Panne FAA : un routeur peut provoquer un déni de service sans cyberattaque

Ce qui s’est produit le 13 novembre

Le 13 novembre 2026, la Federal Aviation Administration américaine, ou FAA, a suspendu pendant plusieurs heures les départs dans l’ensemble des États-Unis après des perturbations intermittentes des télécommunications touchant plusieurs centres de contrôle aérien. Les communications avec les avions et certains flux radar sont devenus suffisamment instables pour déclencher une mesure nationale de précaution. Les appareils déjà en vol ont continué vers un atterrissage organisé selon les procédures de sécurité.

Le premier communiqué de la FAA indiquait seulement que des problèmes de communication faisaient l’objet d’une enquête. Le lendemain, le secrétaire américain aux Transports a donné une explication plus précise mais encore provisoire. Un prestataire remplaçait une liaison en cuivre par de la fibre dans un site distant et installait un routeur. Cet équipement aurait alors commencé à inonder d’autres routeurs du réseau de contrôle aérien. Les autorités évoquent plus de mille tentatives de connexion toutes les quatre à cinq secondes. Elles cherchent encore à déterminer si la cause était une erreur d’installation, une mauvaise configuration ou un équipement défectueux.

Cette chronologie est la position actuelle des autorités américaines; elle devra être confrontée au rapport technique complet lorsqu’il sera disponible. La FAA et le Department of Transportation déclarent ne disposer d’aucun élément indiquant une cyberattaque, une intervention étrangère ou un système d’intelligence artificielle. Le nouvel outil SMART de gestion de l’espace aérien était, selon le ministère, déconnecté de l’infrastructure concernée.

Un flood n’est pas automatiquement un DDoS

Le nombre élevé de tentatives de connexion et le mot « flooding » ont alimenté l’hypothèse d’une attaque par déni de service distribué, ou DDoS. Le rapprochement est compréhensible : dans les deux cas, un équipement reçoit plus de trafic ou de demandes qu’il ne peut en traiter, sa capacité s’épuise et le service devient instable. Les effets observés sur la disponibilité peuvent donc être similaires.

Mais la classification dépend de l’origine et de l’intention. Un DDoS suppose normalement plusieurs sources contrôlées ou détournées qui envoient volontairement du trafic pour rendre une cible indisponible. Une boucle réseau, une session qui se réinitialise continuellement, un protocole de routage instable ou un nouvel équipement mal configuré peut produire un flood interne sans attaquant. À ce stade, les éléments publics placent l’incident FAA dans cette seconde catégorie.

Le terme « ping » peut aussi induire en erreur. Une tentative de connexion n’est pas nécessairement un paquet ICMP utilisé par la commande ping. Elle peut correspondre à l’établissement répété de sessions, à des messages de contrôle, à une reconnexion ou à un autre échange réseau. Sans capture de paquets, journaux de routeurs et chronologie de configuration, il serait incorrect d’affirmer que quelqu’un « pingait » les équipements ou qu’un botnet les attaquait.

Pourquoi cela reste un incident cyber important

L’absence d’attaquant ne retire pas l’incident du champ de la cybersécurité. La disponibilité fait partie des propriétés fondamentales à protéger. Un réseau critique incapable de contenir une erreur locale, de limiter le trafic de contrôle ou de basculer proprement vers une redondance présente un risque de résilience qui peut aussi être exploité intentionnellement plus tard.

Le scénario révèle plusieurs questions d’architecture. Pourquoi un équipement installé sur un site distant pouvait-il affecter plusieurs centres ? Les anciens routeurs disposaient-ils de limites de débit et de protection de leur plan de contrôle ? La nouvelle liaison a-t-elle été introduite progressivement ? La configuration a-t-elle été validée hors production puis sous charge ? La redondance partageait-elle les mêmes dépendances ou la même erreur ?

Les autorités américaines ont indiqué que les équipements plus récents n’avaient pas cédé de la même manière, tandis que des routeurs et commutateurs anciens avaient été surchargés. Ce constat ne suffit pas à conclure que tout équipement récent est résilient. Une migration sûre exige de vérifier l’interaction entre générations, la capacité des chemins de secours et le comportement du système lorsque le nouvel élément devient anormal.

La leçon pour le ciel africain

L’incident survient alors que l’Afrique accélère la modernisation de sa gestion du trafic aérien. Début novembre, les acteurs continentaux ont adopté à Livingstone un plan directeur et une vision ATM 2045 destinés à améliorer l’échange d’informations de planification et de suivi des vols. L’Organisation de l’aviation civile internationale poursuit parallèlement l’audit et la modernisation d’AFISNET, le réseau satellitaire de la région Afrique-océan Indien, avec le déploiement de systèmes modernes de messagerie et d’échange entre centres.

Ces transformations sont nécessaires. Elles augmentent toutefois l’interconnexion entre prestataires de navigation aérienne, aéroports, compagnies, réseaux satellitaires, liaisons terrestres et fournisseurs techniques. Une modification locale peut avoir un impact régional si les limites, la segmentation et les mécanismes de repli n’ont pas été testés ensemble. Cela ne signifie pas qu’AFISNET ou un centre africain présente la défaillance observée aux États-Unis; aucune preuve examinée ne permet une telle affirmation.

L’enjeu africain est aussi économique. Les liaisons de secours peuvent être coûteuses, la fibre n’est pas disponible partout et plusieurs pays dépendent d’un nombre réduit de centres ou de fournisseurs spécialisés. La migration ne peut donc pas consister à remplacer le cuivre par l’IP et considérer le travail terminé. Les autorités doivent financer les tests, l’observabilité, les pièces de rechange, la formation des personnels techniques et des procédures permettant de réduire le trafic en sécurité.

Les contrôles à exiger avant chaque migration

Une modification d’un réseau aéronautique critique doit commencer par une cartographie des dépendances et du domaine de panne. Les équipes doivent identifier quels centres, radars, radios, systèmes de messagerie et chemins de secours peuvent recevoir le trafic du nouvel équipement. Le plan doit préciser les seuils d’arrêt, le responsable de décision et le retour arrière réalisable en quelques minutes.

Le changement doit être limité au plus petit périmètre possible. Un déploiement progressif, surveillé par des équipes réseau et opérationnelles distinctes, permet d’observer les sessions, erreurs, files d’attente et processeurs avant d’élargir. Les routeurs doivent protéger leur plan de contrôle, limiter les reconnexions et empêcher qu’un seul voisin consomme toutes les ressources. Les alarmes doivent porter sur le taux de création de sessions et les changements de routes, pas uniquement sur la bande passante totale.

La redondance doit ensuite être testée sous défaut réel. Deux liens ne constituent pas une solution de secours s’ils traversent le même site, dépendent du même fournisseur, utilisent la même configuration erronée ou basculent vers des équipements incapables d’absorber la charge. Un exercice doit simuler la perte de la liaison principale, un routeur qui flappe, un flood interne et l’indisponibilité du système de supervision.

Enfin, l’investigation doit préserver les configurations avant et après changement, les journaux, les compteurs d’interfaces, les tables de routage et, lorsque cela est possible, des captures de paquets. Ces preuves permettent de distinguer erreur, panne matérielle et action malveillante. Déclarer trop vite une cyberattaque peut détourner l’enquête; l’exclure sans télémétrie suffisante serait tout aussi fragile.

La bonne question n’est pas seulement « qui attaque ? »

L’arrêt national américain montre qu’un événement sans adversaire identifié peut produire les effets opérationnels d’un déni de service. Pour les réseaux aéronautiques africains, la priorité est de construire une architecture qui limite l’impact d’un équipement défaillant autant que celui d’un attaquant.

Être cyber-résilient signifie savoir observer le trafic, isoler un site, maintenir les communications essentielles et restaurer progressivement sans perdre la sécurité des vols. L’enquête américaine pourra encore préciser la cause. Les faits disponibles ne justifient pas aujourd’hui le titre de DDoS; ils justifient déjà un examen sérieux de la manière dont les réseaux critiques africains sont migrés et testés.

— ◆ —