La cybersécurité du secteur de l’eau vient de recevoir un nouvel éclairage. La CISA indique avoir identifié des plus de 100 systèmes d’eau exposés à Internet qui ont été la cible de cyberattaques au cours du mois de juillet. L’agence fédérale publie ces informations dans le cadre de recommandations destinées à aider les organisations à diminuer leur surface d’attaque en ligne.
Le point central est clair : nombre d’incidents récents n’ont pas seulement touché des données, mais ont visé des systèmes opérationnels (OT) qui interagissent avec des équipements industriels. Dans ce contexte, l’exposition Internet de certains composants — notamment des contrôleurs industriels — apparaît comme un levier exploité par des acteurs malveillants.
Ce que la CISA affirme sur la vague de juillet
Selon les éléments communiqués, la CISA a observé, en juillet 2026, une activité malveillante visant plus de 100 systèmes exposés directement à Internet relevant du secteur Eau et Assainissement (Water and Wastewater Systems, WWS). L’agence précise que l’accès a souvent été réalisé via des contrôleurs logiques programmables (PLCs) connectés à un modem cellulaire.
Jusqu’ici, les agences fédérales n’avaient pas chiffré publiquement l’ampleur de cette nouvelle vague d’attaques sur les infrastructures d’eau et d’assainissement. La CISA note également que, d’après les informations disponibles, les attaques n’ont pas entraîné de perturbations majeures. Toutefois, elles renforcent les inquiétudes quant à la capacité de ces opérations malveillantes à impacter à terme l’exploitation des services.
Des cibles liées aux systèmes OT
Les attaques observées sont associées à des acteurs étatiques liés à l’Iran. L’objectif visé semble avoir été la perturbation de l’environnement opérationnel (Operational Technology, OT), c’est-à-dire les systèmes qui pilotent, surveillent et contrôlent des processus industriels.
Autrement dit, l’enjeu ne se limite pas à la cybersécurité informatique classique. Dans la pratique, des faiblesses d’accès peuvent servir de point d’entrée vers des équipements de contrôle, avec un risque direct pour la continuité de service et la sécurité des opérations.
Des États concernés, sans bilan complet
La CISA n’a pas rendu public le nombre exact d’États touchés. Elle estime toutefois qu’il s’agirait d’au moins 12 États. Tous ne seraient pas identifiés dans les informations communiquées, mais plusieurs régions auraient confirmé avoir fait l’objet de tentatives.
Parmi les États mentionnés comme ayant signalé être visés figurent : Minnesota, Michigan, South Dakota, Georgia, New Jersey et Alabama.
Cette confirmation partielle rappelle une réalité fréquente dans les incidents OT : le périmètre exact, le moment de l’exposition et l’ampleur réelle ne sont pas toujours immédiatement déterminés.
Pourquoi l’exposition Internet fait la différence
La recommandation de la CISA repose sur un principe simple : réduire l’exposition. L’agence encourage les organisations à diminuer de manière active leur surface d’attaque Internet, avec un accent particulier sur les systèmes OT utilisés dans les infrastructures critiques.
Dans les cas récents, la CISA souligne que laisser des PLC et d’autres composants d’ICS (Industrial Control Systems) accessibles via des modems cellulaires ou directement depuis l’Internet public a permis des activités malveillantes contre des systèmes d’eau et d’assainissement.
En clair, lorsque des contrôleurs industriels sont joignables depuis l’extérieur, même indirectement, ils peuvent devenir des cibles plus faciles à détecter, automatiser et cibler.
Étape 1 : recenser ce qui est accessible
La CISA recommande d’abord d’identifier les systèmes joignables depuis Internet. Pour cela, les organisations devraient s’appuyer sur deux leviers complémentaires :
- des inventaires internes pour comprendre quels systèmes existent et à quoi ils servent ;
- des outils d’analyse externes (external scanning tools) afin de vérifier ce qui est réellement visible depuis l’extérieur.
L’objectif est de faire la distinction entre ce qui est nécessaire au fonctionnement et ce qui ne l’est pas. Une fois les expositions repérées, l’idée est de supprimer, restreindre ou reconfigurer l’accès superflu.
Étape 2 : supprimer, limiter, ou renforcer l’accès
Après identification, la CISA invite les organisations à prendre des décisions rapides sur les expositions inutiles. Pour les systèmes qui doivent rester en ligne, l’agence insiste sur des mesures de durcissement.
Parmi les actions recommandées figurent :
- Changer les mots de passe par défaut ;
- Appliquer les correctifs et mises à jour de sécurité disponibles ;
- Passer l’accès distant via des passerelles sécurisées ou des hôtes « jump » (jump hosts), plutôt que l’exposer tel quel ;
- Activer l’authentification multifacteur (MFA) ;
- Surveiller en continu le trafic pour détecter des comportements anormaux.
Cette combinaison vise à réduire à la fois les opportunités d’intrusion et la fenêtre de détection en cas de tentative.
Surveiller et réévaluer au fil du temps
La CISA rappelle qu’une posture de sécurité n’est pas figée. Les réseaux évoluent, les connexions tierces se multiplient parfois, et des changements d’architecture peuvent réintroduire des expositions.
Pour cette raison, l’agence recommande de procéder à des réévaluations régulières. Cela permet de vérifier que les systèmes restent correctement segmentés et que les accès à distance sont toujours conformes aux exigences de sécurité.
Un contexte plus large : alertes récentes sur les ICS
Les recommandations liées à la vague de juillet s’inscrivent dans un ensemble d’alertes plus larges adressées aux infrastructures critiques. La CISA avait récemment averti d’attaques en lien avec l’Iran visant des systèmes ICS associés à des environnements impliquant Siemens, Schneider Electric et Rockwell Automation.
Dans cette continuité, l’agence a aussi appelé le secteur de l’eau à protéger l’OT face à des attaques exploitant des PLC. Le message global est : anticiper, réduire l’exposition et renforcer les contrôles d’accès, avant qu’une tentative ne se transforme en incident plus grave.
Ce que les organisations du secteur peuvent faire dès maintenant
Si vous exploitez ou gérez des infrastructures d’eau et d’assainissement, le rapport de la CISA constitue un repère concret. La première question à se poser consiste à identifier : quels systèmes OT sont joignables depuis l’Internet, et pourquoi ?
Ensuite, il faut agir selon le niveau de nécessité opérationnelle :
- si l’accès Internet n’est pas indispensable, le retirer ou le restreindre ;
- si l’accès est requis, le sécuriser avec des mots de passe maîtrisés, des mises à jour, des contrôles d’accès renforcés et une surveillance continue.
Enfin, l’organisation doit accepter que la cybersécurité OT demande un suivi régulier : des révisions périodiques et des tests de visibilité externe réduisent le risque que des expositions réapparaissent silencieusement.
Conclusion
La CISA met en évidence une campagne de juillet ayant touché plus de 100 systèmes d’eau exposés à Internet, avec une attention particulière portée aux PLC et aux accès via modems cellulaires. Même si les autorités indiquent qu’aucune perturbation significative n’a été observée, l’événement souligne une menace réaliste : l’accès depuis l’Internet peut transformer des systèmes OT en cibles.
Pour limiter ce risque, l’approche recommandée par la CISA combine recensement, réduction de surface d’attaque, sécurisation des accès distants et surveillance continue, le tout accompagné de réévaluations régulières au rythme de l’évolution des réseaux.
