Une pièce de monnaie pirate l'autopilote d'un Boeing 737

Le 13 août 2026, des chercheurs de l'Université de Californie à San Diego et du Oberlin College présenteront à la conférence Usenix sur la cybersécurité une technique de piratage capable de prendre le contrôle de l'autopilote d'un Boeing 737 à l'aide d'un dispositif de la taille d'une pièce de monnaie, équipé du Wi-Fi.

Ce dispositif, construit pour moins de 100 dollars, peut être installé en moins d'une minute via un port accessible de l'extérieur de l'avion. Une fois connecté, il envoie des signaux électriques sur le réseau interne de l'avion pour usurper des commandes destinées à l'ordinateur de gestion de vol et à l'unité d'affichage multifonction.

Cela permet à un attaquant de rediriger la navigation de l'autopilote ou de falsifier des variables telles que le poids et la température extérieure, tout en masquant ces modifications sur l'écran du pilote. De telles fausses données pourraient provoquer une sortie de piste au décollage ou détourner un vol vers l'espace aérien d'un autre pays, pouvant entraîner un accident.

La recherche, dirigée par les professeurs de l'UCSD Stefan Savage et Aaron Schulman, a commencé il y a plus de dix ans. L'équipe a acheté pour des dizaines de milliers de dollars de composants de 737 d'occasion pour construire un banc d'essai avionique appelé Triton, assemblé en 2019. L'étudiant Sam Crowe a ensuite découvert un port spécifique, protégé uniquement par une trappe non verrouillée, qui se connecte à un bus de données critique. En envoyant des signaux électriques à courant plus élevé, Crowe a pu remplacer les commandes légitimes, une technique baptisée « Bus Driver ».

Boeing a été alerté pour la première fois au printemps 2020 et a collaboré avec les chercheurs, allant même jusqu'à autoriser des tests dans son laboratoire. Cependant, la déclaration de Boeing à WIRED a minimisé le risque, affirmant que ses couches de protection « fournissent une atténuation suffisante pour limiter considérablement la faisabilité et le risque d'attaques dans le monde réel ». Les chercheurs affirment que Boeing n'a divulgué aucun correctif technique, et ils pensent que des mises à jour pourraient ne pas arriver avant des années en raison de la rareté des refontes d'avions.

Les chercheurs suggèrent des correctifs immédiats comme boucher le port avec de l'époxy ou le retirer, et des solutions à long terme telles que des défenses logicielles, une isolation électrique ou une authentification cryptographique. Ils soulignent qu'ils continueront à voler sur des 737 et ne demandent pas la mise au sol des avions, mais insistent sur la nécessité d'améliorer la sécurité opérationnelle.

Beau Woods, consultant en cybersécurité qui a examiné les travaux et conseille l'Agence de cybersécurité et de sécurité des infrastructures, tout en étant membre du Conseil technique de cybersécurité industrielle de Boeing, a déclaré que l'article fournit « des preuves empiriques solides sur certains scénarios réalistes pour des adversaires de haute capacité ». Woods a ajouté que les modèles de menace doivent évoluer avec les progrès technologiques.