On n’avait plus vu un tel capharnaüm dans les aéroports depuis la fameuse panne Crowsdstrike de juillet 2024. Un maillon invisible mais critique de la chaîne aérienne européenne cède sous l’assaut d’un ransomware. En un instant, les systèmes automatiques d’enregistrement et d’embarquement de plusieurs hubs majeurs – Heathrow, Berlin, Bruxelles, Dublin – tombent en panne, forçant un retour aux procédures papier et stylo. Trois jours plus tard, la situation reste critique. Un incident qui va devenir vrai cas d’école pour les DSI et RSSI qui illustre la vulnérabilité des infrastructures critiques face aux attaques indirectes via la supply chain.
Depuis bientôt 3 jours, plusieurs grands hubs aéronautiques européens – Heathrow, Berlin, Bruxelles, Dublin – voient leurs systèmes d’enregistrement et d’embarquement en panne. Derrière cette paralysie, un ransomware ciblant Collins Aerospace, filiale de RTX, fournisseur du logiciel MUSE. Ce système, utilisé par de nombreuses compagnies aériennes, permet de mutualiser les comptoirs et les portes d’embarquement, en gérant l’ensemble du processus, du check-in à l’étiquetage des bagages.
Selon l’Agence européenne pour la cybersécurité (ENISA), l’attaque a consisté à chiffrer les systèmes critiques, forçant Collins à reconstruire ses serveurs. Mais les assaillants étaient toujours présents, ce qui a prolongé la crise. L’ENISA n’a pas dévoilé quel ransomware ou groupe cybermalveillant était derrière cette attaque mais à confirmer que la menace avait bien été identifiée et que les forces de l’ordre menaient une investigation.
En quelques minutes, l’incident s’est propagé à l’ensemble des aéroports dépendant de MUSE, illustrant la puissance d’un point d’entrée unique dans une chaîne logistique numérique. Car MUSE s’appuie sur un service managé hébergé sur les serveurs de Collins Aerospace qui permet à plusieurs compagnies aériennes d’utiliser la même infrastructure informatique plutôt que de déployer chacune son propre système, ce qui réduit les coûts et simplifie la maintenance. Les RSSI des différentes compagnies aériennes et surtout des différents aéroports ont eu la désagréable surprise de découvrir que les systèmes de leur prestataire commun n’étaient pas isolés entre eux. Le ransomware a fait tomber tous les serveurs et donc tous les aéroports et compagnies clients. Et toute la chaîne d’enregistrement s’est retrouvée paralysée simultanément dans plusieurs aéroports.
Les conséquences ont été immédiates : files d’attente interminables, vols annulés, passagers bloqués, retour aux procédures manuelles avec cartes d’embarquement écrites à la main et annonces vocales pour l’embarquement. Trois jours après l’attaque, Bruxelles devait encore annuler près de la moitié de ses départs et Berlin était toujours impacté alors que la ville organise un marathon international. Des annulations de vol sont aussi prévues à Londres ce Lundi. Cette lenteur de rétablissement souligne la difficulté à restaurer des systèmes critiques lorsque la reconstruction doit se faire sur site et que les procédures de reprise à distance sont limitées.
L’incident démontre une nouvelle fois, après l’affaire Crowdstrike qui n’était pas une attaque mais un simple bug, que désormais la résilience ne se joue pas uniquement dans les murs de l’entreprise, mais dans l’ensemble de l’écosystème numérique. Les dépendances critiques, souvent invisibles, peuvent devenir des points de rupture majeurs. La capacité à identifier ces dépendances, à tester régulièrement des scénarios de bascule vers des opérations manuelles, à renforcer la surveillance des prestataires et à disposer de systèmes de secours isolés devient un impératif stratégique.
Cette attaque n’est pas un simple incident technique : c’est un stress test grandeur nature pour la cybersécurité des infrastructures critiques. Et le moins que l’on puisse dire, c’est que les compagnies aériennes n’ont pas réussi le test. La France s’est retrouvée épargnée mais pas parce que ces processus sont plus solides (ils le sont peut-être ceci dit) mais parce que nos aéroports utilisent d’autres logiciels que ceux de Collins Aerospace. Une façon de rappeler que la diversification des prestataires et l’isolement des systèmes critiques peuvent limiter l’effet domino d’une attaque sur un fournisseur unique. Et une façon aussi de rappeler que la préparation ne se limite pas à la défense : elle doit inclure la capacité à absorber le choc et à maintenir l’activité, même dans un environnement dégradé.
puis