La Chine soupçonnée dans une cyberattaque contre une entreprise spatiale suisse

Beyond Gravity est au cœur d’une opération de cyberattaque présumée liée à un État. L’entreprise spatiale suisse détenue par l’État a signalé une attaque ciblée au début du mois d’octobre, qualifiant son auteur présumé d’« acteur hautement professionnel ». Plusieurs personnes au fait du dossier ont déclaré à la télévision publique suisse SRF que des responsables de l’entreprise et de l’administration fédérale soupçonnent en interne la Chine d’en être responsable.

Cette attribution n’a pas été confirmée. Beyond Gravity affirme que l’origine de l’attaque fait toujours l’objet d’une enquête, tandis que le Département fédéral de la défense et l’Office fédéral de la cybersécurité examinent l’incident. L’entreprise a également déposé une plainte pénale contre inconnu auprès du Ministère public bernois.

L’affaire est importante car Beyond Gravity fait partie d’un réseau industriel stratégique. L’entreprise développe des technologies pour les satellites et les fusées, fournit le programme européen Ariane et travaille avec la NASA. Ses systèmes et son savoir-faire relient l’industrie manufacturière suisse à de grands projets spatiaux internationaux.

Les informations disponibles ne permettent pas d’établir comment les attaquants ont pénétré dans les systèmes de l’entreprise ni quelles données ils ont consultées. Les autorités suisses évaluent actuellement la fuite, ses conséquences et la nécessité d’éventuelles mesures supplémentaires de la part des autorités fédérales.

Les enquêteurs suisses n’ont pas encore publié d’éléments permettant d’identifier l’attaquant. Le reportage de SRF fait état d’une hypothèse interne à Beyond Gravity et à l’administration fédérale selon laquelle la Chine aurait été impliquée. L’entreprise et le Département fédéral de la défense ont refusé de confirmer publiquement cette appréciation.

Cette prudence reflète la difficulté d’attribuer les cyberattaques. Les enquêteurs doivent déterminer comment les intrus ont obtenu l’accès, quelles infrastructures ils contrôlaient et si l’opération reposait sur des outils ou des techniques associés à un groupe connu. Des indices techniques peuvent signaler des liens avec un pays sans pour autant prouver qu’un gouvernement a ordonné ou mené une opération.

Ralph Weber, professeur à l’Institut européen de l’Université de Bâle, qui étudie les services de renseignement chinois, a dit que ces soupçons ne le surprenaient pas. « La Chine a des visées dans l’espace », a-t-il déclaré, soulignant l’importance du secteur pour les services de renseignement et l’intense rivalité stratégique entre la Chine et les États-Unis.

Le Ministère public de la Confédération, qui traite les infractions politiquement sensibles, notamment l’espionnage, n’est pas intervenu dans l’affaire jusqu’à présent. L’enquête reste entre les mains des autorités qui examinent déjà l’incident, et aucune attribution n’a été confirmée publiquement.

La fuite présumée semble avoir impliqué le vol de données. La nature précise des données dérobées à Beyond Gravity n’a pas été communiquée. Maya Graf, parlementaire des Vert-e-s et présidente de la Commission de gestion du Conseil des États, a déclaré que les Commissions de gestion du Parlement avaient été informées et qu’un rapport sur l’incident de sécurité leur avait été remis.

Une sous-commission compétente décidera si des mesures supplémentaires sont nécessaires. Cette procédure permet aux parlementaires d’examiner la réponse du gouvernement, les mesures de protection de l’entreprise et l’éventuelle exposition d’informations commerciales ou techniques sensibles. Elle permet également au Parlement d’évaluer si l’incident a touché des intérêts publics au-delà de Beyond Gravity.

Le rôle de l’entreprise rend la question des informations particulièrement importante. Beyond Gravity fournit des composants et des technologies à de grands programmes spatiaux, notamment les fusées Ariane européennes et les missions de la NASA. Les informations disponibles ne précisent pas si des systèmes de clients ont été touchés, si des informations classifiées étaient concernées ni quel volume de données a été extrait.

Ces inconnues détermineront l’évaluation finale des dommages. Les autorités devront distinguer les informations d’entreprise ordinaires du savoir-faire technique précieux et des données ayant des implications pour la sécurité. Tant que les enquêteurs n’auront pas publié de conclusions supplémentaires, l’ampleur et les conséquences de la fuite ne pourront pas être évaluées de manière fiable.

L’incident ravive un chapitre douloureux de l’histoire de Ruag International. Il y a plus de dix ans, le groupe Ruag au sens large a subi une cyberattaque ciblée et de grande ampleur. Les enquêteurs ont découvert par la suite que des logiciels espions avaient gravement compromis la sécurité informatique. Les détails ont été rendus publics en 2016.

À l’époque, des spécialistes soupçonnaient la Russie. Le Ministère public de la Confédération a ouvert une procédure pénale, puis l’a suspendue en 2018, faute d’avoir pu identifier les auteurs. L’attaque a eu des conséquences dépassant la perte immédiate de contrôle des systèmes informatiques. Le gouvernement suisse a finalement scindé le groupe, séparant les activités au service de l’Armée suisse dans une entité devenue Ruag MRO.

Plusieurs unités de Ruag International ont ensuite été vendues. Beyond Gravity a principalement fait exception et reste intégrée à la structure du groupe axée sur le secteur spatial. Cet historique donne à l’incident récent un contexte institutionnel direct. Il s’agit d’une nouvelle attaque visant une entreprise ayant une expérience confirmée dans le traitement de technologies stratégiquement précieuses.

L’affaire précédente illustre également les limites des poursuites dans les cyberattaques liées à des États. Même lorsque les enquêteurs identifient des méthodes ou des affiliations probables, les procédures judiciaires peuvent piétiner faute de preuves répondant aux exigences légales.

Le secteur spatial suisse est désormais confronté à une épreuve en matière de sécurité, de transparence et de résilience. Beyond Gravity est une entreprise détenue par l’État, active dans un domaine où l’ingénierie commerciale et les intérêts stratégiques nationaux se recoupent. Ses activités pour les programmes spatiaux européens et américains signifient qu’une fuite peut susciter des préoccupations dépassant largement le réseau de l’entreprise.

Pour le gouvernement fédéral, les priorités immédiates sont d’établir ce qui s’est passé, de mettre fin à tout accès qui se poursuivrait et de déterminer si les partenaires ou les autorités de surveillance doivent être informés. Les Commissions de gestion du Parlement ont déjà reçu un rapport, et leur sous-commission décidera si un examen plus approfondi est nécessaire.

L’attribution à la Chine restera délicate tant que l’enquête se poursuivra. Désigner publiquement un responsable entraîne des conséquences diplomatiques et juridiques, en particulier lorsque les enquêteurs n’ont pas communiqué les éléments techniques. Les autorités suisses doivent donc distinguer les faits confirmés des évaluations des services de renseignement et des informations relayées par les médias.

L’affaire attire également l’attention sur la protection du savoir-faire industriel spécialisé. Les fournisseurs de satellites et de fusées peuvent détenir des informations de valeur commerciale, sensibles sur le plan opérationnel ou utiles à des programmes spatiaux étrangers. Les éléments disponibles ne montrent pas encore ce que les attaquants ont obtenu. La réponse déterminera s’il s’agissait d’une fuite limitée à l’entreprise ou d’un incident de sécurité plus large touchant le rôle de la Suisse dans la fabrication spatiale internationale.