BAE Systems : cyberattaque sur les tribunaux de faillite US

Ce qui s'est passé

Depuis le 9 octobre 2026, les tribunaux fédéraux de faillite américains se retrouvent dans l'impossibilité d'émettre ou de distribuer leurs notifications officielles. La cause : une cyberattaque ayant directement visé BAE Systems, le contractant gouvernemental qui opère le Bankruptcy Noticing Center (BNC) pour le compte du système judiciaire fédéral. L'incident a été confirmé publiquement le 15 octobre par l'Administrative Office of the US Courts (AO), qui supervise l'ensemble de l'infrastructure informatique judiciaire fédérale.

Le BNC constitue l'épine dorsale administrative de la justice des faillites américaine. Chaque année, il traite des dizaines de millions de notifications légales expédiées aux créanciers, débiteurs, avocats et fiduciaires dans le cadre des chapitres 7 (liquidation), 11 (redressement d'entreprise), 12 (exploitations agricoles) et 13 (plan de remboursement individuel) du code fédéral des faillites. Ces notifications constituent des actes judiciaires officiels dont la transmission conditionne les délais légaux et les droits des parties. Leur interruption n'est pas une simple gêne opérationnelle : elle crée un vide procédural potentiellement grave pour des milliers de dossiers en cours sur tout le territoire américain.

Les systèmes mis hors ligne incluent les portails bnc.uscourts.gov, bankruptcynotices.uscourts.gov et notices.uscourts.gov, ainsi que le National Creditor Registration Service (NCRS), qui permet aux créanciers institutionnels de gérer leurs préférences de réception des avis judiciaires. L'ensemble de ces plateformes est opéré par BAE Systems dans le cadre d'un contrat fédéral pluriannuel. Dès la constatation de l'incident, BAE Systems a lancé une investigation interne tout en coordonnant ses actions avec l'AO et les juridictions concernées, selon les informations rapportées par BleepingComputer et l'ABA Journal.

Ni BAE Systems ni l'AO n'ont, à ce stade, communiqué sur la nature précise de l'attaque. Ransomware, intrusion ciblée, compromission de chaîne d'approvisionnement ou autre vecteur d'infection restent des pistes ouvertes. La durée de l'interruption — déjà supérieure à une semaine au moment où l'information est devenue publique — suggère une atteinte profonde aux systèmes, excluant une simple défaillance technique à résolution rapide. Selon des sources spécialisées dont OODAloop et CyberPress, aucune revendication d'un groupe cybercriminel identifié n'avait été recensée au 16 octobre 2026.

Le profil de BAE Systems en tant que cible mérite une attention particulière. Connu principalement pour ses activités dans la défense et l'aérospatiale, le groupe britannique est également un prestataire IT majeur pour des administrations américaines et britanniques. Cette exposition comme intermédiaire entre des agences gouvernementales et des infrastructures critiques en fait une cible de choix pour des acteurs étatiques ou criminels cherchant à provoquer des disruptions systémiques sans attaquer directement les juridictions — souvent dotées de protections plus robustes. La tactique consistant à frapper un contractant périphérique pour paralyser une infrastructure critique est caractéristique de certains groupes APT et d'opérateurs de ransomware de premier plan.

L'AO a indiqué aux juridictions affectées qu'elles doivent recourir à des procédures alternatives, notamment l'envoi postal direct ou l'utilisation des systèmes locaux de gestion des dossiers CM/ECF. Cette situation impose une charge opérationnelle considérable sur des greffes déjà sous pression, en particulier dans les districts à volume élevé comme ceux de New York, Los Angeles ou Chicago. Les délais légaux — notamment les délais de dépôt de créances ou d'objection au plan — risquent d'être compromis si l'interruption se prolonge au-delà de plusieurs semaines.

Ce n'est pas la première fois que BAE Systems se retrouve au centre d'un incident ayant des implications pour des administrations publiques. L'incident actuel soulève des interrogations légitimes sur les niveaux de résilience exigés contractuellement des prestataires IT opérant des infrastructures critiques pour le compte de la justice fédérale, et sur l'absence manifeste de mécanismes de bascule automatique capables de maintenir les opérations en mode dégradé.

L'incident s'inscrit dans un contexte de montée en puissance des attaques ciblant les contractants gouvernementaux américains. Selon le rapport Microsoft Digital Defense 2026, les acteurs étatiques ont significativement intensifié leurs opérations contre les prestataires IT du secteur public au cours des 18 derniers mois. Le vecteur des third-party contractors est devenu l'un des principaux modes d'accès initial pour compromettre des systèmes gouvernementaux tout en maintenant une distance opérationnelle vis-à-vis des cibles finales.

Pourquoi c'est important

L'attaque sur BAE Systems révèle une vulnérabilité structurelle profonde du système judiciaire américain : sa dépendance à des prestataires tiers uniques pour l'opération d'infrastructures sans lesquelles la justice ne peut fonctionner. Le BNC n'est pas un système périphérique — c'est l'infrastructure de notification qui conditionne les droits légaux de millions de créanciers et de débiteurs dans toutes les procédures de faillite fédérales. Son interruption prolongée peut avoir des conséquences directes sur des dizaines de milliers de procédures actives : délais légaux manqués, droits de créanciers compromis, ordonnances de tribunaux retardées.

Pour les entreprises et les praticiens du droit, cet incident illustre un risque souvent négligé dans les analyses de risque cyber : la concentration de fonctions judiciaires critiques chez un contractant unique sans plan de continuité d'activité robuste et testé. La question fondamentale n'est pas tant de savoir comment BAE Systems a été compromis, mais pourquoi il n'existait pas de mécanisme de bascule automatique permettant au BNC de continuer à fonctionner en mode dégradé. Les standards NIST SP 800-34 et les recommandations de la CISA imposent précisément ce type de redondance opérationnelle pour les systèmes à impact critique.

Pour les RSSI des prestataires gouvernementaux, cet incident vient s'ajouter à une liste préoccupante d'attaques réussies contre des contractors fédéraux en 2025-2026. Le modèle d'attaque est désormais bien établi : cibler les maillons intermédiaires de la chaîne de prestation de services gouvernementaux plutôt que les agences elles-mêmes, mieux défendées et plus surveillées. Cette évolution tactique impose une réévaluation des exigences de sécurité imposées aux sous-traitants publics, notamment en termes de cloisonnement réseau, de détection d'intrusion et de capacité de réponse à incident sous contrainte de temps.

Sur le plan législatif, l'incident pourrait accélérer les discussions au Congrès sur le renforcement des obligations de cybersécurité pesant sur les prestataires IT du gouvernement fédéral. Plusieurs propositions visant à étendre les standards FISMA aux contractants opérant des systèmes critiques pour le gouvernement étaient en attente d'examen. Un incident d'une telle visibilité — touchant directement le fonctionnement de la justice fédérale — pourrait fournir l'impulsion politique nécessaire à leur adoption.

Ce qu'il faut retenir

• Depuis le 9 octobre 2026, une cyberattaque sur BAE Systems a paralysé le Bankruptcy Noticing Center, rendant impossible toute notification officielle dans les procédures de faillite fédérales américaines.
• L'incident illustre la vulnérabilité des systèmes judiciaires et gouvernementaux via leurs contractants IT, un vecteur d'attaque de plus en plus exploité par des acteurs étatiques et criminels sophistiqués.
• Les créanciers, débiteurs et praticiens du droit impliqués dans des procédures fédérales de faillite doivent contacter directement leurs juridictions locales pour connaître les procédures alternatives en vigueur.