Les 26 et 27 juillet, une attaque coordonnée systèmes d’eau a visé des infrastructures d’automatisation (technologies opérationnelles) dans plus de trente réseaux communautaires du Minnesota. Selon les autorités, cette campagne a déclenché une réponse de cybersécurité à l’échelle de l’État et a entraîné, selon les sites, des indisponibilités, des pertes de communication ou des perturbations des contrôles automatisés.
À ce stade, les responsables n’ont pas publiquement indiqué l’identité de l’attaquant, les produits concernés, la faille exploitée, ni si des données ont été exfiltrées. L’enquête reste active et les analyses continuent pour mesurer l’ampleur réelle des perturbations opérationnelles.
Plus de 30 réseaux d’eau touchés, impacts variables
Au 28 juillet, le service informatique de l’État, Minnesota IT Services (MNIT), a confirmé que plus de 30 systèmes d’eau avaient été impactés dans tout le Minnesota. La gravité n’a pas été uniforme : certains sites ont surtout rencontré des difficultés de supervision, tandis que d’autres ont basculé sur des opérations manuelles ou subi des pertes de services.
MNIT souligne aussi que des éléments communs ont été observés d’un site à l’autre : le calendrier des incidents, la manière d’accéder aux systèmes et le type d’infrastructures visées. Pour les enquêteurs, ces recoupements appuient la qualification d’attaque coordonnée systèmes d’eau.
Des exemples concrets : pannes, communications et contrôle automatisé
Braham : station mise hors ligne et consignes aux habitants
À Braham, la station de traitement d’eau est passée hors ligne. Les autorités locales ont demandé aux résidents de réduire leur consommation en attendant la reprise du traitement.
Plymouth : difficultés de communication, continuité en mode manuel
Dans la ville de Plymouth, des problèmes de communications cellulaires ont été signalés pour deux tours d’eau, ainsi que pour plusieurs postes de relevage des eaux usées. Malgré ces perturbations, le site a continué à fonctionner, mais en s’appuyant sur des procédures manuelles plutôt que sur l’automatisation habituelle.
South St. Paul et Maple Plain : systèmes maintenus, état d’urgence local
South St. Paul et Maple Plain indiquent que les services ont été maintenus malgré l’impact sur les contrôles automatisés. Maple Plain a même déclaré un état d’urgence local pour soutenir sa réponse opérationnelle.
Attribution en suspens et absence d’informations techniques publiques
À l’instant, les autorités n’ont pas rendu publics le nom de l’acteur responsable, ni les produits visés, ni la vulnérabilité précise exploitée. MNIT explique également que l’investigation continue, ce qui limite la publication de détails techniques.
La communication reste prudente : même si des similarités ont été constatées dans la façon dont les systèmes ont été atteints, l’attribution n’est pas finalisée. Les enquêteurs n’excluent pas qu’un acteur unique soit à l’origine, mais indiquent ne pas être en mesure, pour le moment, de l’établir avec certitude.
Une réponse coordonnée “toutes administrations”
MNIT affirme avoir organisé une coordination pour les phases clés : contenir l’incident, investiguer, rétablir et partager le renseignement sur les menaces avec les partenaires concernés.
Dans cette approche, l’État travaille avec plusieurs structures : des agences de l’État, la Cybersecurity and Infrastructure Security Agency (CISA), l’Environmental Protection Agency, le Federal Bureau of Investigation (FBI), ainsi que les opérateurs des réseaux touchés.
John Israel, responsable adjoint de MNIT et directeur de la cybersécurité de l’État, a rappelé que les attaques contre les infrastructures critiques nécessitent une réponse coordonnée au niveau gouvernemental.
Le point notable : pas d’appel public récent à changer l’usage de l’eau
MNIT a indiqué le 28 juillet ne pas être au courant de demandes actives adressées aux résidents pour modifier leur usage de l’eau potable. Dans le même temps, les actions des sites affectés ont varié : certaines villes ont priorisé des consignes de minimisation de la consommation, d’autres ont basculé vers des modes opératoires adaptés à la perte partielle de supervision.
Les autorités continuent de mesurer l’impact pour comprendre combien d’installations ont subi des perturbations opérationnelles significatives.
Contexte plus large : avertissement fédéral sur des PLC exposés
Quatre jours avant les événements du Minnesota, les agences américaines ont élargi un avertissement concernant des acteurs affiliés à l’Iran visant des contrôleurs à logique programmable exposés à Internet (PLC). Les produits mentionnés incluent des gammes provenant de Rockwell Automation, Schneider Electric, Siemens, et potentiellement d’autres fabricants.
Dans cette campagne, des observateurs ont signalé des actions visant à exfiltrer et modifier des fichiers de projet, à altérer les informations présentées aux opérateurs via des interfaces homme-machine, et à perturber la supervision et l’acquisition des données. Des mesures ont aussi été rapportées comme la désactivation logique de composants de mise à l’arrêt et d’alarme.
Les responsables fédéraux n’ont pas, dans les communications publiques, relié directement les incidents du Minnesota à cette campagne. Néanmoins, des analystes indiquent que les tactiques observées s’inscrivent dans un écosystème de menaces plus large.
FBI et EPA : incidents signalés dans au moins sept États
Le 30 juillet, une alerte séparée du FBI et de l’EPA a mentionné des incidents rapportés dans au moins sept États. Ces signalements concerneraient des PLC Rockwell Automation/Allen-Bradley MicroLogix 1100 et MicroLogix 1400 exposés sur Internet.
Les agences indiquent que seuls ces modèles ont été observés dans le cadre de l’activité rapportée, mais que les opérateurs utilisant d’autres marques de PLC devraient appliquer des protections similaires. D’après les informations disponibles, les acteurs auraient modifié à distance des adresses IP et des mots de passe, provoquant une perte de surveillance et de contrôle.
Selon les signalements, certaines situations auraient dégradé l’exploitation, avec des conséquences rapportées comme une perte de pression ou des phénomènes d’inondation. Dans au moins un cas, des organisations ont identifié des fichiers de projet PLC modifiés après avoir constaté des écarts de logique sur plusieurs sites.
Recommandations défensives : journaux, restrictions et vérification des projets
Les autorités fédérales ont aussi diffusé des orientations de défense. Dans l’ensemble, les mesures s’articulent autour de plusieurs axes : journaliser les connexions des modems cellulaires, restreindre l’accès aux contrôleurs aux systèmes autorisés, et inspecter les fichiers de projet en cours d’exécution afin de détecter des modifications non autorisées.
Les opérateurs sont également encouragés à valider les sauvegardes avant toute restauration. Enfin, lorsque le contrôleur dispose d’un commutateur de mode physique, il est recommandé de ne placer en mode run qu’après validation des fichiers de projet.
Où en est l’enquête ?
Au 29 juillet, MNIT indique que l’enquête restait en cours et que les équipes poursuivaient l’évaluation des systèmes affectés. Les investigations doivent encore préciser l’ampleur exacte des perturbations, ainsi que les détails techniques nécessaires à la compréhension complète de la chaîne d’attaque.
À mesure que les analyses progressent, les autorités continueront de partager les éléments défensifs utiles avec les opérateurs, afin de réduire le risque de récidive et d’améliorer la résilience des infrastructures.
Conclusion : la cybersécurité des services d’eau doit être anticipée
Cette affaire met en lumière les conséquences possibles d’une attaque coordonnée systèmes d’eau : malgré l’absence, pour l’instant, d’éléments publics sur l’identité de l’acteur ou la faille exacte, les impacts observés dans plusieurs municipalités montrent à quel point l’automatisation et la supervision sont des points critiques.
Dans un contexte où des avertissements fédéraux visent des PLC exposés et des méthodes d’accès similaires, la priorité reste la même : renforcer les contrôles d’accès, surveiller les activités réseau et vérifier l’intégrité des configurations avant et pendant le rétablissement.
Source: https://thehackernews.com/2026/07/coordinated-cyberattack-targets-30.html
