Une infrastructure judiciaire critique à l’arrêt
Le 9 octobre 2026 au soir, BAE Systems Inc. informait l’Administrative Office of the US Courts d’un problème majeur : un incident de cybersécurité venait de frapper les systèmes informatiques du Bankruptcy Noticing Center (BNC). Plus d’une semaine plus tard, l’ensemble du système national de notification des procédures de faillite fédérales américaines reste hors ligne, sans perspective de rétablissement annoncée.
Le BNC n’est pas un service administratif parmi d’autres. Cette plateforme centralisée gère l’envoi automatisé de toutes les notifications officielles dans les procédures de faillite fédérales : convocations aux audiences, délais de dépôt des réclamations, décisions de justice. Selon le communiqué officiel de la justice américaine publié le 15 octobre, l’incident a rendu inaccessibles tous les domaines liés au BNC (bnc.uscourts.gov, bankruptcynotices.uscourts.gov, notices.uscourts.gov) ainsi que le National Creditor Registration Service.
« La production et la distribution de notifications de faillite pour tous les tribunaux de faillite du pays sont interrompues », précise le communiqué. Concrètement, créanciers, débiteurs et avocats naviguent à l’aveugle dans des procédures où chaque délai manqué peut avoir des conséquences financières ou juridiques majeures.
BAE Systems : quand le contractant de défense devient le maillon faible
L’ironie de la situation n’échappera à personne : BAE Systems, l’un des plus grands contractants de défense au monde, censé maîtriser les enjeux de cybersécurité pour des systèmes militaires sensibles, ne parvient pas à sécuriser un système de notification administratif. La filiale américaine de ce géant britannique opère le BNC pour le compte de la justice fédérale américaine depuis des années.
Un porte-parole de BAE Systems a confirmé être « conscient d’un incident de sécurité isolé au système BNC » et avoir pris « des mesures immédiates » pour y remédier, en « coordination étroite » avec les tribunaux. Mais ni l’entreprise ni la justice n’ont divulgué de détails techniques : s’agit-il d’une cyberattaque délibérée, d’un ransomware, d’une intrusion ? Des données ont-elles été compromises ou exfiltrées ?
Ce silence radio, qui perdure après plus d’une semaine, est en soi révélateur. Dans les incidents cyber modernes, la transparence rapide est devenue la norme pour maintenir la confiance. L’absence totale d’information suggère soit une compromission très grave nécessitant une enquête criminelle approfondie, soit une incompréhension totale de l’incident par BAE Systems elle-même — deux scénarios également alarmants.
Un point de défaillance unique aux conséquences systémiques
Cet incident met en lumière un problème d’architecture critique : le BNC constitue un point de défaillance unique (single point of failure) pour l’ensemble du système de faillite américain. Aucun système de secours, aucune redondance géographique, aucun plan B immédiatement opérationnel.
Certes, comme le précise Reuters dans sa couverture du 16 octobre, les tribunaux continuent d’accepter les nouveaux dépôts de dossiers et les notifications électroniques aux avocats enregistrés fonctionnent encore. Mais tout le pipeline de notification aux créanciers et parties tierces — le cœur même du processus de faillite — est paralysé.
Pour les avocats spécialisés en faillite, l’impossibilité d’accéder au National Creditor Registration Service signifie qu’ils ne peuvent plus générer les listes de diffusion obligatoires pour notifier les créanciers. Pour les créanciers eux-mêmes, particulièrement les petites entreprises ou les particuliers, c’est le black-out total : impossible de savoir quand déposer leurs réclamations, quand se présenter aux audiences, quels délais respecter.
Le tribunal de faillite du Eastern District of Texas, dans son avis public, confirme que BAE Systems a alerté l’Administrative Office « tard le vendredi 9 octobre », ce qui signifie que la direction administrative du système judiciaire était informée dès le premier soir. Une semaine plus tard, le système reste à terre.
Impact économique invisible et distorsions de marché
Au-delà de l’aspect purement administratif, cet incident crée des distorsions économiques rarement évoquées dans la couverture médiatique. Les procédures de faillite aux États-Unis représentent des centaines de milliards de dollars en restructuration de dette chaque année.
Une semaine de retard dans les notifications peut modifier les équilibres de pouvoir entre créanciers, retarder des acquisitions d’actifs en difficulté, et créer des opportunités d’arbitrage pour les initiés disposant d’informations par d’autres canaux. Les grands cabinets d’avocats et les fonds spécialisés en dette distressed ont accès à des réseaux d’information alternatifs. Les petits créanciers, eux, dépendent entièrement des notifications officielles du BNC.
Cette asymétrie d’information favorise les acteurs les mieux connectés au détriment de la transparence censée caractériser les procédures judiciaires américaines.
Souveraineté numérique : un contractant britannique pour une infrastructure américaine
Un angle rarement abordé dans l’analyse de cet incident : BAE Systems est une entreprise britannique. Sa filiale américaine opère certes sous juridiction américaine, mais l’entité mère reste étrangère. Dans le contexte post-Brexit et de tensions géopolitiques croissantes, cette situation soulève des questions de souveraineté numérique.
Si cet incident avait impliqué un contractant chinois ou russe, la réaction politique serait explosive. Le fait qu’il s’agisse d’un allié historique masque des interrogations légitimes sur la dépendance à des entités étrangères pour des fonctions régaliennes, même alliées.
La France, avec sa doctrine de souveraineté numérique portée par l’ANSSI, ou la Chine avec sa stratégie d’autonomie technologique, ont fait des choix différents. Les États-Unis, champions historiques de l’externalisation et de l’efficacité par le marché, découvrent les vulnérabilités de ce modèle appliqué aux infrastructures critiques.
Implications pratiques pour les professionnels
Pour les avocats en faillite, la situation impose une documentation méticuleuse de tous les retards de notification pour justification ultérieure auprès des tribunaux. Les dossiers critiques nécessitant des notifications urgentes doivent être identifiés, et des canaux alternatifs explorés (courrier recommandé traditionnel, bien que juridiquement incertain dans ce contexte).
Les administrateurs judiciaires font face à une accumulation de notifications en attente et à l’impossibilité de respecter les délais légaux, créant un risque de contentieux futur sur les délais de prescription.
Pour les responsables de la sécurité des systèmes d’information (RSSI) dans le secteur public ou gérant des infrastructures critiques, cet incident constitue un cas d’école. Il illustre la nécessité de réviser les contrats avec les fournisseurs IT critiques pour inclure des SLA (Service Level Agreements) plus stricts, des pénalités dissuasives, et surtout des plans de continuité d’activité testés régulièrement.
La question centrale : pourquoi un plan de continuité n’a-t-il pas été activé immédiatement ? Soit il n’existait pas, soit il s’est révélé inopérant — deux défaillances graves pour un système aussi critique.
Scénarios futurs et questions ouvertes
À court terme (1-3 mois), le rétablissement progressif du BNC est probable, avec des mesures de sécurité renforcées. Le délai typique pour ce type d’incident se situe entre 2 et 4 semaines. Un rapport préliminaire devrait être publié, et le traitement de l’arriéré de notifications débutera, probablement avec priorisation des cas critiques.
À moyen terme (6-12 mois), plusieurs scénarios se dessinent. Si l’incident était une attaque par ransomware classique sans exfiltration de données, l’impact restera limité à des pénalités contractuelles pour BAE Systems. Mais si des données sensibles ont été volées — informations financières de milliers d’entreprises et individus —, les conséquences seront autrement plus graves : obligations de notification, enquêtes du Congrès, remise en question du contrat.
Le scénario le plus préoccupant : l’attribution de l’incident à un acteur étatique (Chine, Russie, Corée du Nord), qui déclencherait une réponse géopolitique et une refonte complète de la sécurité des infrastructures judiciaires américaines, avec restrictions accrues sur les contractants étrangers.
Plusieurs questions restent sans réponse. S’agit-il d’une attaque ciblée visant spécifiquement le système judiciaire américain, ou BAE Systems était-il une cible d’opportunité ? Pourquoi le rétablissement prend-il plus d’une semaine — cela suggère-t-il une compromission profonde nécessitant une reconstruction complète des systèmes ? D’autres infrastructures gouvernementales opérées par BAE Systems sont-elles également vulnérables ?
Vers une refonte de la résilience judiciaire ?
Cet incident pourrait catalyser une modernisation du système de faillite américain. Une architecture décentralisée, avec redondance géographique et réduction de la dépendance à un fournisseur unique, s’impose comme évidence technique. Mais la mise en œuvre se heurtera aux réalités budgétaires : le système judiciaire américain est chroniquement sous-financé en modernisation IT.
Pour les investisseurs, l’incident représente un risque réputationnel majeur pour BAE Systems, susceptible d’affecter les renouvellements de contrats gouvernementaux représentant plusieurs milliards de dollars. L’exposition à des pénalités contractuelles et litiges est réelle. Paradoxalement, il crée aussi des opportunités pour les entreprises spécialisées en cybersécurité des infrastructures critiques, en solutions de continuité d’activité pour le secteur public, et en technologies de notification décentralisée.
Au-delà des aspects techniques et financiers, cet incident révèle une vérité inconfortable : la numérisation rapide des services publics a créé des vulnérabilités systémiques que la cybersécurité peine à combler. La justice, fonction régalienne par excellence, découvre qu’elle dépend désormais d’infrastructures numériques aussi critiques que fragiles.
La question n’est plus de savoir si d’autres incidents similaires surviendront, mais quand — et si les leçons de celui-ci auront été tirées à temps.
À propos de l'auteur
