Les installations portuaires sont aujourd’hui considérées comme des infrastructures critiques. Elles constituent la porte d’entrée et de sortie des marchandises et des ressources d’un pays, voire d’un continent. À l’image du port de Rotterdam, qui voit transiter chaque année 468 millions de tonnes de marchandises et pèse environ 8 % du PIB des Pays-Bas. Par conséquent, endommager, paralyser ou même ralentir le fonctionnement de ces installations peut retarder la production industrielle, notamment par des délais dans la livraison de matières premières ou d’équipement. Cette chaîne est d’autant plus cruciale en période de conflit, où le moindre retard, en heures ou en jours, peut avoir des effets significatifs sur une stratégie ou une tactique. Ce retard peut être causé par une cyberattaque, un mode d’action particulièrement employé ces dernières années. Trois facteurs l’expliquent : le faible coût des attaques, l’ampleur des retombées directes et indirectes, et la difficulté d’attribuer les auteurs. Les acteurs étatiques et non étatiques s’y intéressent donc d’autant plus, ce vecteur permettant d’infliger des dégâts majeurs pour une fraction du coût d’une attaque militaire, tout en conservant une dénégation plausible. De ce fait, ils ont investi dans un type d’acteur spécifique : les Advanced Persistent Threats (APT).
Ces dernières années, les groupes cybercriminels ont proliféré en nombre, en origines et en modes opératoires, à l’image des APT. Une APT désigne une menace cyber de long terme, hautement sophistiquée, pouvant être appuyée par un État ou par un groupe criminel. En juin 2025, le Centre d’excellence cyber de l’OTAN a publié une note sur les menaces visant les installations portuaires des pays alliés. Elle identifie comme principales menaces des APT issues de trois pays : la Russie, la Chine et l’Iran, avec respectivement Fancy Bear (APT28), Mustang Panda et Charming Kitten (APT35). Ces trois groupes sont cités à titre d’exemples, car attribués à des cyberattaques avérées contre des infrastructures portuaires à l’échelle mondiale. En mai 2025, le département de la Défense publie un rapport issu des travaux d’une task-force regroupant plusieurs pays de l’OTAN, analysant une campagne de cyberattaques conduite par le service de renseignement extérieur russe, en particulier l’unité militaire 26165, dite Fancy Bear (APT28). Cette campagne a visé une série d’organismes nationaux et internationaux, dont ceux responsables du trafic aérien et du domaine maritime. Des groupements analogues existent côté chinois. Le groupe le plus actif, Mustang Panda, a ciblé entre octobre 2024 et mars 2025 diverses organisations gouvernementales et des entités liées au secteur maritime en Norvège, Bulgarie, Pologne et Hongrie. Il s’inscrit dans une constellation d’autres groupes, tels qu’UnsolicitedBooker (repéré en Arabie saoudite lors d’une campagne de hameçonnage contre des ONG) ou PerplexedGoblin (actif en Europe centrale, impliqué dans l’espionnage et le vol de données). Enfin, la République islamique d’Iran est également proactive : d’après une étude de cas d’EclecticIQ, plusieurs groupes comme Yellow Lideric ou Charming Kitten ont mené des attaques contre des ports israéliens, égyptiens et plus largement au Proche-Orient. Ces acteurs étant les plus visibles, il est raisonnable de considérer que d’autres groupes opèrent déjà et que leurs effets se feront sentir à brève ou moyenne échéance. Il convient donc de mettre en place des moyens pour réduire, voire prévenir, ces attaques à venir : leviers juridiques, militaires et procéduraux.
Le même rapport formule quatre recommandations pour lutter contre ces menaces. Premièrement, réviser la stratégie maritime de l’Alliance atlantique (2011) afin d’y intégrer le pilier cyber. Cela implique une plus forte implication des autorités civiles et une réduction des zones grises de responsabilité entre entités civiles et militaires. Cette évolution doit refléter la prise de conscience par l’OTAN des enjeux de cyber-résilience des opérations portuaires et des chaînes logistiques. Deuxièmement, renforcer l’implication des autorités portuaires par la désignation d’un coordinateur des relations entre l’OTAN et les responsables de cybersécurité des ports, afin d’élaborer et de déployer des guides de réponse coordonnée (par exemple : EU Cyber Diplomacy Toolbox). Troisièmement, établir des plateformes de partage d’informations sur les menaces, à l’instar de MISP (Malware Information Sharing Platform), couvrant menaces, bonnes pratiques et retours d’expérience (RETEX). Quatrièmement, structurer ce partage via des groupes de travail au sein de l’Organisation maritime internationale (OMI), réunissant opérateurs portuaires, experts cybersécurité et agences publiques pour développer des standards. Ces recommandations doivent s’articuler avec le cadre législatif de l’Union européenne, qui dispose déjà d’instruments pertinents, notamment REC et NIS 2. La directive sur la résilience des entités critiques (REC) définit les infrastructures critiques et exige un niveau accru de sécurité physique. Pour élever le niveau de sécurité cyber, le Parlement européen a adopté NIS 2, qui crée les statuts d’entités « essentielles » et « importantes » et classe les entités portuaires parmi les secteurs hautement critiques. Cette classification accroît les obligations d’organisation et de responsabilité du top management et des équipes de cybersécurité, ce qui doit être vu comme bénéfique. Elle requiert notamment des mesures techniques telles que plans de continuité d’activité (PCA), plans de reprise après sinistre (PRS), tests d’intrusion réguliers, et une coopération européenne via des organismes nationaux comme l’ANSSI ou France Cyber Maritime. In fine, les recommandations de l’OTAN et les obligations européennes visent à rehausser le niveau de cybersécurité des structures vitales au fonctionnement des États membres. Un effort de convergence est toutefois nécessaire pour éviter doublons et surcharges, par exemple entre MISP et France Cyber Maritime, et pour préserver l’effectivité des recommandations et des obligations.
Les menaces hybrides émanent d’acteurs disposant de ressources leur permettant de combiner plusieurs vecteurs afin d’entraver un adversaire. Ces vecteurs peuvent être militaires et non militaires, licites et illicites, directs et indirects. Elles prennent la forme, d’une part, de flottilles de pêche hauturière enfreignant le droit international tout en collectant du renseignement à des fins militaires, et, d’autre part, de campagnes réitérées de cyberattaques contre des installations vitales. Il est peu probable que ces attaques diminuent, compte tenu de leur faible coût, de la difficulté d’attribution et de l’ampleur des dommages possibles. Les gouvernements doivent donc se mobiliser par des moyens défensifs (dispositifs juridiques spécifiques, coopération internationale, renforcement des dispositifs de sécurité et de cybersécurité) ainsi que par des moyens offensifs proportionnés, afin de détecter, perturber et dissuader ces menaces.