Etats-Unis. Mais à l’époque, il ne s’agissait pas d’un piratage: la panne provenait d’une mise à jour défectueuse du logiciel de sécurité CrowdStrike.
La directive NIS-2
Depuis octobre 2024, de nouvelles règles de cybersécurité s’imposent en Europe aux compagnies aériennes, exploitants d’aéroports et organismes de contrôle aérien.
La directive NIS-2, adoptée par l’UE, exige des acteurs de l’aviation civile une gestion fiable de la sécurité: plans d’urgence détaillés, mises à jour régulières, tests fréquents, mots de passe robustes et authentifications multiples, ainsi que des règles strictes pour les prestataires.
Elle vise à renforcer la résilience des infrastructures critiques, dont fait partie le transport aérien. Ses dispositions concernent aussi la Suisse, car elles englobent explicitement les chaînes d’approvisionnement et les entreprises partenaires.
A noter que cette nouvelle directive prévoit de lourdes sanctions en cas de manquement, qui peuvent viser non seulement les entreprises, mais aussi leurs dirigeants.
Les leçons à tirer
Pour la société britannique de conseil Cyber Management Alliance (CMA), cette attaque a révélé plusieurs faiblesses structurelles du secteur:
- «Dépendance excessive aux prestataires»: la défaillance d’un seul fournisseur a affecté toute l’industrie.
- «Sécurité et confiance des passagers mises à mal»: retards, désagréments et atteinte à l’image persistent même après la remise en service.
- «Résilience et redondance sont nécessaires»: les solutions de secours manuelles doivent rester disponibles, faute de quoi la dépendance au numérique conduit inévitablement à de nouvelles crises.
Les effets d’un «malware» dépassent la simple paralysie temporaire. Si les pirates ont pu circuler discrètement dans les systèmes, ils pourraient aussi avoir volé des données et exiger ensuite une rançon en menaçant de les diffuser.
Le chercheur lituanien en cybersécurité Mantas Sabeckis résume la situation dans une déclaration transmise à watson:
La vraie protection ne réside pas uniquement dans le blindage des ordinateurs internes et des pare-feux. Elle exige une surveillance constante de toute la chaîne d’approvisionnement.»
Reste à voir si les enquêtes en cours déboucheront sur des conséquences juridiques ou réglementaires pour les acteurs de l'aviation concernés.
Adapté de l'allemand par Tanja Maeder