La société Kaspersky a averti que la sécurité des systèmes spatiaux ne se limitait plus à la protection des satellites en orbite, après qu’un audit mené par l’entreprise a révélé que plus de 3 000 récepteurs de systèmes mondiaux de navigation par satellite (GNSS) avaient fait l’objet d’attaques directes via Internet. Ces vulnérabilités pourraient affecter les secteurs dépendant des signaux de navigation et de synchronisation, tels que le transport maritime et aérien ainsi que les services logistiques terrestres.
Kaspersky a présenté les résultats d’un rapport préparé par l’équipe de réponse aux urgences cybernétiques pour les systèmes de contrôle industriels (ICS CERT) lors du salon GISEC 2026. Le rapport présente l’écosystème spatial comme un réseau interconnecté comprenant les satellites, les stations de contrôle au sol, les canaux de communication, les appareils des utilisateurs et les logiciels fournis par des tiers, plutôt que comme une infrastructure orbitale isolée.
Des appareils terrestres connectés à Internet
Le rapport s’appuie sur plus de 100 incidents cybernétiques ayant ciblé des systèmes spatiaux depuis 1957 jusqu’au début des années 2020. Kaspersky estime que les appareils terrestres et les récepteurs de signaux connectés à Internet constituent des voies pratiques pour accéder aux parties les plus sensibles de l’écosystème.
L’entreprise a audité des récepteurs GNSS connectés à Internet en coopération avec 70 entreprises mondiales fournissant des équipements, à la suite de la forte hausse des incidents d’usurpation des signaux GPS et GNSS dans la région de la mer Noire en 2023. Sur la base des résultats de l’audit, elle a recommandé de limiter l’accès externe à ces appareils et de renforcer l’authentification et la vérification de l’identité lorsque la connexion à Internet est nécessaire.
Les satellites comme canal de dissimulation
L’utilisation malveillante des systèmes spatiaux ne se limite pas à la perturbation de leurs infrastructures ; le rapport indique que des flux de données non chiffrés transitant par des satellites ont été exploités pour dissimuler les communications de groupes offensifs. Il cite les groupes Turla et Whitebear comme exemples d’acteurs ayant exploité ces canaux au cours de la deuxième décennie du XXIe siècle, et mentionne également des incidents survenus depuis 2009 qui ont permis d’intercepter des flux vidéo militaires non chiffrés à l’aide d’outils commerciaux peu coûteux.
Le rapport a également établi un lien entre le groupe Thrip et des attaques visant des opérateurs de satellites ainsi que des bases de données cartographiques géospatiales, dans le but de surveiller ou de perturber des infrastructures spatiales critiques.
Que change l’attaque contre KA-SAT ?
Kaspersky a cité l’attaque menée en 2022 contre le réseau KA-SAT de la société Viasat. Les attaquants ont exploité un appareil VPN mal configuré pour déployer le logiciel destructeur AcidRain, ce qui a perturbé environ 30 000 stations de communication par satellite à travers l’Europe et a indirectement entraîné l’arrêt des opérations à distance de plus de 5 800 éoliennes.
En 2024, AcidPour, associée au groupe Sandworm, a été découverte. Il s’agit d’un logiciel visant une gamme plus large d’appareils, notamment les routeurs fonctionnant sous Linux, les modulateurs de signaux satellitaires et les systèmes de stockage de données.
Que devraient réexaminer les organisations ?
- Réaliser régulièrement un audit des récepteurs GNSS, des appareils de contrôle au sol et des appareils des utilisateurs.
- Mettre à jour les appareils connectés à Internet et limiter l’accès externe à leurs interfaces d’administration.
- Chiffrer les flux de données et les liaisons de communication spatiale afin de réduire l’espionnage et l’usurpation.
- Appliquer une protection renforcée aux terminaux des stations de communication au sol et imposer des contrôles stricts sur les réseaux internes d’administration.
À lire sur certi.news : Le véritable changement réside dans le déplacement du point de risque du seul satellite vers une chaîne opérationnelle complète, qui commence par un récepteur ou une configuration VPN et se termine par un service essentiel comme l’énergie ou la navigation. Cependant, les chiffres et les faits présentés ici reposent sur le rapport de Kaspersky tels qu’ils ont été rapportés par l’article, sans vérification indépendante ni détails techniques complets sur les appareils inclus dans l’audit ; les résultats doivent donc être lus comme un avertissement institutionnel nécessitant l’examen du rapport original avant toute généralisation à l’ensemble des environnements.