Rançongiciel Transnet, juillet 2021 : la semaine où les ports sud-africains sont passés au papier

Le 22 juillet 2021, Transnet — l'opérateur public sud-africain des ports, du fret ferroviaire et des pipelines — a annoncé une perturbation de ses systèmes informatiques. En quelques jours, il est apparu qu'il s'agissait de l'une des cyberattaques les plus lourdes de conséquences jamais subies par une infrastructure critique africaine : les opérations des terminaux à conteneurs ont été interrompues, et l'entreprise a pris la décision exceptionnelle de déclarer la force majeure.

Ce qui s'est passé

Transnet a détecté ce qu'elle a d'abord décrit comme « un acte de cyberattaque, d'intrusion de sécurité et de sabotage » et a arrêté les systèmes informatiques touchés par mesure de confinement. Le système d'exploitation des terminaux à conteneurs Navis figurait parmi les systèmes mis hors ligne, contraignant les terminaux de Durban, du Cap, de Gqeberha (Port Elizabeth) et de Ngqura à revenir à un traitement manuel, sur papier.

Le 26 juillet 2021, Transnet Port Terminals a déclaré la force majeure dans ses terminaux à conteneurs — une notification formelle indiquant aux clients qu'elle ne pouvait plus honorer ses obligations contractuelles en raison d'événements indépendants de sa volonté. Le port de Durban traite à lui seul la majorité du trafic de conteneurs d'Afrique du Sud et sert de porte d'entrée à plusieurs économies enclavées voisines : la perturbation a donc largement dépassé le périmètre d'une seule entreprise. Transnet a rétabli ses opérations progressivement et levé la force majeure le 2 août 2021.

Comment l'attaque a fonctionné

Transnet n'a jamais confirmé publiquement le vecteur d'intrusion initial. Les médias de l'époque — notamment Bloomberg, dont les journalistes ont consulté une note de rançon laissée sur des ordinateurs de Transnet — ont relié l'incident à un rançongiciel associé à la famille « Death Kitty » (également connue sous le nom de HelloKitty). Transnet est restée mesurée dans ses communications publiques et n'a pas confirmé cette attribution.

Ce que l'on peut affirmer avec confiance, c'est que les opérations de rançongiciel de ce type commencent généralement par une défaillance humaine ou une compromission d'identifiants : un e-mail de phishing, des identifiants volés ou réutilisés, ou un service d'accès distant exposé. Le point d'entrée chez Transnet n'ayant pas été divulgué, personne en dehors de l'enquête ne peut dire lequel de ces scénarios s'est produit. La leçon générale demeure : un rançongiciel d'entreprise franchit presque toujours un seuil humain avant d'atteindre le moindre système opérationnel.

L'impact

L'attaque a perturbé la manutention des conteneurs pendant environ une semaine, en pleine saison d'exportation des agrumes sud-africains, alors que des cargaisons périssables et sensibles au temps transitaient par les ports à plein volume. Les compagnies maritimes ont dérouté ou retardé leurs navires, les camionneurs ont fait la file devant des terminaux traitant les documents à la main, et les exportateurs ont alerté sur leurs pertes. L'incident est en outre survenu quelques jours après de graves troubles civils au KwaZulu-Natal qui avaient déjà mis les chaînes d'approvisionnement sous tension — un choc cumulé qui a révélé le peu de marge du système.

Au-delà du coût opérationnel immédiat, l'attaque a été largement décrite par les analystes, dont l'Institute for Security Studies, comme un signal d'alarme : la première fois qu'une cyberattaque interrompait aussi visiblement le fonctionnement d'une infrastructure commerciale critique africaine.

Enseignements pour les organisations africaines

• Considérez la couche humaine comme la porte d'entrée. Quel qu'ait été le vecteur chez Transnet, la plupart des campagnes de rançongiciel commencent par du phishing ou des identifiants compromis. Une sensibilisation continue et mesurée est un contrôle d'infrastructure critique, pas une formalité RH.
• Segmentez l'informatique de gestion des systèmes opérationnels. La capacité à isoler les systèmes d'exploitation des terminaux a limité les dégâts ; une segmentation plus stricte les limite davantage et peut maintenir le flux de marchandises pendant la reprise.
• Répétez le fonctionnement en mode dégradé avant d'en avoir besoin. Les terminaux de Transnet ont continué à travailler sur papier. Cette capacité n'existe que si elle est planifiée, documentée et exercée.
• Préparez à l'avance la réponse juridique et client. Déclarer la force majeure est un acte commercial majeur ; savoir quand et comment le communiquer fait partie de la préparation aux incidents.
• Mesurez la reprise, pas seulement la prévention. Une semaine pour rétablir les opérations, voilà le chiffre que retiennent les clients. Les objectifs de reprise méritent le même examen que les pare-feu.

Sources

• Communiqués de Transnet SOC et avis de force majeure, juillet–août 2021
• Couverture de Reuters sur l'attaque et le rétablissement des opérations, 2021
• Reportage de Bloomberg sur la note de rançon et la famille de rançongiciel suspectée, 2021
• Analyse de l'incident par l'Institute for Security Studies (ISS), 2021

Si un seul e-mail peut immobiliser un port, il vaut la peine de savoir comment votre propre organisation tiendrait le choc — notre évaluation gratuite de maturité du risque humain prend quatre minutes et vous situe précisément.