Le transport aérien fait comme d'autres secteurs l'objet de cyber-menaces, mais celles-ci ne concernent pas directement les avions en vol. En revanche, l'écosystème de l'aérien, des aéroports aux compagnies aériennes en passant par les sous-traitants, doit impérativement maintenir un très haut niveau de vigilance pour parer aux risques, ont rapporté les intervenants de la table ronde « Avions commerciaux : comment faire face aux cybermenaces ? », tenue lors du Paris Air Forum organisé par La Tribune.

Lire aussiGuerres hybrides : des menaces souterraines qui se généralisent

Un monde prêt à s'ouvrir

« Aucun système avion qui joue sur la sécurité aérienne n'est connecté au monde ouvert de l'internet », explique Yannick Assouan, directrice générale adjointe, avionique de Thales. Dans le cockpit, « on reçoit des informations en particulier météo en temps réel sur des objets (des tablettes, ndlr) qui ne sont pas connectés aux systèmes qui agissent sur la sécurité aérienne de l'avion. »

« Aujourd'hui, l'aviation civile est extrêmement sûre ». En revanche, poursuit-elle, « demain, si on veut optimiser les actions, par exemple faire une optimisation en temps réel des trajectoires, on aura besoin de liens sécurisés. »

Des acteurs comme l'Organisation de l'aviation civile internationale (OACI), l'Agence européenne pour la sécurité aérienne (EASA) ou son homologue américaine, la Federal Aviation Administration (FAA) travaillent avec les industriels sur des standards de certification de systèmes ouverts de gestion de vol cybersécurisés pour les prochaines générations d'avion. L'objectif est d'optimiser les opérations aériennes, la gestion du vol et des trajectoires ou encore la maintenance. « On prépare l'avènement de cette connectivité beaucoup plus poussée, mais il sera cybersécurisé » avec énormément de technologies éprouvées, souligne Yannick Assouad.

Lire aussiClimat : pourquoi la décarbonation de l'aérien ne va pas assez vite

La faiblesse du GPS

Sans possibilité de pénétrer à distance dans les systèmes de contrôle et de gestion du vol, « le seul risque, c'est le GPS », grâce auquel l'avion connaît sa position exacte, indique Vincent Gilles, commandant de bord et membre du bureau exécutif du Syndicat national des pilotes de ligne SNPL France ALPA.

Elles sont de deux ordres, le « jamming », qui consiste à envoyer un bruit sur la fréquence qui fait que tous les récepteurs ne reçoivent plus le signal GPS, et le « spoofing », qui revient à envoyer un faux signal GPS.

Dans le premier cas, « vous avez une panne GPS », décrit Vincent Gilles. Dans le second, « il y a une usurpation du signal GPS. C'est sournois, ça ne se voit pas, vous dérivez lentement mais vous ne vous en rendez compte ».« Heureusement, il n'y a quasiment pas de cas identifiés de spoofing », rapporte-t-il.

De fait, il est beaucoup plus difficile à mettre en œuvre, explique Jean-Claude Nanche, responsable sûreté avions d'Airbus, notamment quand un avion vole à 800 km/h. « Il faut que l'antenne capte toujours ce signal là, mais c'est à la portée de certaines catégories de personnes ». Selon lui, ce type de leurre est récent et se trouve essentiellement à proximité des zones de conflit.

Des solutions existent, comme l'« anti-jamming », présent sur tous les vecteurs militaires et qui consiste à contrer les interférences, souligne Yannick Assouad. D'autres solutions sont en cours de développement, comme la navigation inertielle basée sur la force de Coriolis.

Enfin, les systèmes basés sur des technologies quantiques permettront un positionnement très précis sans recourir au GPS. « On travaille sur tous ces systèmes qui finiront par avoir effectivement une précision qui sera en fait bien meilleure que le GPS », indique-t-elle.

Lire aussiCyberattaque: plus gros coup de filet « jamais réalisé » par Europol contre des logiciels malveillants

La menaces des rançongiciels

Dans un secteur aussi vaste que l'aérien, les menaces sont différentes en fonction des acteurs, reprend Marion Buchet, directrice du Cert Aviation (Computer Emergency Response Team), un organisme soutenu par l'Etat et les grands industriels face à la menace cyber et en réponse aux incidents de sécurité informatique dans l'aviation.

« Ce qui m'inquiète, ce n'est pas l'attaque cyber d'un avion » mais « des ransomware (rançongiciel, ndlr) dans des aéroports qui vont paralyser le trafic, des sites internet qui tombent ou des sous-traitants qui ne peuvent plus approvisionner leurs donneurs d'ordre », met-elle en garde. « C'est quelque chose qu'on vit tous les jours. »

Ces menaces cyber sont un moyen de pression « relativement asymétrique » qui, avec des moyens relativement faibles, parviennent « à des interruptions d'opérations, des conséquences économiques fortes », selon Jean-Claude Nanche.

Elles sont le fait de trois types d'acteurs avec une « gradation » en fonction de leur profil, décrit-il. Cela va des « challengers », qui cherchent des défis et représentent une menace relativement faible, au cybercrime, qui disposent de moyens beaucoup plus conséquents dans l'objectif de faire du profit.

« La troisième catégorie, c'est ce qu'on appelle l'activisme, en gros les menaces étatiques », avec des moyens parfois quasi illimités, souligne Jean-Claude Nanche.

Or, souligne Marion Buchet, l'environnement est « extrêmement hétérogène, avec des TPE hyper matures en matière de cyber » tandis que d'autres ne prennent pas des précautions élémentaires. Avec des conséquences parfois lourdes : « L'attaque cyber perturbe les opérations, mais il y a toute la reconstruction du système qui coûte extrêmement cher. »