Juillet/Août 2023

En mai, SAS Norwegian Airlines a subi une faille de cybersécurité au cours de laquelle les attaquants auraient exigé une rançon de 175 000 dollars pour permettre au transporteur de rétablir l'intégralité de ses opérations. Les cyberattaques contre les principaux aéroports américains deviennent de plus en plus courantes, les aéroports internationaux de Los Angeles et d'Orlando étant touchés en 2022.

L’écosystème de l’aviation est vulnérable aux cyberattaques et les régulateurs s’efforcent d’élaborer des normes et des règles obligeant les compagnies aériennes et les aéroports à renforcer leurs protections.

La Transportation Security Administration (TSA) des États-Unis a déclaré en mars qu’elle prenait « des mesures d’urgence en raison des menaces persistantes en matière de cybersécurité contre… le secteur de l’aviation ». Il a promulgué un nouvel amendement d’urgence lié à la « résilience à la cybersécurité » pour les compagnies aériennes et les aéroports.

"Je pense qu'il y a beaucoup de travail formidable en cours - j'y participe moi-même - dans la rédaction de normes", a déclaré à Avionics International Bill Bryant, chercheur technique chez Modern Technology Solutions (MTSI), spécialisé dans les solutions de cybersécurité aéronautique. . « Tout cela est merveilleux. Mais on ne peut pas en attendre trop. Nous ne pouvons pas nous attendre à pouvoir un jour rédiger une norme complètement parfaite qui rendra les avions et les compagnies aériennes inattaquables. Car quelle que soit l’approche que nous adopterons, les attaquants reviendront et emprunteront une autre voie. Cela ne signifie pas arrêter [d'élaborer des normes et des réglementations]. Cela signifie simplement que vous n'avez jamais fini. Parce que lorsqu’une solution comble un trou, les attaquants vont essayer d’en créer un autre.

La TSA a ordonné aux compagnies aériennes et aux aéroports de « développer des politiques et des contrôles de segmentation du réseau pour garantir que les systèmes technologiques opérationnels peuvent continuer à fonctionner en toute sécurité dans le cas où un système informatique serait compromis ». Selon la TSA, les compagnies aériennes et les aéroports doivent élaborer un plan de cybersécurité créant « des mesures de contrôle d’accès pour sécuriser et empêcher l’accès non autorisé aux cybersystèmes critiques ».

En outre, la TSA a demandé aux compagnies aériennes et aux aéroports de mettre en œuvre « des politiques et des procédures de surveillance et de détection continues pour se défendre, détecter et répondre aux menaces et anomalies de cybersécurité qui affectent les opérations critiques des cybersystèmes ».

Les compagnies aériennes et les aéroports doivent également « réduire le risque d’exploitation de systèmes non corrigés grâce à l’application de correctifs de sécurité et de mises à jour pour les systèmes d’exploitation, les applications, les pilotes et les micrologiciels sur les cybersystèmes critiques en temps opportun en utilisant une méthodologie basée sur les risques », selon à la TSA.

Bryant a déclaré que les attaques de cybersécurité contre l'aviation sont de plus en plus fréquentes, y compris un certain nombre d'attaques spécifiques contre les compagnies aériennes et les aéroports qui relèvent du domaine plus large des attaques de ransomwares.

"Il y a une assez grande vague d'attaques de ransomware où des acteurs malveillants pénètrent dans un système et volent les données pour eux-mêmes, puis chiffrent les données sur les disques ou dans le système de stockage", a-t-il déclaré. « Ils essaieront d’accéder aux sauvegardes du mieux qu’ils peuvent. Et puis demandez une rançon.

« Il semble qu'environ une fois par semaine, on rapporte qu'une compagnie aérienne particulière est victime d'un de ces types d'attaques », a-t-il ajouté. « Les compagnies aériennes disposent de nombreux systèmes informatiques traditionnels : systèmes de billetterie, systèmes logistiques et systèmes de maintenance. Les attaquants aiment s’en prendre aux organisations qui ont de réelles difficultés à dire non. Donc, si vous êtes une compagnie aérienne et que vous perdez votre système de billetterie, combien de temps pouvez-vous rester en panne ? Et la réponse n’est probablement pas longue. Il y aura donc une pression énorme pour qu'elles paient, alors que d'autres types d'organisations pourraient mieux survivre sans leurs systèmes pendant une période plus longue.

Bryant a déclaré que les compagnies aériennes sont habituées à suivre de près les réglementations de sécurité redondantes qui empêchent un scénario catastrophique, et que cet état d'esprit peut être appliqué à la cybersécurité, avec une mise en garde.

« Il y a une différence fondamentale entre sûreté et sécurité », a-t-il déclaré. « Ils présentent de très nombreuses similitudes et vous utilisez en fait de nombreux outils analytiques similaires, puis des approches similaires. Mais en matière de sécurité, vous vous inquiétez normalement des événements aléatoires. Le coup de foudre n'est pas dirigé. Il arrive qu'il heurte tel avion, mais pas tel autre. C'est essentiellement aléatoire. La cybersécurité est différente parce que vous avez un attaquant réfléchi. Si je mets un meilleur pare-feu au point A, les attaquants contourneront le point B, C, D ou E. C'est un environnement beaucoup plus dynamique et plus stimulant.