Le secteur de l’eau aux États-Unis fait face à une vague d’attaques numériques. Selon des informations relayées dans la presse, le nombre d’États touchés par la campagne visant des installations d’eau potable et des sites d’eaux usées continue d’augmenter. À ce stade, au moins 12 États auraient été affectés, mais les confirmations officielles varient d’une région à l’autre.
Ce qui inquiète le plus les défenseurs, ce n’est pas seulement l’existence des intrusions : c’est la manière dont certains acteurs malveillants ciblent les systèmes industriels et leurs paramètres. Dans plusieurs cas, les effets rapportés incluent des perturbations temporaires et des situations comme une baisse de pression dans certaines zones.
Combien d’États sont concernés par les attaques cyber eau ?
D’après les informations diffusées, au moins 12 États auraient été touchés par la campagne. Le détail public reste toutefois incomplet : seulement quelques États ont, pour l’instant, communiqué des éléments précis.
Au 30 juillet, le FBI indiquait avoir confirmé officiellement l’impact dans au moins sept États. Cette confirmation s’accompagne de détails techniques sur les cibles et sur les mécanismes d’action observés.
États confirmés ou signalés : ce qui est connu jusqu’ici
Plusieurs États ont été mentionnés dans les rapports, avec des niveaux de confirmation différents.
Minnesota : premiers signalements
Le Minnesota a été le premier à rapporter des attaques. Les informations disponibles évoquent que plus de 30 systèmes d’eau communautaires auraient été visés lors des journées des 26 et 27 juillet.
Michigan et Géorgie : confirmations partielles
Le Michigan a confirmé qu’un petit nombre de communautés avaient subi une activité cyber malveillante. Du côté de la Géorgie, la Clayton County Water Authority a indiqué avoir connu une perturbation temporaire, affectant une partie de ses systèmes opérationnels et de la distribution d’eau.
Dans ce cas, des zones ont connu une pression réduite, avant un rétablissement dans les heures.
South Dakota et autres cas rapportés
En plus des confirmations précitées, au moins une ville du South Dakota aurait signalé une cyberattaque semblant appartenir à la même campagne.
Wisconsin et représentants d’opérateurs : pas de confirmation
Le Wisconsin a également été évoqué dans l’actualité, mais sans confirmation d’intrusion à ce stade. Par ailleurs, des représentants de plusieurs grandes entreprises de services publics affirment ne pas avoir été touchés.
New York : subventions et préparation cybersécurité
Pour New York, les autorités n’avaient pas communiqué sur l’impact direct de la campagne. En revanche, une annonce a été faite concernant des subventions dépassant 9 millions de dollars pour aider 153 systèmes d’eau à renforcer leur cybersécurité.
Utah : une attaque détectée mais probablement différente
L’Utah a rapporté une attaque visant des systèmes de contrôle industriels dans une installation liée au traitement et à l’évacuation d’eaux salées. Toutefois, cette intrusion aurait été détectée en mars et ne semble pas faire partie de la campagne récente. Aucune autre attaque nouvelle n’était signalée à ce moment-là.
Que fait l’attaquant ? Les cibles ICS/OT expliquées
Au-delà des chiffres, le FBI a transmis des éléments sur les actions des attaquants et sur les effets potentiels. Dans son alerte, l’agence indique que les acteurs visent des automates programmables (PLCs) de Micrologix, fabriqués par Rockwell Automation.
Les mécanismes décrits s’intéressent particulièrement aux PLC exposés sur Internet. L’objectif rapporté est de modifier à distance certains paramètres de l’équipement, notamment via des changements liés aux adresses IP et à la gestion des accès, comme l’activation/la définition de mots de passe.
Concrètement, cela peut entraîner une perte de visibilité sur des équipements connectés. Dans certains cas, la fonctionnalité elle-même peut être affectée.
Exemples d’effets techniques rapportés
Le FBI mentionne plusieurs scénarios observés ou rapportés : des organisations auraient remarqué des fichiers de projet PLC modifiés, avec des écarts dans la logique (ladder logic) sur différents sites.
L’agence souligne aussi un point important pour les défenseurs : lorsque des victimes disposent de configurations réseau similaires fournies par des tiers, l’attaquant peut augmenter ses chances de succès sur plusieurs environnements, surtout si des paramètres exposés ou des faiblesses existent chez plusieurs clients.
Impacts possibles : pression, inondations et sécurité de l’eau
Selon les informations transmises, il n’y aurait pas eu, officiellement, de rapports indiquant de perturbations majeures ou un danger immédiat pour la qualité de l’eau potable. Le FBI précise néanmoins des effets opérationnels rapportés.
Parmi les effets cités figurent une perte de pression et, dans certains cas, des situations de débordement (flooding). La perte de pression peut, potentiellement, créer des conditions permettant à de l’eau souterraine non traitée de pénétrer dans les canalisations si certaines parties du réseau sont compromises.
Le niveau d’impact observé dépend aussi de plusieurs facteurs : le rôle du PLC (surveillance ou contrôle), le type d’équipement (selon les séries mentionnées) et la capacité de basculer en mode manuel.
Enquête : pistes sur l’origine des attaques
À ce stade, les États-Unis n’ont pas officiellement indiqué qui serait derrière cette série d’incidents. Toutefois, le nom de l’Iran apparaît rapidement dans les hypothèses, notamment parce que des hackers liés à ce pays auraient été connus pour viser les environnements ICS/OT, y compris dans le secteur de l’eau.
Des enquêteurs fédéraux auraient examiné cette possibilité. Par ailleurs, une organisation de partage d’informations du secteur de l’eau, WaterISAC, aurait cité des éléments décrivant une alignement avec des campagnes de piratage déjà associées à l’Iran.
Quelles actions de défense sont recommandées ?
Face à la menace, plusieurs autorités ont insisté sur la protection des systèmes opérationnels. La CISA a notamment exhorté le secteur de l’eau à renforcer la sécurité des systèmes OT, en particulier des PLC.
En complément, des mises à jour de recommandations fédérales ont été publiées. Elles rappellent que des dispositifs ICS/OT fabriqués par Siemens, Schneider Electric et Rockwell Automation auraient fait l’objet de ciblages dans des campagnes associées à des acteurs iraniens.
Ce que les défenseurs peuvent tirer de l’affaire
Cette campagne met en lumière plusieurs leçons concrètes pour les opérateurs et les équipes sécurité :
- Réduire l’exposition Internet des équipements OT lorsque cela est possible, car des PLC exposés peuvent devenir une porte d’entrée.
- Surveiller la configuration et détecter des écarts : des modifications de logique ou des changements de paramètres peuvent signaler une prise de contrôle.
- Comprendre les impacts : une attaque peut d’abord viser la visibilité et la configuration, puis entraîner des conséquences sur des fonctions de surveillance ou de contrôle.
- Améliorer la résilience en préparant des procédures de bascule en mode manuel et des plans de restauration.
Des analystes indiquent aussi qu’un volume important de PLC de marques citées serait potentiellement accessible depuis Internet. Toutefois, il n’est pas clair, à partir des informations disponibles, combien de ces équipements seraient réellement vulnérables à des attaques dans des conditions similaires.
Conclusion : renforcer la cybersécurité du secteur de l’eau
Les attaques cyber eau visant des infrastructures d’eau et d’eaux usées s’intensifient. Même si l’ampleur exacte de certains incidents reste variable et que tous les États n’ont pas encore communiqué de façon détaillée, les éléments partagés par les autorités décrivent une menace concentrée sur les environnements ICS/OT et, en particulier, sur des PLC exposés.
Le message est clair : la cybersécurité du secteur ne peut plus se limiter aux systèmes informatiques classiques. Les opérateurs doivent protéger les équipements industriels, vérifier l’intégrité des configurations et anticiper les conséquences opérationnelles possibles, afin de limiter les perturbations et d’améliorer la sécurité globale.
Source: https://www.securityweek.com/water-sector-cyberattacks-reportedly-hit-at-least-12-states/
