Au moins deux enquêtes sont en cours sur une possible atteinte grave à la cybersécurité ayant touché SriLankan Airlines plus tôt cette année, ainsi que sur les raisons pour lesquelles l’incident n’a pas été immédiatement signalé à l’Autorité de l’aviation civile du Sri Lanka (CAASL), a déclaré le vice-ministre de l’Aviation, Janith Ruuwan Kodituwakku.
SriLankan Airlines : enquêtes et mesures réglementaires
Les autorités ignorent encore la nature exacte de l’incident — s’il s’agissait d’un piratage ou d’une menace — et la Sri Lanka Computer Emergency Readiness Team (SLCERT) est en train d’examiner l’affaire, a ajouté le vice-ministre Kodituwakku. Il a précisé qu’Oneworld avait temporairement coupé la connexion entre les points client et cible de SriLankan Airlines et CarrierConnect, la plateforme numérique interne de l’alliance, interruption qui a été rétablie « pour un court instant » après une intervention officielle.
La CAASL a demandé des explications sur le fait que la compagnie ne l’avait pas informée immédiatement. Plusieurs lettres ont été échangées, mais, selon des sources faisant autorité, aucune des explications fournies par la compagnie n’a satisfait aux critères de signalement du régulateur.
L’Aviation Security Directive 009, publiée en mai 2025, stipule : « The company or department should establish a mechanism for reporting suspicious activities, vulnerabilities, thefts, or tampering with hardware and software files within the organisation. » Elle précise également : « Any incident must be reported to CAASL immediately via the following online line: https://portal.caa.lk/avsec-reporting/index.php. »
Le député ministre Weerakoon a déclaré que « le gouvernement accorde une attention sérieuse à cette affaire » et que « l’organisme de réglementation, en particulier, est obligé d’agir lorsque de tels incidents se produisent, mais la CAASL n’avait pas été informée. Au moment où elle en a eu connaissance, une équipe médico-légale a été dépêchée et des dépositions ont été prises. Celles-ci ont été envoyées à la SLCERT. » De son côté, le vice-ministre Kodituwakku a ajouté : « The fact that this was informed to SLCERT means some incident occurred. »
Allégations, démenti et demandes d’enquête indépendante
Au Parlement, le député d’opposition Dayasiri Jayasekera a affirmé que les systèmes logiciels et de messagerie de la compagnie avaient été compromis et que des pirates avaient publié sur le dark web une vidéo revendiquant l’attaque et réclamant 50 000 dollars en cryptomonnaie.
Dans un communiqué officiel, SriLankan Airlines a nié catégoriquement « its information technology (IT) systems were hacked, hijacked or otherwise compromised, or that the airline is under the control of hackers ». La compagnie a toutefois déclaré que, « Upon becoming aware of the claim made on 29 June 2026, SriLankan Airlines immediately undertook the necessary investigations, technical assessments and precautionary measures. »
Le syndicat Inter Company Employees’ Union (ICEU), branche de SriLankan Airlines affiliée au Janatha Vimukthi Peramuna, a dénoncé un enlisement de l’affaire et parlé d’une dissimulation. Nisal Adikari, responsable de la branche, a affirmé : « The airline is dragging this matter and not allowing for a proper investigation to take place. »
Dans une lettre adressée au directeur général par intérim Vipul Mishra, l’ICEU demande une enquête médico-légale et administrative indépendante sur des « cyberattaques systémiques, une non-conformité statutaire, de l’intimidation au travail et des licenciements constructifs en représailles ». La lettre relate qu’au 29 juin, un groupe se désignant « Infrastructure Destruction Squad » (alias « Blacknet-00 ») aurait publié des « actionable claims of having penetrated the corporate network infrastructure of SriLankan Airlines ». Le même jour, la lettre indique que Richard W. Whitmer, attaché TSA à l’ambassade des États-Unis à Singapour, a envoyé une communication urgente alertant la compagnie d’une « alleged cybersecurity breach and offered assistance ». Selon l’ICEU, la haute direction informatique a alors rejeté et étouffé cette intervention sans procéder à un audit médico-légal indépendant.
Le syndicat réclame une enquête indépendante au regard du droit sri-lankais et des normes de l’aviation : « Under Sri Lankan law and aviation standards, internal management cannot investigate itself where serious allegations of misconduct, cyber sabotage, and cover-ups involve the highest levels of the department. » Il invoque notamment l’article relatif à l’Aviation Safety & Critical Infrastructure Protection (Civil Aviation Act No. 14 of 2010), en soulignant que les systèmes informatiques des compagnies interfacent directement avec les réservations passagers, la réconciliation des bagages, la planification charges/centrage et les communications de vol.
L’enquête et les démarches réglementaires se poursuivent ; les autorités et la compagnie ont transmis des éléments à la SLCERT, tandis que des demandes d’éclaircissements restent en attente de réponses jugées satisfaisantes par le régulateur.
