Alors que les cyberattaques se multiplient, la filière aéronautique française lance un programme visant à améliorer la résistance de 200 fournisseurs, dans le civil et la défense. Cette menace est susceptible de mettre en péril les montées en cadence de production.
Face à l’explosion des cyberattaques visant l’industrie aéronautique, il y a urgence à élever le niveau de jeu des fournisseurs les moins protégés. D’où l’initiative du Groupement des industries françaises aéronautiques et spatiales (Gifas), dévoilée en avant-première lundi 27 juillet par La Tribune : l'organisation professionnelle lance «Gifas Cyber Boost», un programme destiné à accompagner les PME et ETI afin d’améliorer leur résilience face à une menace protéiforme.
Doté d’un budget de plusieurs millions d’euros, Gifas Cyber Boost a l’ambition d’épauler d’ici à fin 2027 un total de 200 entreprises, soit 150 membres du Gifas mais aussi 50 acteurs de plusieurs pôles et clusters régionaux de la filière aéronautique et spatiale. Un nombre conséquent alors que le Gifas compte 546 adhérents, dont 232 PME et 174 équipementiers et 105 start-ups.
Les PME en première ligne
« L'objectif n'est pas seulement de faire de la sensibilisation, mais aussi d'aider concrètement les PME et ETI de la chaîne de fournisseurs qui n'ont pas les ressources dédiées des grands groupes pour savoir par quel bout aborder la cybersécurité », résume Catherine Jestin, présidente de la commission digital du Gifas et directrice du numérique chez Airbus. Au sein de la filière, on estime que la cybersécurité est devenue un standard de performance industrielle, au même titre que la qualité, le respect des délais et la capacité à livrer.
Alors que la filière aéronautique tricolore subit des millions de tentatives d’attaques chaque mois, deux à trois parviennent à toucher au but. Et bien souvent, ce sont les petites structures qui sont touchées : en 2024, 43 % des attaques en France ont visé des PME. Autant de points d’entrée qui peuvent envoyer au tapis les plus petites structures et faire trembler les plus grands groupes.
En 2023, une attaque chez un fournisseur en Allemagne a pénalisé la production d'Airbus pendant plusieurs mois. L’année précédente, Satys, sous-traitant spécialisé dans le traitement de surface, a été victime d’une paralysie totale au niveau de 1 200 postes informatiques qu’il avait tenus à faire connaître pour sensibiliser les autres acteurs. Il faut dire que le coût moyen d'une attaque s’élève pour l’entreprise qui en est victime entre 110 000 euros et plus d'un million d'euros.
Newsletter
L’Alerte La Tribune
Alertes en temps réel sur les informations économiques majeures.
Un manque de moyens pour lutter contre les cyberattaques
Dans un secteur qui se situe aux premières loges face à la montée des périls, le risque cyber au niveau des petits fournisseurs est donc pris très au sérieux. « La cible prioritaire ne sont pas les offreurs de solutions digitales, mais bien les entreprises qui fabriquent des pièces physiques pour la chaîne de fournisseurs, précise Catherine Jestin. Car une défaillance chez un petit fournisseur peut en effet bloquer toute la chaîne de production. »
Avec Gifas Cyber Boost, l’idée n’est pas seulement de sensibiliser, mais surtout d’assurer un soutien opérationnel auprès d’acteurs qui n'ont pas les ressources dédiées des grands groupes. « Le problème aujourd’hui est plutôt le manque de moyens, assure Catherine Jestin. Dans une petite structure, le directeur informatique est souvent aussi le patron. La cybersécurité est pourtant un levier essentiel de compétitivité, de résilience et de souveraineté pour éviter le vol de propriété intellectuelle. »
La filière accentue ses efforts
Dans le détail, Gifas Cyber Boost consiste d’abord à assurer une formation aux bons gestes, alors que 70 % des attaques exploitent une vulnérabilité humaine (phishing, clés USB…). Dans un second temps, des tests de vulnérabilité vont être effectués, ainsi que des tentatives de phishing, afin d’identifier les failles principales de l'entreprise et de définir les priorités d’action. Troisième volet : une feuille de route personnalisée et 10 jours d'accompagnement par des consultants experts. Enfin, le programme mettra en contact les fournisseurs avec des partenaires bancaires pour trouver les ressources financières nécessaires.
L’initiative Gifas Cyber Boost accentue ainsi l’effort de la filière aéronautique tricolore en matière de cyberrésilience. En 2019, elle avait déjà mis en œuvre le dispositif AirCyber reposant sur une certification basée sur un questionnaire. De quoi évaluer la robustesse des entreprises selon trois niveaux (bronze, argent et or). Actuellement, plus de 300 entreprises sont déjà engagées dans cette démarche. Les 200 acteurs qui seront accompagnés par Gifas Cyber Boost s’ajouteront à cette première série d’entreprises.
L'intelligence artificielle s'en mêle
La menace cyber risque en outre de gagner encore en intensité avec l’usage malveillant de l’intelligence artificielle (IA). « Elle accélère dangereusement l'exploitation des vulnérabilités, confirme Catherine Jestin. Le temps nécessaire pour créer un virus après la découverte d'une faille est passé de 26 jours à moins d'une heure, et pourrait tomber à la minute d'ici fin 2026. » Ces derniers mois, le cas de Mythos, développé par Anthropic, a alimenté nombre de débats : conçu pour la recherche en cybersécurité, son utilisation peut être détournée et faciliter la découverte de failles exploitables.
Le programme du Gifas va aussi aider les entreprises à anticiper la mise en conformité avec la nouvelle directive européenne NIS 2, dont la transposition française accuse un sérieux retard. Elle est censée remplacer la première directive de 2016 et a pour objectif d'imposer un niveau minimal de sécurité aux organisations dont l'activité est essentielle au fonctionnement de l'économie. « L'aéronautique étant un secteur souverain, les entreprises auront des obligations légales renforcées en matière de cybersécurité », glisse Catherine Jestin.
Des menaces multiples
Aujourd’hui, la menace cyber revêt des formes multiples. Elle peut relever de l’espionnage industriel, mené par des États ou des organisations soutenues par des gouvernements dans le but de dérober des informations sensibles. Elle peut également être motivée par des intérêts criminels, des groupes organisés cherchant à s’enrichir par l’exfiltration et la revente de données, ou demander le paiement d’une rançon. Des groupes d’activistes mènent des cyberattaques pour perturber ou détruire des activités pour des raisons idéologiques.
L'objectif de la filière est de se prémunir contre toutes ces attaques, susceptibles de faire chavirer un secteur déjà confronté à de nombreuses tensions au sein de sa chaîne d'approvisionnement. « En élevant le niveau de jeu de nos entreprises, on rend l'ensemble de la filière moins vulnérable, résume Catherine Jestin. Un attaquant qui ne trouve pas de porte d'entrée facile passera simplement à une autre cible moins bien protégée. Il s'agit donc d'une étape cruciale pour la résilience globale de l'aérospatiale française. »
