Les attaques cyber eau qui visent les réseaux d’eau et d’assainissement aux États-Unis ne se limitent plus au Minnesota. À mesure que de nouveaux éléments sont partagés, plusieurs sources indiquent que la campagne toucherait au moins sept États, avec des impacts décrits comme limités dans de nombreuses collectivités.
Le signal initial est venu du Minnesota, où des systèmes liés à la technologie opérationnelle (OT) ont été ciblés dans des installations de plus de 30 sites de traitement entre le 26 et le 27 juillet. Depuis, d’autres confirmations et déclarations locales laissent penser que la menace a pris une ampleur plus large.
Du Minnesota à d’autres États : l’attaque s’élargit
La situation au Minnesota a révélé une campagne orientée vers des environnements OT : des systèmes qui pilotent concrètement le fonctionnement des installations. La plupart des villes concernées n’ont pas rapporté d’impact opérationnel majeur. Certaines communications publiques ont toutefois été rares, ce qui rend la cartographie précise plus difficile.
Dans l’ensemble, les retours publics des collectivités visent un point essentiel : le maintien de la sécurité de l’eau. Quelques villes ont même pris des mesures rapides, par exemple en mettant temporairement hors service une installation. Dans d’autres cas, aucun risque de santé publique n’a été mentionné.
Michigan, Géorgie et Dakota du Sud : des incidents confirmés
Le Michigan a confirmé qu’une “petite quantité” de communautés a observé une activité malveillante. Les autorités précisent que les systèmes ont continué à fonctionner correctement et qu’aucune inquiétude sanitaire publique n’a été relevée.
Au Dakota du Sud, la ville de Rapid City a fait état d’un incident lié à un équipement de son réseau. D’après la communication de la municipalité, il s’agit d’un incident touchant l’une des stations de relevage (lift stations) utilisées dans le système d’assainissement. La ville insiste sur le fait qu’à aucun moment l’infrastructure d’eau ou d’assainissement n’aurait été mise en péril, et que la distribution d’eau resterait “sûre et protégée”.
Côté Géorgie, des informations rapportées par ABC News indiquent que l’État figure parmi ceux touchés. En revanche, les noms des autres zones affectées n’étaient pas encore détaillés au moment de la publication.
Pourquoi l’Iran est évoqué comme piste principale
Alors que le gouvernement américain n’a pas officiellement désigné l’Iran comme responsable, l’hypothèse revient rapidement dans les enquêtes relayées par la presse. Cette orientation s’appuie notamment sur le fait que des groupes associés à l’Iran auraient déjà été observés ciblant des systèmes industriels et des environnements OT, y compris dans le secteur de l’eau.
Plusieurs médias indiquent que des enquêteurs fédéraux auraient examiné la question d’une implication iranienne. Par ailleurs, des éléments partagés dans des rapports internes évoquent une concordance avec des campagnes de piratage précédemment rattachées aux acteurs liés à l’Iran.
À noter : certains documents mentionnés sont signalés comme non destinés à une diffusion publique large, ce qui limite la disponibilité d’informations techniques complètes.
Des détails techniques encore limités, mais une piste revient
Les informations divulgées par les collectivités concernées restent partielles. Peu de détails techniques ont été rendus publics sur la façon dont les intrusions ont démarré, les méthodes utilisées ou les systèmes spécifiques impliqués.
Tout de même, un point revient dans la description d’incident : l’attaque semble s’intéresser à des équipements connectés via des communications cellulaires. Les professionnels OT soulignent que des extrémités (endpoints) OT exposées à Internet, notamment via des réseaux cellulaires, peuvent constituer un vecteur d’intrusion.
Cette logique s’appuie sur des observations passées : des attaques associées à des acteurs liés à l’Iran auraient déjà ciblé des infrastructures d’eau via des routeurs cellulaires vulnérables. Même si chaque incident doit être évalué dans son contexte, la répétition de schémas similaires alimente l’attention autour de la connectivité et des configurations exposées.
Ce que les défenseurs OT peuvent retenir : prioriser les PLC
Face à cette vague d’incidents, les autorités américaines ont insisté sur la protection des environnements OT, en particulier des contrôleurs de logique programmable, plus connus sous le sigle PLC (programmable logic controllers).
Dans la même dynamique, des mises à jour d’avis fédéraux auraient été publiées en amont. Elles avertissaient que des dispositifs et systèmes OT, y compris des équipements associés à de grands fournisseurs industriels, auraient pu être visés par des acteurs menaçants liés à des campagnes précédentes.
Une autre information rapportée mentionne que, selon des données d’exposition observée sur Internet, un nombre significatif de PLC de certains fabricants serait accessible. Toutefois, il n’est pas précisé combien d’entre eux seraient réellement vulnérables ou exploitables : l’exposition ne signifie pas automatiquement compromission.
Pourquoi cette campagne inquiète : la question du “lien” entre IT et OT
Au-delà des détails techniques précis, l’enjeu central des attaques cyber eau réside dans la proximité fonctionnelle entre les systèmes informatiques et les systèmes qui contrôlent le monde physique. Dans une installation d’eau ou d’assainissement, une perturbation même “limitée” peut provoquer des alertes, des mises en sécurité ou des arrêts temporaires.
Le fait que la plupart des villes concernées déclarent ne pas avoir constaté d’effet majeur sur l’exploitation ou d’atteinte à la santé publique ne réduit pas la gravité du risque. Une campagne qui s’étend géographiquement démontre une capacité d’adaptation et un intérêt durable pour les infrastructures critiques.
Guidance et suivi : l’importance de la veille OT
Pour les équipes de sécurité OT, la meilleure approche consiste généralement à consolider l’information disponible : signaux d’alerte, surfaces d’exposition (connectivité), inventaire des équipements, et conformité aux recommandations de durcissement.
Dans ce cadre, une ressource mise à disposition par des acteurs spécialisés dans l’écosystème OT propose une synthèse régulièrement actualisée. L’objectif est de regrouper les éléments techniques connus et d’aider les défenseurs à comparer leurs propres architectures, notamment lorsqu’il existe des similitudes de connectivité ou de chemins d’accès possibles.
En parallèle, les recommandations évoquées par les autorités (comme la protection des PLC) offrent un cadre concret : réduire l’exposition, limiter les accès non nécessaires, segmenter les réseaux et surveiller les événements pouvant indiquer une intrusion ou une tentative de manipulation.
Conclusion : des incidents réels, mais un message commun
Les attaques cyber eau qui frappent le secteur de l’eau et de l’assainissement aux États-Unis dépassent désormais le Minnesota et concernent au moins sept États. Les retours publics des collectivités évoquent, dans de nombreux cas, des impacts circonscrits et l’absence de risque sanitaire déclaré.
Malgré la prudence nécessaire sur les détails techniques, une tendance se dégage : l’attention portée à la connectivité et aux systèmes OT critiques, en particulier les PLC, doit rester une priorité. Pendant que les enquêtes progressent, les responsables sécurité gagneront à renforcer la surveillance, la réduction des surfaces d’exposition et la préparation opérationnelle afin de mieux résister aux campagnes similaires.
