Un examen de cybersécurité mené par le ministère britannique de la Défense a révélé que des caméras équipant les navires de surface sans pilote K3 Scout de la Royal Navy transmettaient des signaux de « pulsation » réseau de routine vers une adresse IP en Chine, selon une enquête du Telegraph, corroborée par la suite par The Times. Cet examen de sécurité se serait déroulé au siège du Special Boat Service, à Poole, dans le Dorset. Ces navires avaient également été désignés pour une mission britannique visant à contribuer à sécuriser la liberté de navigation dans le détroit d’Ormuz, aggravant les enjeux d’un incident de sécurité de la chaîne d’approvisionnement, impliquant des plateformes associées à l’une des unités maritimes d’élite du Royaume-Uni, plutôt que de simples navires de patrouille de routine.
Cette flotte, d’une valeur de 12,3 millions de livres sterling, comprend 20 navires construits par Kraken Technology Group, dans le cadre du programme Project Beehive de la Royal Navy. Selon l’annonce d’acquisition de la Royal Navy, ces navires sont destinés à des opérations, à la formation et au développement au sein du Coastal Forces Squadron et du 47ᵉ commando des Royal Marines, dans le cadre de la transition de la marine vers une flotte hybride de plateformes pilotées et sans pilote. Le Telegraph a rapporté que ces navires avaient opéré à proximité de réunions sensibles impliquant du personnel de haut rang du Special Boat Service. Il a également indiqué que des enquêteurs examinaient si les caméras pouvaient demeurer opérationnelles même une fois éteintes, bien que le ministère de la Défense n’ait pas publiquement confirmé cette évaluation.
Kraken a déclaré que ces caméras respectaient les exigences d’acquisition de la loi américaine sur l’autorisation de défense nationale (NDAA), tout en reconnaissant que les ensembles de caméras certifiés contenaient un petit nombre de composants tiers provenant de l’extérieur du Royaume-Uni. L’entreprise a précisé qu’à l’issue d’un audit conjoint mené avec la Royal Navy, elle avait la certitude qu’aucune information sensible n’avait été transmise, et que toute vulnérabilité identifiée avait été corrigée.
Des signaux de « pulsation » de routine ne sont pas nécessairement inoffensifs. Des spécialistes en cybersécurité soulignent que de telles communications peuvent révéler l’adresse IP active d’un appareil, l’architecture de son réseau, la version de son micrologiciel, ses schémas de fonctionnement continu et d’autres métadonnées techniques. Bien que ces informations ne constituent pas des données opérationnelles classifiées, elles peuvent fournir, au fil du temps, un renseignement précieux sur la configuration et l’activité de systèmes militaires.
Cet épisode met en lumière un défi plus large auquel sont confrontées les industries de défense occidentales. Les maîtres d’œuvre dépendent de plus en plus de chaînes d’approvisionnement internationales complexes, s’étendant sur de multiples sous-traitants, ce qui complique la vérification de l’origine de chaque composant électronique intégré aux équipements militaires. Le programme K3 Scout est lui-même devenu un élément phare de la démarche de la Royal Navy vers des systèmes maritimes autonomes, la marine ayant annoncé plus de 12 millions de livres sterling d’acquisitions dans le cadre du Project Beehive, ainsi que des plans gouvernementaux plus larges visant à investir des milliards dans les drones et les technologies autonomes.
Le ministère de la Défense maintient que son enquête n’a trouvé aucune preuve que des informations classifiées ou sensibles aient été consultées ou transmises en dehors des réseaux gouvernementaux. Cette assurance concerne une perte de données confirmée. La préoccupation plus large que révèle cet incident tient au fait qu’un équipement validé par les normes d’acquisition de la sécurité nationale contenait néanmoins des composants capables de communiquer avec une adresse IP en Chine, soulignant l’importance croissante de la sécurité de la chaîne d’approvisionnement, au même titre que la cyberdéfense traditionnelle.
