Chez Quantum Systems, drones militaires et logiciel sol se sont retrouvés au centre d’une alerte : le fabricant allemand a confirmé le 12 novembre 2026 une cyberattaque repérée fin octobre. D’après la presse allemande et le Financial Times, un faux fichier de mise à jour du logiciel QBase a circulé, et la Bundeswehr a suspendu ses vols par précaution.
L’entreprise assure que la menace est contenue et que ses appareils peuvent voler sans risque. Les drones de la Bundeswehr auraient repris l’air cette semaine. Pour un télépilote français, l’intérêt de l’affaire est ailleurs : elle montre qu’une mise à jour, le geste d’hygiène le plus banal, peut aussi servir de porte d’entrée. Reste à séparer ce qui est établi de ce que la presse rapporte, puis à voir ce que vous pouvez en tirer pour votre propre flotte.
Ce que l’on sait de la cyberattaque
Commençons par la seule source de première main. Le communiqué de Quantum Systems, daté de Gilching (Bavière) le 12 novembre 2026, tient en quelques paragraphes. L’entreprise y dit avoir identifié un incident de cybersécurité fin octobre 2026. Une enquête interne a ensuite montré une attaque active menée par des « acteurs hostiles ». Ses équipes informatiques et de sécurité ont contenu la menace, en lien avec les autorités.
Le texte ajoute que l’incident a été signalé aux autorités compétentes, « conformément » à ses obligations réglementaires, et qu’une enquête est en cours avec des services de l’État et des experts extérieurs. Il ne cite ni QBase, ni la Bundeswehr, ni l’auteur de l’attaque. La seule phrase un peu politique vise l’industrie de défense européenne : selon Quantum Systems, les entreprises qui soutiennent l’Ukraine sont visées précisément parce que leur travail compte pour la sécurité de leurs clients.
Le reste vient de la presse. Der Spiegel, cité par le site américain DroneXL, décrit un logiciel malveillant déposé sur un serveur interne de mise à jour et maquillé en mise à jour ordinaire de QBase. Le fichier serait arrivé sur des serveurs de la Bundeswehr et d’autres clients, mais pas jusqu’aux drones : un contrôle l’aurait intercepté. Toujours selon Der Spiegel, le contre-espionnage militaire (MAD), le renseignement intérieur (BfV) et l’office fédéral de la sécurité informatique (BSI) enquêtent.
Ce que personne n’a dit publiquement : ce que faisait le programme, s’il a été installé quelque part, et qui l’a déposé. Le ministère allemand de la Défense n’a pas voulu commenter, selon l’agence dpa-AFX. Nous nous en tenons donc au conditionnel pour tout ce qui ne figure pas dans le communiqué.
La Bundeswehr : drones au sol par précaution, puis reprise
C’est le Financial Times qui a révélé la suspension. D’après deux personnes au fait du dossier, l’armée allemande a retiré du service un nombre important de drones Quantum Systems, par précaution. La mesure aurait aussi tenu l’entreprise à l’écart d’un exercice militaire récent. Aucun chiffre précis n’a été publié.
Le quotidien économique Handelsblatt donne une version plus courte, attribuée à l’entreprise : une interdiction de vol en Allemagne d’un vendredi après-midi jusqu’au début de cette semaine, la flotte restant en service hors d’Allemagne. Le 13 novembre, Quantum Systems écrivait que les drones de la Bundeswehr volaient de nouveau. Der Spiegel situe pour sa part la suspension « le mois dernier ». Les récits ne s’accordent donc pas sur la durée.
Pourquoi immobiliser des appareils que le fichier n’aurait jamais atteints ? Le cas Quantum Systems, drones arrêtés alors qu’ils n’auraient rien reçu, illustre bien la prudence militaire : tant qu’on ignore jusqu’où est allé un intrus, on ne fait pas voler du matériel qui dépend de la chaîne logicielle touchée. Un exploitant civil ferait bien de garder le même réflexe. Le coût de quelques jours au sol reste modeste à côté d’un vol avec un poste de planification douteux.
Dans la Bundeswehr, drones Vector et forces spéciales sont liés depuis 2023 : l’armée utilise le Vector sous le nom de Falke. En septembre 2023, l’office d’équipement de l’armée allemande (BAAINBw) avait commandé 14 systèmes Vector VTOL pour ses forces spéciales, avec des livraisons prévues à partir du quatrième trimestre 2024, d’après le magazine de défense ESUT.
QBase, le logiciel sol visé
QBase est le logiciel de planification de mission de Quantum Systems. Sur la page de QBase 3D, le fabricant le présente comme un outil tout-en-un : préparation de la mission, suivi du vol, post-traitement des données. Il tourne sous Windows 10 64 bits et fait partie du lot vendu avec le Trinity Pro, le drone de cartographie de la marque. Le Financial Times le décrit, lui, comme un logiciel de contrôle au sol et de planification.
Le détail compte. Quand on parle de cyberattaque, drone et liaison radio viennent tout de suite en tête : brouillage, prise de contrôle en vol. Ici, la cible présumée était plus en amont : le serveur qui distribue les mises à jour du logiciel QBase, donc la confiance que le client accorde à son fournisseur. Les spécialistes parlent d’attaque par la chaîne d’approvisionnement. Vous recevez un fichier qui a l’air officiel, parce qu’il vient du canal officiel.
Nous ne détaillerons pas davantage le mécanisme supposé, et pour une bonne raison : rien de technique n’a été publié par l’entreprise ni par les enquêteurs, et ce n’est pas le rôle d’un blog de télépilotes de combler ces blancs. Retenez seulement qu’un poste de planification est un ordinateur comme un autre. Il se met à jour, se connecte au réseau, reçoit des fichiers. La station sol mérite autant de soin que le drone lui-même.
Les télépilotes de DJI connaissent la même dépendance avec leurs applications et leurs micrologiciels. Notre point sur le firmware DJI d’octobre 2026 rappelle combien de modèles reçoivent un correctif à la fois. Plus la flotte est grande, plus une mise à jour devient un acte d’exploitation, avec une procédure, et pas un clic machinal sur « installer ».
Quantum Systems : drones Vector et Trinity, du terrain militaire à la cartographie
Quantum Systems se présente comme un industriel européen de défense. Son communiqué annonce plus de 2 000 salariés répartis dans huit pays et un logiciel de mission maison, MOSAIC UXS, qui relie ses systèmes sans pilote. L’entreprise est très présente en Ukraine, où les forces armées utilisent ses drones de reconnaissance.
Le Vector est le plus connu des appareils Quantum Systems : drone de renseignement à décollage vertical, il existe aujourd’hui en version Vector AI. Le Vector AI à voilure fixe décolle à la verticale, pèse au plus 9,5 kg, vole plus de 180 minutes et mesure 2,80 m d’envergure, selon la fiche du fabricant. Une version multirotor de 8 kg tient 35 minutes. C’est un drone de renseignement, conçu pour les armées et les forces de sécurité, sans rapport avec ce que vous emportez en catégorie ouverte.
Le Trinity Pro est l’autre visage de Quantum Systems : drone de cartographie à décollage vertical, il vise géomètres, bureaux d’études et agriculture de précision. Il est sur le marché depuis 2018, d’après la page du Trinity Pro. Masse maximale au décollage de 5,75 kg, jusqu’à 90 minutes de vol, 700 hectares couverts au mieux et une liaison de commande annoncée entre 5 et 7,5 km. C’est lui qui embarque QBase 3D. Si vous travaillez en photogrammétrie ou en LiDAR par drone, vous avez peut-être croisé ce modèle sur un chantier.
Vous pouvez comparer avec les choix français dans notre panorama des drones des armées françaises et de leurs fabricants. La question du fournisseur et de sa sécurité informatique s’y pose de la même manière.
Ce que la cyberattaque drone change pour un exploitant en France
Vous n’utilisez pas de matériel Quantum Systems ? Drone DJI, Parrot ou autre, l’enseignement vaut pour vous aussi. Aucun texte français n’a bougé à cause de cette affaire, et votre déclaration d’activité ne change pas. Mais si vous exploitez des drones pour des clients, la leçon est directe : une mise à jour se vérifie avant d’être installée, surtout sur le poste qui prépare vos missions. Le dispositif public Cybermalveillance.gouv.fr donne une base solide, que l’on peut transposer à une flotte de drones :
- Faites l’inventaire de vos logiciels de vol : application de pilotage, logiciel de planification, outils de post-traitement, micrologiciels des appareils et des radiocommandes.
- Téléchargez les mises à jour uniquement depuis le site ou l’application officielle du fabricant, jamais depuis un lien reçu par courriel ou une fenêtre surgissante.
- Quand le fabricant publie une empreinte ou une signature du fichier, comparez-la avant l’installation.
- Installez d’abord sur un seul poste et un seul appareil, faites un vol d’essai dans un endroit dégagé, puis généralisez.
- Sauvegardez vos missions, vos réglages et vos données avant toute mise à jour, pour pouvoir revenir en arrière.
- Réservez si possible un ordinateur à la préparation des vols, sans messagerie ni navigation courante.
- Abonnez-vous aux avis de sécurité de vos fabricants et notez dans votre manuel d’exploitation qui décide d’une mise à jour, et quand.
Rien de tout cela n’aurait suffi, seul, contre un fichier piégé à la source. Mais l’étape 4 limite les dégâts, et c’est justement un contrôle qui aurait arrêté le fichier dans l’affaire allemande. La règle du poste d’essai coûte une heure. Elle vous évite d’immobiliser toute votre flotte le jour où un correctif tourne mal, piégé ou simplement défectueux.
La question touche aussi vos clients. Un logiciel de planification manipule des plans de vol, des images et parfois des données sensibles sur un site industriel. Notre guide sur la protection des données drone en entreprise détaille ce que le RGPD vous impose déjà. En cas d’incident, Cybermalveillance.gouv.fr oriente aussi les entreprises vers une assistance.
Label ETDL et Cyber Resilience Act : ce que l’Europe prépare
L’affaire tombe deux jours après la présentation, le 10 novembre 2026, des critères proposés pour le label européen de drone de confiance (ETDL). Ce label, annoncé dans le plan d’action de la Commission du 11 février 2026, reposerait sur une vérification par un tiers indépendant. Rien n’est en vigueur : ce sont 12 critères proposés par une étude d’appui, dont 10 de cybersécurité.
Deux d’entre eux répondent directement au scénario allemand. Le premier demande que le drone vérifie la signature cryptographique de ses logiciels avant de les exécuter. Un autre réserve l’installation de logiciel aux canaux définis par le fabricant. L’affaire Quantum Systems montre aussi la limite du second : si le canal officiel lui-même est compromis, seule la signature, et la protection des clés qui la produisent, fait barrage. Et les critères publiés visent surtout le drone lui-même, beaucoup moins l’ordinateur de la station sol.
Le texte qui obligera vraiment les fabricants est un autre règlement : le règlement (UE) 2024/2847, dit Cyber Resilience Act. Son annexe I impose aux fabricants des mécanismes de distribution sécurisée des mises à jour, et des correctifs de sécurité diffusés sans retard, en principe gratuitement, avec des messages qui disent à l’utilisateur quoi faire. Il s’applique à partir du 11 décembre 2027. Le signalement des vulnérabilités activement exploitées et des incidents graves, lui, s’applique depuis le 11 septembre 2026.
Deux exclusions comptent ici. Le règlement ne vise pas les produits développés ou modifiés exclusivement à des fins de sécurité nationale ou de défense, ni ceux certifiés au titre du règlement aérien (UE) 2018/1139. Un drone purement militaire en sort donc. Un logiciel de planification vendu à des géomètres pour un drone non certifié devrait, a priori, y entrer. Côté sûreté, la Commission avance en parallèle sur la lutte anti-drone et ses règles en France et sur le projet de mur anti-drones européen.
Foire aux questions
Quels appareils de Quantum Systems, drones Vector ou Trinity, ont été cloués au sol ?
Côté Bundeswehr, drones de reconnaissance Vector, utilisés sous le nom de Falke : la presse en parle sans chiffre officiel. Les Trinity civils ne sont pas cités. Le Financial Times évoque un nombre important d’appareils. Selon Handelsblatt, qui cite l’entreprise, l’interdiction ne valait qu’en Allemagne et les vols ont repris. Quantum Systems affirme que ses systèmes peuvent être utilisés sans risque.
Qu’est-ce que QBase chez Quantum Systems ?
QBase est le logiciel de planification et de suivi de mission de Quantum Systems. La version QBase 3D, livrée avec le drone de cartographie Trinity Pro, prépare les trajectoires, suit le vol et traite les données ensuite. Elle fonctionne sous Windows. D’après la presse allemande, c’est une fausse mise à jour de QBase qui a circulé lors de la cyberattaque. Le fichier QBase piégé n’aurait pas atteint les drones.
Faut-il arrêter de mettre à jour son drone après cette affaire ?
Non. Une mise à jour corrige souvent une faille connue, et la repousser indéfiniment vous expose davantage. Ce qui change, c’est la manière : source officielle seulement, empreinte vérifiée quand elle existe, essai sur un seul poste et un seul appareil, sauvegarde préalable. Pour une flotte professionnelle, écrivez cette procédure dans votre manuel d’exploitation.
Le label ETDL aurait-il empêché cette cyberattaque drone ?
Pas forcément. Le label n’existe pas encore, et ses critères visent surtout le drone lui-même. L’ordinateur de la station sol y tient peu de place. Ses critères sur la signature des logiciels rendraient toutefois plus difficile l’installation d’un code non autorisé à bord. Contre un canal de mise à jour compromis, la protection des clés de signature du fabricant reste décisive.
Sources
- Règlement (UE) 2024/2847 du 23 octobre 2024 (Cyber Resilience Act), EUR-Lex
- Commission européenne : Cyber Resilience Act
- COM(2026) 81, plan d’action relatif à la sûreté des drones et des systèmes antidrones, 11 février 2026, EUR-Lex
- Commission européenne : sûreté des drones
- Commission européenne, DG MOVE : actions de la Commission sur les drones
- Cybermalveillance.gouv.fr : les mises à jour