Ciel connecté, ciel vulnérable : l'aviation civile face à la menace croissante des cyberattaques

Pendant des décennies, la sécurité aéronautique a été pensée autour d'une logique mécanique et physique : résistance des structures, fiabilité des moteurs, protocoles d'urgence en cabine. Aujourd'hui, une nouvelle dimension s'est imposée dans les salles de crise des grands constructeurs et des autorités de régulation : la cybersécurité. À mesure que les aéronefs modernes s'intègrent dans des écosystèmes numériques toujours plus vastes, ils exposent des surfaces d'attaque que leurs concepteurs d'origine n'avaient jamais anticipées.

Des avions devenus des nœuds de données

Un appareil de ligne contemporain génère plusieurs téraoctets de données par vol. Capteurs, systèmes de gestion de vol, liaisons de données sol-bord, connectivité passagers Wi-Fi, maintenance prédictive à distance : chaque interface numérique constitue un point d'entrée potentiel pour un attaquant suffisamment motivé et compétent. L'Airbus A350 ou le Boeing 787 Dreamliner, pour ne citer que les plateformes les plus répandues, embarquent des centaines de calculateurs interconnectés dont certains communiquent, directement ou indirectement, avec des réseaux extérieurs.

La frontière entre le réseau de divertissement des passagers et les systèmes avioniques critiques est certes protégée par des pare-feux et des architectures de segmentation. Mais des chercheurs en sécurité, notamment ceux de l'Université de l'Idaho dès 2015, ont démontré que cette séparation n'était pas toujours hermétique. Ces démonstrations de principe, réalisées en laboratoire, n'ont pas débouché sur des incidents en vol confirmés, mais elles ont suffi à alerter durablement les régulateurs.

Les incidents qui ont ébranlé la confiance

Si les attaques directes contre des aéronefs en vol restent, à ce jour, non documentées publiquement, les infrastructures au sol ont déjà subi des coups sérieux. En 2015, LOT Polish Airlines a été contrainte d'annuler plusieurs vols depuis Varsovie après qu'une cyberattaque eut compromis ses systèmes de plans de vol. En 2021, l'Agence européenne de la sécurité aérienne (AESA) a publié un rapport alarmant faisant état d'une augmentation de 530 % des incidents cyber déclarés par les compagnies européennes entre 2019 et 2020.

Plus récemment, des attaques par rançongiciel ont ciblé des aéroports de taille moyenne, paralysant leurs systèmes d'enregistrement et de gestion des bagages. En France, des sources proches de la Direction générale de l'Aviation civile (DGAC) confirment que le secteur fait l'objet d'une surveillance renforcée depuis les incidents qui ont touché plusieurs prestataires de services de navigation aérienne en Europe centrale.

Le brouillage GPS, une arme de déstabilisation à bas coût

Au-delà des intrusions informatiques classiques, une autre menace prend de l'ampleur : le brouillage et la mystification des signaux GPS, connus sous les termes anglais de jamming et spoofing. Ces techniques consistent, pour la première, à saturer les fréquences de navigation par satellite, et pour la seconde, à émettre de faux signaux afin de tromper les récepteurs embarqués sur leur position réelle.

Depuis le début du conflit russo-ukrainien, de nombreux pilotes opérant en mer Baltique, en Méditerranée orientale ou à proximité du Moyen-Orient ont signalé des perturbations significatives de leurs systèmes de navigation. L'Organisation de l'aviation civile internationale (OACI) a recensé des milliers d'incidents de ce type en 2023 et 2024. Si ces épisodes n'ont pas causé d'accidents majeurs, ils contraignent les équipages à revenir à des procédures de navigation plus anciennes et accroissent la charge de travail en phase critique.

La réponse réglementaire européenne se structure

Face à cette réalité, les autorités européennes ont engagé une refonte progressive de leur cadre normatif. L'AESA a publié en 2022 sa feuille de route en matière de cybersécurité aéronautique, imposant aux constructeurs et aux opérateurs de nouvelles obligations en matière d'évaluation des risques et de déclaration des incidents. Le règlement européen sur la résilience des entités critiques (CER) et la directive NIS2, entrée en application en octobre 2024, placent désormais les infrastructures aéroportuaires et les prestataires de services de navigation aérienne parmi les secteurs à protection renforcée.

En France, la DGAC travaille en étroite collaboration avec l'Agence nationale de la sécurité des systèmes d'information (ANSSI) pour cartographier les vulnérabilités du secteur et imposer des audits réguliers aux acteurs jugés critiques. Des exercices de simulation d'attaques, inspirés des pratiques militaires, sont désormais organisés avec les grands aéroports parisiens et les centres de contrôle aérien en route.

L'industrie mobilise ses ingénieurs

Du côté des constructeurs, Airbus a créé dès 2016 son centre dédié à la cybersécurité aéronautique, le CyberSecurity Centre of Competence, basé à Toulouse. L'objectif : intégrer la sécurité numérique dès la phase de conception des aéronefs, selon le principe du security by design, plutôt que de l'ajouter en couches successives a posteriori. Thales, acteur incontournable de l'avionique et des systèmes de communication aéronautique, investit massivement dans des solutions de détection d'intrusion embarquées capables d'identifier des comportements anormaux en temps réel.

L'enjeu est considérable : retrofitter des flottes existantes pour les mettre à niveau face aux nouvelles menaces représente un coût colossal. Pour les compagnies low-cost opérant des flottes homogènes d'appareils vieillissants, la transition s'annonce particulièrement complexe.

Former les équipages à la culture cyber

La technologie seule ne suffira pas. Les experts s'accordent à souligner que le facteur humain demeure la principale porte d'entrée des attaquants. L'hameçonnage ciblé (spear phishing) visant les personnels navigants, les techniciens de maintenance ou les agents de piste constitue souvent le premier vecteur d'une compromission. Des formations spécifiques à la détection de ces tentatives d'ingénierie sociale commencent à être intégrées dans les cursus des écoles de pilotage et les programmes de formation continue des compagnies.

L'École nationale de l'aviation civile (ENAC), à Toulouse, a d'ailleurs inauguré un module dédié à la cybersécurité dans son cursus ingénieurs, reconnaissant que les professionnels du secteur de demain devront maîtriser autant les flux d'air que les flux de données.

Un enjeu de souveraineté pour l'Europe

Derrière les questions techniques se profile un enjeu stratégique de première importance. Dans un contexte de tensions géopolitiques accrues, la capacité à protéger son espace aérien des ingérences numériques est devenue un attribut de souveraineté à part entière. L'Europe, qui ambitionne de construire une autonomie stratégique dans le domaine spatial et aéronautique, ne peut se permettre que ses infrastructures de transport aérien deviennent le talon d'Achille de sa résilience collective.

Le chantier est immense, les acteurs nombreux et les standards encore en cours d'harmonisation. Mais la prise de conscience est réelle, et la mobilisation, progressive. Dans le ciel du XXIe siècle, la sécurité se joue désormais aussi dans les lignes de code.