Attaques numériques
Conformité en cybersécurité : ILC Dover et ILC Astrospace paieront 13 millions de dollars pour régler des allégations selon lesquelles elles n'auraient pas respecté les exigences de cybersécurité de contrats avec l'armée américaine et la NASA
Conformité en cybersécurité : ILC Dover et ILC Astrospace paieront 13 M$ pour régler des allégations du False Claims Act, sans responsabilité établie.
En bref
- Le ministère américain de la Justice a annoncé le 3 novembre 2026 que les sous-traitants de la défense et de l'aérospatiale ILC Dover et ILC Astrospace, établis dans le Delaware, paieront 13 millions de dollars pour régler des allégations fondées sur le False Claims Act.
- Selon les allégations, entre janvier 2018 et octobre 2024, les sociétés ont présenté des demandes de paiement en sachant qu'elles ne respectaient pas les exigences de cybersécurité prévues dans des contrats avec l'armée américaine, la Missile Defense Agency et la NASA.
- L'affaire a été engagée par un lanceur d'alerte, l'ancien directeur de la cybersécurité des sociétés, qui recevra 2,35 millions de dollars sur le montant de l'accord.
- Statut : accord civil. Selon l'annonce, les griefs ne sont que des allégations et aucune responsabilité n'a été établie.
Ce qui est reproché aux sociétés
Selon l'annonce du ministère de la Justice, les allégations portent sur cinq points (ministère américain de la Justice) :
- Le stockage d'informations non classifiées contrôlées (CUI) chez un fournisseur cloud tiers entre février 2023 et octobre 2024, sans s'assurer que ce fournisseur respectait des normes de sécurité équivalentes au référentiel FedRAMP Moderate.
- L'absence, pendant une partie de la période, d'un plan de sécurité du système documenté et à jour pour chaque système d'information concerné.
- La mise en œuvre incomplète des contrôles prévus par NIST SP 800-171 et NIST SP 800-53.
- L'absence, pendant une partie de la période, de plans d'action pour corriger les lacunes et réduire les vulnérabilités.
- La non-transmission au ministère américain de la Défense d'une évaluation NIST SP 800-171 à jour, entre novembre 2020 et octobre 2024.
Qui a révélé l'affaire et qui a enquêté
L'affaire a été engagée en vertu des dispositions du False Claims Act relatives aux lanceurs d'alerte, qui permettent à une personne privée d'agir en justice au nom de l'État et de percevoir une part des sommes recouvrées. Elle a été introduite devant le tribunal fédéral du district du Delaware. L'enquête a notamment mobilisé les services d'enquête du ministère de la Défense, de l'armée américaine et de la NASA.
Le procureur général adjoint Brett A. Shumate a déclaré dans l'annonce que les sous-traitants doivent respecter les exigences de cybersécurité de leurs contrats fédéraux (ministère américain de la Justice).
Ce que cela signifie pour les entreprises et les fournisseurs
L'accord montre qu'une défaillance en cybersécurité peut se transformer en allégation de fraude lorsqu'une entreprise continue de facturer au titre d'un contrat qui exige le respect d'une norme. Pour une entreprise qui choisit un fournisseur ou un partenaire appelé à détenir des informations sensibles, la due diligence devrait inclure une question simple : ses déclarations de conformité sont-elles étayées par une documentation réelle ? Comme ici, un salarié qui connaît la faille de l'intérieur peut être celui qui la révèle.
Sources : ministère américain de la Justice, 03.11.2026.
Pour aller plus loin : Due diligence : de quoi s'agit-il et quand en avez-vous besoin, Vérification des antécédents avant une transaction, et Service de renseignement économique et de due diligence.
Les informations de cette rubrique sont générales et ne constituent pas un conseil juridique. Selon l'annonce du ministère de la Justice, les griefs réglés par l'accord ne sont que des allégations et aucune responsabilité des sociétés n'a été établie.
