Une étude de Flare montre comment des données publiques permettent de cartographier une partie de l'infrastructure informatique de certains aéroports nord-américains. Elle a aussi repéré des centaines d'identifiants compromis, dont celui d'une console de double authentification volé par un infostealer.
Les aéroports étudiés par Flare tiennent peut-être leurs systèmes critiques à l'abri d'Internet, mais leur cybersécurité laisse filer bien plus d'indices qu'on ne l'imagine. En septembre, en croisant DNS passif, plages d'adresses IP et bases d'identifiants compromis, les chercheurs de cette société installée à Montréal ont recensé, sans la moindre intrusion, 165 systèmes nommés, de l'affichage des vols à la gestion du carburant, et 253 comptes de collaborateurs dont les identifiants circulent dans la nature. De quoi offrir à un pirate informatique un brin patient un plan détaillé des lieux, avant même le premier coup de crochet.
Un logiciel espion a dérobé l'identifiant qui pilote la double authentification d'un aéroport
Depuis l'attaque par ransomware contre Collins Aerospace survenue il y a tout juste un an, qui avait perturbé l'enregistrement à Bruxelles, Berlin et London-Heathrow, la cybersécurité aéroportuaire reste très suivie. Ici, sur les quatorze domaines de messagerie repérés (la partie qui suit le @ dans les adresses des salariés), Flare en a passé trois au crible dans des bases de fuites. Le bilan grimpe à 950 enregistrements, chacun associant une adresse à un mot de passe, pour 253 comptes, en sachant qu'un même salarié peut apparaître dans plusieurs fuites. Dans 81 % des cas, le mot de passe est lisible tel quel, et non masqué sous une suite de caractères indéchiffrable. Il faut tout de même un peu relativiser, puisque 930 lignes proviennent de compilations qui recyclent d'anciennes fuites, certaines datant de 2008. Rien d'enterré pour autant, puisque 147 comptes y sont encore apparus ces deux dernières années. Flare n'a pas testé de mot de passe, donc on ignore combien fonctionnent encore.
Le vrai danger porte sur cinq comptes, dont les identifiants ne sortent pas de vieilles archives, mais d'infections récentes ou d'attaques ciblées. Ils ont été aspirés par des infostealers, des logiciels espions voleurs d'informations qui raflent en silence les mots de passe enregistrés sur un ordinateur, ou piégés par des kits de phishing, ces fausses pages de connexion prêtes à l'emploi. L'un d'eux concerne un poste stratégique, à savoir la console d'administration de l'authentification multifacteur (MFA) d'un opérateur, qui décide qui doit confirmer sa connexion par un code ou une notification, et comment. Cet identifié, capturé en avril 2026 sur un PC Windows 11 infecté, pourrait, si le compte en a les droits, servir à modifier ces règles, à enregistrer un nouvel appareil ou à activer des exceptions. La protection censée couvrir les autres comptes exposés de cet opérateur perdrait de son efficacité.
Le butin de l'infostealer est plutôt important. Dans le lot, on retrouve l'adresse IP, le nom de session de l'utilisateur, l'identifiant propre au matériel, la version de Windows et même la localisation. On y retrouve aussi les deux domaines de messagerie de l'opérateur, noyés dans une longue liste de comptes personnels. Le profil évoque un ordinateur perso, ou du moins non géré par le service informatique, mais utilisé pour le travail. Comme autre signal, l'un des domaines étudiés est apparu dans cinq messages Telegram en mai et juin 2026. Trois émanent d'un robot qui vérifie si des adresses e-mail sont valides, sur le canal d'assistance d'une plateforme de vente en ligne, et deux de canaux qui rediffusent des fuites. Quelqu'un s'y intéresse donc de près.
Le DNS, ce bavard qui en dit long sur les aéroports
Au niveau infrastructure, les chercheurs cyber précisent qu'ils n'ont forcé aucune porte. Ils ont d'abord repéré les opérateurs dans les registres publics d'adresses IP. Ce bloc est d'ailleurs souvent déclaré noir sur blanc dans un réglage de la messagerie, celui qui liste les serveurs autorisés à envoyer des mails au nom de l'aéroport. Restait à interroger le DNS passif. Le DNS, on le rappelle, c'est le répertoire d'Internet qui traduit les noms des machines en adresses IP, et sa version passive en garde la mémoire au fil des années. En partant des adresses plutôt que du nom de l'aéroport, on récolte jusqu'à six fois plus de noms, dont des domaines secondaires insoupçonnés. En sondant l'un d'eux, Flare a vu les comptes compromis d'un opérateur bondir de 14 à 211.
Si ces noms en disent autant, c'est que les ingénieurs baptisent leurs machines selon leur fonction, pour les retrouver sans mal cas d'intervention à 2 heures du matin. On croise ainsi des badges d'accès, de la lecture de plaques d'immatriculation, deux systèmes de gestion des bâtiments, de la surveillance des eaux pluviales ou une station météo. La moitié des opérateurs publient même dans le DNS des versions de test d'applications de sécurité, d'authentification ou métier. L'un d'eux affiche six environnements d'un même logiciel. Des systèmes « étonnamment lisibles depuis l'extérieur », résume Adrian Cheek, chercheur senior en cybercriminalité chez Flare.
Bon, c'est en partie rassurant, mais connaître le nom d'un système ne suffit pas à l'atteindre. Plusieurs de ces noms mènent en réalité à un pare-feu ou à un VPN qui en garde l'entrée, et aucun des automates ou outils de supervision qui font tourner l'aéroport ne répondait depuis Internet. Les fragilités se logent plutôt en bordure du réseau, là où l'aéroport se connecte au monde extérieur. On y trouve une passerelle d'accès à distance d'un grand fournisseur visé par des failles activement exploitées, cette porte qu'emprunte le personnel pour se connecter depuis l'extérieur. S'y ajoutent un vieux protocole de surveillance du matériel réseau, protégé par un mot de passe facile à deviner, et un équipement resté allumé 2 137 jours d'affilée, soit cinq ans et dix mois. Comme de nombreux correctifs de sécurité exigent un redémarrage, c'est un indice, pas une preuve, de mises à jour en souffrance.
Attention toutefois à ne pas crier victoire, prévient Flare, qui dit avoir alerté les opérateurs concernés. Car ce constat ne vaut que pour les six opérateurs que la méthode a pu cartographier en détail. Les États-Unis comptent environ 520 aéroports certifiés ! Les autres n'ont pas pu être examinés, faute d'avoir localisé leurs adresses IP, ce qui ne dit rien de leur niveau de sécurité. En Europe, les chercheurs ne sont même pas parvenus à repérer les grands groupes aéroportuaires dans les registres, leurs adresses n'y étant pas déclarées de la même manière. C'est un angle mort de la méthode, plus qu'un bouclier, ne vous méprenez pas, puisqu'un attaquant visant un aéroport précis peut partir de son seul nom de domaine.
