En exploitant les traces publiques en ligne, des chercheurs ont reconstitué les systèmes d’aéroport sans y pénétrer

Un aéroport n’a pas besoin d’être pénétré pour que son organisation informatique se dessine en partie. En croisant des registres d’adresses IP, des archives DNS et des bases d’identifiants compromis, des chercheurs de Flare ont reconstitué des éléments de l’infrastructure de six opérateurs nord-américains, sans se connecter à leurs systèmes internes. Leur travail relève de l’OSINT et du cyberrenseignement : exploiter des traces publiques ou déjà diffusées pour comprendre une cible, sans intrusion.

Le bilan donne une idée de ce que ces indices peuvent révéler : 165 systèmes identifiés par leur nom et 253 comptes de collaborateurs repérés dans des fuites. Certains noms évoquent des fonctions sensibles, comme le contrôle des badges, la gestion du carburant ou la surveillance des bâtiments. Les chercheurs ont aussi retrouvé des identifiants récents, dont celui d’une console d’administration de l’authentification multifacteur. Cela ne prouve pas que ces accès sont encore valides, mais montre comment une empreinte numérique peut exposer des informations utiles à un attaquant avant même qu’il tente d’approcher une infrastructure critique.

En bref : ce que les traces en ligne révèlent sur les aéroports

• Six opérateurs ont pu être cartographiés en détail à partir de données accessibles ou de fuites connues.
• Les chercheurs ont identifié 165 systèmes et recensé 253 comptes apparaissant dans des bases d’identifiants compromis.
• La majorité des enregistrements provenait d’anciennes compilations ; Flare n’a pas vérifié si les mots de passe étaient encore utilisables.
• Un identifiant associé à une console de gestion MFA aurait été dérobé par un logiciel espion sur un poste Windows 11.
• La méthode révèle des indices sur la surface d’attaque, mais ne démontre pas que les équipements opérationnels sont accessibles depuis Internet.

OSINT aéroportuaire : cartographier les systèmes sans intrusion

Pour comprendre l’approche, imaginons Nora, analyste chargée d’évaluer les informations exposées par un opérateur aéroportuaire. Elle ne teste aucun mot de passe et ne force aucune porte : elle commence par les registres publics d’adresses IP, puis les rapproche d’autres sources disponibles. Cette reconnaissance numérique construit une vue partielle de l’organisation à partir de données dispersées.

Le DNS passif joue ici un rôle central. Le DNS associe les noms de machines à des adresses Internet ; ses archives permettent de retrouver des noms observés au fil du temps. En partant d’adresses IP attribuées aux opérateurs plutôt que du seul nom de l’aéroport, Flare a découvert jusqu’à six fois plus de noms, notamment des domaines secondaires. Dans un cas, l’examen d’un domaine supplémentaire a fait passer le nombre de comptes compromis repérés de 14 à 211.

Ces noms sont souvent parlants parce qu’ils sont choisis pour aider les équipes techniques à identifier les équipements. Ils peuvent désigner des systèmes de badges, de lecture de plaques, de gestion de bâtiments ou de suivi météorologique. Ce vocabulaire fournit des indices sur l’organisation informatique, mais un nom évocateur ne signifie pas que le système correspondant est directement accessible.

Des noms de machines qui dessinent les métiers de l’aéroport

Dans l’étude, les chercheurs ont recensé 165 systèmes nommés, parmi lesquels des outils associés à la gestion du carburant, à l’affichage des vols ou à la surveillance des eaux pluviales. La moitié des opérateurs examinés exposaient aussi des noms correspondant à des environnements de test d’applications de sécurité, d’authentification ou de gestion métier.

Ces informations ne donnent pas automatiquement accès aux systèmes concernés. Plusieurs noms pointaient vers un pare-feu ou un VPN, et aucun des automates ni des outils de supervision étudiés ne répondait directement depuis Internet. La cartographie des systèmes révèle donc des fonctions et des relations possibles, pas une preuve d’intrusion ni un plan d’accès garanti.

Identifiants compromis : le risque ne se limite pas aux anciennes fuites

Sur quatorze domaines de messagerie associés aux opérateurs repérés, Flare en a examiné trois dans des bases de données de fuites. Les chercheurs ont trouvé 950 enregistrements associant une adresse à un mot de passe, rattachés à 253 comptes distincts. Un même salarié pouvant apparaître plusieurs fois, le nombre d’enregistrements ne correspond pas à celui des personnes touchées.

Dans 81 % des enregistrements, le mot de passe apparaissait en clair. Ce chiffre doit être interprété avec prudence : 930 lignes provenaient de compilations réutilisant des fuites anciennes, certaines remontant à 2008. Par ailleurs, 147 comptes avaient réapparu dans des jeux de données publiés au cours des deux années précédant l’analyse. Flare n’ayant pas essayé les mots de passe, leur validité actuelle reste inconnue.

Élément observé Résultat rapporté Ce que cela signifie

Systèmes nommés 165 Des indices sur les fonctions informatiques déclarées par les opérateurs

Comptes repérés 253 Des adresses apparaissant dans des sources d’identifiants compromis

Enregistrements de fuite 950 Plusieurs occurrences peuvent concerner un même compte

Mots de passe visibles en clair 81 % des enregistrements Une exposition dans les données consultées, sans vérification de validité

Comptes liés à des incidents récents 5 Des identifiants associés à des infostealers ou à des campagnes de phishing

Une console MFA visée par un infostealer

Parmi les cinq comptes associés à des infections récentes ou à des attaques ciblées, l’un correspondait à une console d’administration de l’authentification multifacteur d’un opérateur. L’identifiant aurait été capturé en avril 2026 sur un ordinateur Windows 11 infecté par un infostealer, un logiciel malveillant conçu pour récupérer discrètement des informations enregistrées sur un appareil.

Si le compte possède des droits étendus, son contrôle pourrait permettre de modifier des règles de connexion, d’ajouter un appareil ou de créer des exceptions. L’étude ne démontre pas qu’un tiers a utilisé cet identifiant, ni qu’il était encore actif ; elle souligne plutôt qu’un compte d’administration compromis peut fragiliser une protection censée sécuriser d’autres accès.

Les données récupérées autour de cet identifiant comprenaient aussi des éléments sur l’ordinateur et son utilisateur : adresse IP, nom de session, identifiant matériel, version de Windows et localisation. Le profil évoque un poste personnel ou non administré par le service informatique, utilisé également pour le travail. C’est un rappel concret : la sécurité d’un opérateur dépend aussi des appareils qui se trouvent à la périphérie de son réseau.

Failles périphériques et limites de la cartographie aéroportuaire

Les chercheurs ont relevé plusieurs signaux préoccupants autour des points de connexion avec l’extérieur : une passerelle d’accès à distance d’un grand fournisseur concerné par des vulnérabilités exploitées, un ancien protocole de surveillance réseau protégé par un mot de passe jugé facile à deviner, ainsi qu’un équipement resté en fonctionnement continu pendant 2 137 jours. Cette durée peut suggérer des correctifs en attente, car certaines mises à jour nécessitent un redémarrage, mais elle ne suffit pas à prouver qu’un appareil n’a pas été mis à jour.

Un autre indice est apparu dans des messages Telegram publiés en mai et juin 2026 : un domaine étudié figurait dans cinq messages, dont certains provenaient d’un robot vérifiant des adresses électroniques et d’autres de canaux relayant des fuites. Cette présence indique que le domaine circulait dans des espaces surveillés ; à elle seule, elle ne permet pas d’établir l’identité ni les intentions des personnes qui l’ont mentionné.

La portée de l’étude reste circonscrite. Flare a pu cartographier six opérateurs en détail, alors que les États-Unis comptent environ 520 aéroports certifiés. Les autres n’ont pas été évalués par cette méthode, faute d’adresses IP attribuables ; leur absence des résultats ne constitue donc pas un indicateur de sécurité. Les chercheurs n’ont pas non plus identifié de la même manière les grands groupes aéroportuaires européens dans les registres consultés.

Ce que les équipes de sécurité peuvent retenir

Pour un responsable informatique, l’enjeu est de réduire les informations qui facilitent le repérage et de traiter rapidement les comptes exposés. La vigilance doit porter autant sur les services accessibles à distance et les équipements anciens que sur les systèmes opérationnels eux-mêmes. Flare indique avoir alerté les opérateurs concernés, mais les résultats publiés ne détaillent pas les mesures prises par chacun.

• Inventorier les domaines et adresses IP associés à l’organisation, y compris les environnements de test et les services secondaires.
• Réinitialiser les identifiants exposés et examiner les comptes privilégiés, sans supposer qu’une ancienne fuite est sans conséquence.
• Protéger les consoles MFA et vérifier les appareils enregistrés, les exceptions et les journaux de connexion.
• Mettre à jour les accès distants, les équipements réseau et les protocoles de supervision, puis confirmer leur configuration.
• Encadrer les appareils utilisés pour le travail, notamment lorsqu’ils ne sont pas gérés par les équipes informatiques.

Ces mesures ne transforment pas la reconnaissance en attaque, mais elles réduisent la valeur opérationnelle des renseignements qu’un adversaire pourrait accumuler. Pour une infrastructure critique, limiter les indices publics et fermer les accès périphériques sont deux volets complémentaires de la cybersécurité.

Questions fréquentes sur l’OSINT et les systèmes d’aéroport

Que signifie cartographier un aéroport à partir de traces publiques ?

Il s’agit de rapprocher des informations accessibles, comme les registres d’adresses IP, les archives DNS et les données de fuites, afin d’identifier des domaines, des services ou des fonctions informatiques. Cette démarche ne suppose pas de pénétrer dans les réseaux internes.

Les 253 comptes repérés étaient-ils forcément encore accessibles ?

Non. Les chercheurs ont trouvé des comptes présents dans des bases d’identifiants compromis, mais n’ont pas testé les mots de passe. Les résultats ne confirment donc pas que ces accès fonctionnaient encore.

Un nom de système visible dans le DNS signifie-t-il qu’il est vulnérable ?

Non. Un nom peut révéler le rôle supposé d’un équipement sans montrer qu’il est directement accessible ou exploitable. Dans l’étude, plusieurs noms renvoyaient vers des protections telles qu’un pare-feu ou un VPN.

Pourquoi l’exposition d’une console MFA est-elle sensible ?

Une console d’administration peut servir à gérer les règles de double authentification. Si un identifiant compromis dispose de droits suffisants, il pourrait affaiblir ces contrôles ; l’étude ne prouve toutefois pas qu’un accès a été utilisé.