En s’attaquant à un logiciel commun de gestion des passagers, les cybercriminels ont paralysé fin septembre une partie du trafic aérien. Un incident qui révèle les risques d’une dépendance accrue aux prestataires informatiques.
Des milliers de vols annulés ou retardés. La cyberattaque qui a affecté plusieurs aéroports européens (dont Londres-Heathrow, Berlin-Brandenbourg, Bruxelles et Dublin) fin septembre a rappelé les menaces qui pèsent sur le secteur aérien. Spectaculaire par son ampleur, l’incident n’est en effet pas un cas isolé. Au printemps, un rapport publié par Thales faisait état d’une progression préoccupante des attaques contre les aéroports
Comme souvent, les pirates informatiques n’ont pas directement ciblé les systèmes hautement protégés mis en place par les aéroports. Ils ont visé un logiciel conçu par un fournisseur, en l’occurrence le système commun de traitement des passagers Muse du groupe américain Collins Aerospace.
Attaque au ransomware
Ce système gère plusieurs fonctions primordiales dans les aéroports: l’enregistrement des passagers, la dépose des bagages, le passage de la sécurité et l’embarquement. L’attaque a touché l’enregistrement, contraignant de le faire manuellement, ce qui a considérablement ralenti le processus.
Selon l’Agence européenne pour la cybersécurité (Enisa), l’incident a été provoqué par une attaque au ransomware (rançongiciel). Celle-ci n’a pas été revendiquée, mais la police britannique a indiqué avoir interpellé un homme soupçonné d’avoir participé à l’opération. Pour le moment, aucune donnée potentiellement volée sur des passagers ne s’est retrouvée en vente sur les forums spécialisés.
L’incident souligne une nouvelle fois la fragilité des systèmes informatiques reposant sur des fournisseurs externes, notamment pour réduire les coûts. Ce risque est d’autant plus grand que ces solutions sont fournies par un cercle restreint d’éditeurs de logiciels, ce qui peut permettre aux assaillants de démultiplier l’impact de leurs offensives. La plateforme Muse est par exemple utilisée par environ 170 aéroports dans le monde.
Directive européenne
En août, Air France a aussi été victime de ce type d’attaques indirectes. La compagnie aérienne française a fait les frais d’une faille de sécurité sur la plateforme de relation client de Salesforce. Des données de ses clients ont ainsi été subtilisées: les noms et prénoms, les coordonnées de contact, les numéros et le statut du programme de fidélité Flying Blue. Les semaines précédentes, d’autres compagnies avaient été touchées, dont l’australienne Qantas.
Pour les aéroports, les solutions pour se prémunir de ce genre d’attaques sont limitées. L’objectif doit surtout être de contenir une éventuelle intrusion. Soit en déployant rapidement des systèmes d’enregistrement ou d’embarquement redondants, capables de prendre le relais des systèmes habituellement utilisés. Soit en préparant des protocoles pour basculer le plus vite possible sur des opérations manuelles.
L’ensemble du secteur va cependant devoir renforcer ses efforts afin de respecter NIS 2, une nouvelle directive en matière de cybersécurité qui doit bientôt être transposée dans le droit français. Le texte impose des plans d’urgence détaillés, des mises à jour régulières ou encore des tests fréquents pour opérateurs d’importance vitale (OIV), dont font partie les aéroports. Des obligations qui s’appliquent aussi à leurs prestataires.
