Cybersécurité maritime : déjouer les faux agents et faux conseillers
Le message arrive un vendredi en fin d'après-midi, alors que le navire est attendu à quai le lundi. L'agent portuaire, ou du moins quelqu'un qui en a toutes les apparences, explique que son compte bancaire est temporairement bloqué pour cause d'audit annuel et communique de nouvelles coordonnées pour régler la provision d'escale. L'adresse e-mail ne diffère de la vraie que d'une lettre. Le virement part, et ce n'est que quelques jours plus tard, lorsque le véritable agent relance pour un compte d'escale impayé, que l'armement comprend.
Ce scénario n'a rien d'une fiction : c'est, presque mot pour mot, la fraude au détournement de fonds contre laquelle l'assureur ITIC met en garde ses membres. Il illustre une réalité que les armements de taille moyenne sous-estiment souvent. La cybersécurité maritime ne se joue pas d'abord sur les systèmes de navigation, mais sur des gestes quotidiens : un virement, un mot de passe, une connexion Wi-Fi au port. Cet article passe en revue les fraudes les plus courantes dans le secteur, puis les règles d'hygiène numérique qui suffisent à en neutraliser l'essentiel.
Ce que recouvre la cybersécurité maritime
La cybersécurité maritime est l'ensemble des mesures qui protègent les navires, les compagnies et les installations portuaires contre les actes malveillants visant leurs systèmes informatiques et leurs données. Elle couvre deux mondes qui se rejoignent de plus en plus : l'informatique de gestion, c'est-à-dire la messagerie, la comptabilité, les documents et les logiciels de flotte, et les systèmes opérationnels du bord, de l'ECDIS aux automatismes machine en passant par les communications satellitaires.
Le sujet n'a plus rien de facultatif. Par sa résolution MSC.428(98), l'Organisation maritime internationale demande que les risques cyber soient traités dans le système de gestion de la sécurité prévu par le Code ISM, au plus tard lors de la première vérification annuelle du document de conformité de la compagnie postérieure au 1er janvier 2021. Les lignes directrices MSC-FAL.1/Circ.3/Rev.2 en précisent la méthode : identifier, protéger, détecter, réagir, rétablir. Un armement qui ne peut pas montrer comment il traite ce risque s'expose donc à une observation lors de son audit ISM.
Une menace d'abord criminelle, et qui progresse
Selon le premier panorama de la cybermenace maritime publié en mai 2023 par France Cyber Maritime, son centre d'alerte M-CERT et la société OWN, près de 90 incidents notables et publics ont touché le secteur maritime et portuaire mondial en 2022, soit une hausse de 21 % sur un an et de 235 % par rapport à 2020. L'Europe y apparaît comme le continent le plus touché.
Le même rapport souligne que la cybercriminalité reste prédominante, devant l'espionnage et l'hacktivisme. Autrement dit, la plupart des attaquants ne cherchent pas à prendre le contrôle d'un navire : ils cherchent de l'argent, et la voie la plus courte passe par la messagerie. Encore ces chiffres ne recensent-ils que les incidents rendus publics. Les tentatives déjouées ou passées sous silence, nombreuses dans les petites structures, n'y figurent pas.
Faux agent, faux fournisseur, faux conseiller : trois scénarios à connaître
Les fraudes qui visent le maritime reposent rarement sur une prouesse technique. Elles exploitent l'urgence d'une escale, la multiplicité des interlocuteurs et la confiance accordée à une voix ou à un logo familiers.
Le faux agent ou le faux fournisseur. Un message annonce un changement de coordonnées bancaires, pour une provision d'escale, une livraison de soutes ou une facture de chantier. C'est la déclinaison maritime de la fraude au changement de RIB, que les spécialistes appellent compromission de messagerie, ou BEC (Business Email Compromise).
Le faux conseiller. Un appel, un SMS ou un message WhatsApp se réclame du support d'un éditeur de logiciel, d'une banque ou d'une administration, et demande un mot de passe ou un code reçu par SMS « pour sécuriser le compte ». Certains fraudeurs font même saisir l'identifiant sur le clavier du téléphone, face à un faux serveur vocal.
Le faux document. Une pièce jointe présentée comme un certificat, une liste d'équipage ou un ordre de réparation renvoie en réalité vers une page de connexion piégée, qui capte les identifiants de la messagerie et ouvre la porte aux deux premiers scénarios.
Ces trois scénarios ont un point commun : ils contournent les protections techniques en s'adressant directement à une personne, souvent pressée, parfois en mer avec une connexion intermittente qui empêche de vérifier quoi que ce soit.
Aucun interlocuteur légitime, qu'il s'agisse d'un agent, d'une banque, d'un pavillon ou d'un éditeur de logiciel, ne vous demandera votre mot de passe ou un code de validation par téléphone, par SMS ou par WhatsApp.
Chez BoatOn, la règle s'applique sans exception : nos équipes ne vous demanderont jamais vos identifiants BoatOn Book, ni à l'oral, ni par écrit. Si quelqu'un le fait en notre nom, raccrochez et contactez-nous par le canal habituel.
Les règles d'hygiène numérique qui font la différence
L'hygiène numérique désigne l'ensemble des réflexes quotidiens qui réduisent l'exposition d'une organisation aux attaques. Elle ne remplace pas une politique de sécurité formalisée, mais elle en constitue la première ligne de défense, et elle ne coûte presque rien.
À terre, au service armement et à la comptabilité
Vérification par un second canal. Toute modification de coordonnées bancaires se confirme par un appel au numéro déjà connu du fournisseur, jamais à celui qui figure dans le message. C'est la recommandation centrale de l'ITIC.
Double validation des paiements. Au-delà d'un seuil défini, un virement exige deux signataires. La mesure paraît lourde ; elle est pourtant la seule qui résiste à un fraudeur ayant déjà pris le contrôle d'une boîte mail.
Double authentification. Elle s'active sur la messagerie, la banque et les logiciels de flotte, partout où elle est proposée. Un mot de passe volé ne suffit alors plus à ouvrir le compte.
À bord et en escale
Mots de passe uniques. Un mot de passe par service, conservé dans un gestionnaire, plutôt qu'un code commun au navire inscrit sur un post-it près de la console.
Comptes nominatifs. Chaque officier se connecte avec son propre compte, ce qui permet de retirer un accès lors d'une relève sans changer les codes de tout l'équipage.
Réseaux séparés. Le Wi-Fi de l'équipage et celui des invités ne partagent jamais le réseau qui dessert les systèmes du bord. Les réseaux publics des marinas et des terminaux se traitent, eux, comme non fiables.
Supports amovibles contrôlés. Une clé USB apportée par un prestataire se vérifie avant d'être branchée sur un poste de passerelle ou de machine.
Mises à jour suivies. Celles des postes et des logiciels s'appliquent dès que l'exploitation le permet, et leur date se consigne comme n'importe quelle intervention.
Faire entrer le risque cyber dans l'exploitation courante
Reste que ces règles ne valent que si elles sont tenues dans la durée, et c'est précisément là que les petites flottes décrochent. Les mots de passe circulent par e-mail lors des relèves, les certificats voyagent en pièces jointes d'une boîte à l'autre, les comptes partagés survivent au départ de ceux qui les utilisaient. Chaque document envoyé par messagerie est une occasion de plus, pour un fraudeur, de glisser un faux dans le flux.
Centraliser l'information réduit mécaniquement cette surface d'attaque. Dans le BoatOn Book, les certificats et documents du navire sont rassemblés dans le module Documents au lieu d'être échangés par e-mail, la maintenance et l'équipage sont suivis dans la même GMAO maritime, et chaque utilisateur accède à l'outil avec son propre compte. Le livre de bord électronique obéit à la même logique : une trace unique et horodatée, qui ne dépend d'aucune pièce jointe. L'enjeu grandit d'ailleurs avec la flotte, comme nous l'avions montré à propos du passage à dix navires.
Pour les armements qui doivent encore intégrer le risque cyber à leur système de gestion de la sécurité, l'ISM Checker donne un premier état des lieux, et BoatOn Consulting accompagne les démarches ISM et ISPS. Les obligations de sûreté physique, contrôle des accès et registres compris, sont détaillées dans notre article sur le Code ISPS.
Une vigilance qui tient en quelques gestes
La plupart des fraudes qui frappent le maritime n'exigent aucune compétence technique particulière ; elles exploitent un moment d'inattention. Trois réflexes suffisent à en déjouer l'essentiel : vérifier par un second canal tout changement de coordonnées bancaires, activer la double authentification et ne jamais communiquer un mot de passe ou un code, quel que soit l'interlocuteur. Le reste relève de la discipline d'exploitation, au même titre que la maintenance préventive ou le suivi des heures de repos. Ce n'est pas la procédure qui protège un armement, c'est son application, jour après jour.
Photos d'illustration : Sergii et Tom Fisk sur Pexels, licence libre. Elles ne montrent aucun navire ni aucune escale en particulier.
