Aujourd’hui l’ubiquité, la connectivité de nombreux systèmes électroniques avec lesquels nous interagissons constamment et l’accès permanent à internet, ont favorisé l’apparition de nouvelles menaces, sans que cela mette en danger les hackers qui, au travers d’interfaces anonymes, ont l’illusion de l’impunité.

 

Pour les États-Unis la menace de guerre informatique par des terroristes et des États-voyous est grandissante. Des mouvements djihadistes recrutent des ingénieurs en informatique et des hackers pour lancer des cyberattaques sur divers réseaux afin de perturber le quotidien des entreprises, des administrations et des armées. Les USA les comparent d’ailleurs à des bombardements militaires visant à paralyser les systèmes informatiques et de communications adverses.

​

En France, en 2010, ce sont 7 000 sites internet qui ont été victimes d’attaques ou de sabotages, notamment celui du ministère des Finances. La même année, la société de sécurité informatique, VirusBlokAda, établie en Biélorussie, a révélé l’existence d’un ver informatique, Stuxnet, qui avait attaqué les centrifugeuses d’enrichissement d’uranium de centrales nucléaires iraniennes. Ce programme faisait partie de l’opération Olympic Games, développée par les USA et Israël.

​

En 2013, des étudiants texans ont pris le contrôle d’un yacht en pleine mer, en détournant les signaux GPS et sans déclencher d’alarme. S’agissant d’une démonstration scientifique, le propriétaire du White Rose avait autorisé leur hébergement à bord du navire.

​

En 2014, la Corée du Nord a été, d’après le FBI, à l’origine du piratage massif des données de Sony Pictures, après la présentation de The Interview, comédie satirique sur un complot fictif de la CIA pour assassiner le leader nord-coréen Kim Jong-un. La firme a renoncé à sortir le film en salle prévu pour Noël 2014. Cette année, Yahoo a reconnu avoir été piraté de son fichier informatique qui contenait 500 millions de comptes, dont une partie aurait été vendue en bitcoins en 2012.

​

En 2015, TV5 Monde, chaîne de télévision française, a été l’objet d’une violente attaque informatique revendiquée par le groupe CyberCaliphate. Il s’agirait de hackers membres d’un groupe de mercenaires, « Je suis IS » (Islamic State), qui n’apprécient pas les reportages de guerre de la chaîne en Afghanistan et en Irak. La même année, l’Union interparlementaire anglaise, relayée par l’Initiative pour le désarmement nucléaire (IDN), ainsi que Paul Quilès, ancien ministre de la Défense de Mitterrand, dénonçaient les risques de prise de contrôle de missiles nucléaires après leurs tirs.

​

En 2016, le centre médical presbytérien d’Hollywood a été contraint de payer une rançon à des pirates informatiques pour qu’ils restituent des mots de passe changés afin de relancer le réseau d’ordinateurs de l’hôpital bloqué depuis plus d’une semaine. Il y a surtout eu l’affaire des Panama Papers, gigantesque fuite de plus de 11,5 millions de documents confidentiels piratés au cabinet d’avocats panaméen, Moussack Fonseca. Ces données concernent plus de 214 000 sociétés offshores ainsi que les noms de leurs actionnaires, dont ceux d’hommes politiques et de célébrités. Le directeur du Consortium of Investigative Journalists considère cette fuite comme « le coup le plus fort jamais porté au monde de la finance offshore. »

​

En 2017,  les mails de la campagne d’Emmanuel Macron ont été piratés par une société russe de sécurité informatique. De très nombreux pays ont été victimes d’un virus qui a bloqué des milliers d’ordinateurs et systèmes informatiques, pour rançonner les propriétaires et sociétés ; rançongiciel WannaCry payable en bitcoins. Cette cyberattaque internationale, « d’un niveau sans précédent » selon Europol, a visé le système de santé national en Grande-Bretagne, FedEx aux États-Unis, le système bancaire Suisse, des universités en Grèce et en Italie, le ministère de l’Intérieur russe, Telefonica en Espagne, Deutsche Bahn en Allemagne, le constructeur Renault, ainsi que les sociétés Equifax et Netflix, Imgur, Uber, etc.

​

En 2010, Julian Assange, dirigeant de Wikileaks, a publié de nombreux documents confidentiels relatifs aux modes opératoires de l’armée américaine en Irak. Ceux-ci provenaient de 25 000 câbles diplomatiques américains piratés par un jeune analyste, Bradley Manning, qui a été condamné à trente-cinq ans de prison pour violation de la loi sur l’espionnage.

​

À partir de 2013, Edward Snowden a rendu public des informations classées « top-secret » par la NSA, détaillant plusieurs programmes de surveillance de masse américains et britanniques. Pour justifier ses révélations, il a indiqué que son seul objectif était d’informer l’opinion publique de ce qui est fait en son nom et contre elle.

​

Ces lanceurs d’alerte, Manning, Assange, Snowden, etc., ont apporté un éclairage nouveau sur les possibilités d’espionnages « tous azimuts » que l’informatique et internet permettent aujourd’hui. Condamnés par les États, mais soutenus par des citoyens du monde entier, ils montrent, au nom d’une transparence absolue, que personne, pays, entreprise ou système (comme un avion), ne peut être à l’abri d’une action de piratage informatique.

​

Concernant les drones, nous avons vu que des piratages ont eu lieu, notamment la capture du drone secret RQ-170 Sentinel de Lockheed Martin par des militaires iraniens qui ont déclaré avoir décodé tous ses systèmes, et aurait créé une réplique.

​

De son côté, l’aviation civile a été victime (et le sera encore) de messages radio fallacieux émis sur des fréquences VHF du contrôle aérien, émanant de faux contrôleurs. Habituellement la tonalité et la forme du message envoyé aux pilotes ne sonnent pas justes (vocabulaire, expressions) et/ou ne correspondent pas à la réalité du vol. Ces imposteurs qui utilisent des fréquences aéronautiques protégées en termes d’utilisation manquent de professionnalisme, et les pilotes sont en principe prévenus de ce genre de menaces. En revanche, un message piraté transmis par le système de communication ACARS de l’avion, comme un changement de route ou de niveau de vol, sera plus difficile à démasquer.

​

En 2014 une étude de la compagnie d’assurance Allianz indiquait que le risque de cyberattaques sur des vols commerciaux augmentera dans les prochaines années. Hugo Teso, expert en sécurité informatique chez n.runs AG et ancien pilote professionnel, considère que le transport aérien ne prend pas suffisamment au sérieux les menaces de piratage de données de vol d’un avion de ligne. Il aurait d’ailleurs réussi à pirater un Boeing 737, en 2013, à l’aide d’une application Androïd (PlaneSploit) installée sur le téléphone d’un des passagers.

​

Teso pointe du doigt l’absence de sécurité (cryptage efficace) des moyens de communications comme l’ACARS et l’ADS-B. De même que Matthias Hollick et Felix Von Chmielewski, de l’université de Darmstadt en Allemagne, qui travaillent sur les possibilités de cyberattaques via ces systèmes, pensent pouvoir créer des avions fictifs qui apparaîtraient sur les écrans des contrôleurs aériens et des pilotes, mettant en conflit deux appareils, l’un fictif et l’autre réel qui réagirait grâce à son système d’anti-abordage (TCAS).

 

Selon Bruno Fontaine, consultant en systèmes informatiques, le piratage peut toucher les avions à trois niveaux :

• les moyens de communication avec le risque de paralyser l’appareil par manque d’instruction du contrôle aérien ou d’instructions erronées, augmentant les risques de collision en vol, ou par le brouillage du réseau de communications ;

• les systèmes en charge du pilotage et de la navigation. Marco Wolf, consultant d’Escript, une société allemande de cybersécurité, et co-auteur d’un article en 2015 sur les risques de cyberattaques en aviation, a repris la faisabilité d’un détournement d’avion présenté par Hugo Teso en utilisant les messages de l’ADS-B pour le localiser et ensuite utiliser l’ACARS comme voie d’entrée pour manipuler directement le pilote automatique ou le plan de vol via le système de navigation ;

• les systèmes embarqués. Aujourd’hui, un avion est équipé d’un grand nombre de calculateurs et de logiciels interconnectés, dont la plupart sont critiques pour la sécurité, comme les commandes de vol, le pilote automatique, le système de navigation.

 

Si une organisation terroriste introduisait un virus se déclenchant à date et heure précise et infectait un système impactant les commandes de vol électriques de l’un des appareils les plus utilisés comme les A320, A330, A350, B777 et B787, elle pourrait provoquer une catastrophe à grande échelle.

 

Le scénario d’une cyberattaque contre un ou plusieurs avions n’est pas à écarter. Par exemple, d’après Bruno Fontaine, en obtenant les protocoles de communication et leur codage (normes aéronautiques), puis par la complicité d’un développeur de logiciel d’un des systèmes en y infiltrant un code malicieux ou un ver, de préférence dans un sous-système – moins surveillé qu’un système vital –, l’essentiel étant de pénétrer le réseau de l’avion. Ensuite de le pirater en prenant le contrôle d’un bus informatique qui pourra rendre impuissantes certaines servitudes ou en manipulant des systèmes connectés, d’envoyer de fausses informations sur l’état de l’avion, etc.

 

Cas du MH370

 

Les pilotes sont particulièrement dubitatifs concernant la disparition du Boeing 777-200 de la Malaysia Airlines, le 8 mars 2014, qui reste à ce jour totalement mystérieuse.

​

Il est intéressant de noter que, parmi les différents scénarios de détournements évoqués, l’hypothèse d’une prise de contrôle à distance, ou par des passagers à bord à l’aide d’un logiciel, n’a pas été évoquée. Celle qui prévaut actuellement serait un détournement « physique » par des passagers ou les pilotes. En effet, il y a eu interruption des communications : VHF, transpondeur, ACARS et ADS, puis prise de contrôle de la navigation, par un changement de route suivant les frontières de plusieurs pays et par le blocage à un cap sud-sud-ouest.

​

Toutefois le scénario d’un piratage informatique reste crédible. Le pilote automatique peut être indépendant des commandes de vol des pilotes, qui sont reliées aux manches et palonniers par des calculateurs.

​

Sur B777, les seules actions mécaniques pouvant encore être utilisées par les pilotes sont celles du trim manuel de secours qui attaque directement, par câbles métalliques, le plan horizontal de profondeur, ce qui pourrait expliquer des changements d’altitude relevés par les pings des moteurs envoyés au motoriste Rolls-Royce. Ainsi que l’action du manche sur les 2 seuls spoilers mécaniques (4 et 11) pour assurer en secours une mise en virage. Mais que peuvent 2 spoilers mécaniques contre 12 autres électroniques et 2 flaperons asservis aux ordres d’un pilote automatique piraté ?

​

Évidemment, cela n’est qu’une supposition, et nous ne connaîtrons la réalité des faits que lorsque les enregistreurs de vol (les boîtes noires) auront été récupérés et analysés.

​

Pour prévenir ces nouvelles menaces, les systèmes de l’avion doivent êtres résilients à toute intrusion et surveillés par un dispositif externe travaillant avec un sourcing différencié autonome et non corruptible… De leur côté les pilotes devront être en mesure d’isoler les logiciels corrompus et d’en utiliser d’autres en secours et indépendants.

​

S’ils n’ont pas les compétences pour gérer de tels dysfonctionnements, ils peuvent par leur présence à bord diagnostiquer le comportement anormal d’un système qui pourrait être invisible par un observateur au sol.

​

Des procédures devront être programmées au simulateur afin de préparer les pilotes à ces situations qui, de toute façon et quel que soit le discours rassurant des concepteurs, se produiront un jour.

 

Il est urgent de mieux protéger les logiciels des systèmes embarqués pour les rendre plus robustes contre des attaques informatiques et d’avoir des communications cryptées de qualité comme pour les smartphones. L’avion sans pilote sera plus vulnérable que celui avec.