Face à l’augmentation des cyberattaques visant les infrastructures essentielles, l’État de New York renforce sa stratégie de protection. Grâce au programme SECURE, plus de 9 millions de dollars seront mobilisés pour aider 153 systèmes d’eau potable et d’eaux usées à sécuriser les réseaux d’eau. L’objectif : réduire les risques, améliorer les capacités de détection et rendre les opérations plus résilientes.
Les annonces ont été faites par la gouverneure Kathy Hochul. Ce financement doit permettre aux opérateurs locaux de procéder à des évaluations de cybersécurité et de déployer des améliorations concrètes, tout en bénéficiant d’un accompagnement technique sans frais.
9 millions de dollars pour 153 systèmes d’eau
Le financement provient du programme de subventions Strengthening Essential Cybersecurity for Utilities and Resiliency Enhancements (SECURE). Il vise directement les services publics qui doivent faire face à des menaces numériques capables de perturber des systèmes d’exploitation et des fonctions automatisées.
En pratique, les subventions soutiennent deux grandes étapes : les évaluations de la posture de cybersécurité, puis la mise en œuvre d’améliorations. Ces travaux sont destinés à renforcer les défenses contre les attaques informatiques et à mieux protéger les opérations associées à l’eau.
En complément, les bénéficiaires ont accès à une assistance technique fournie sans coût par la New York State Environmental Facilities Corporation (EFC). Cela aide les acteurs locaux à traduire les constats d’audit en mesures applicables.
Des aides liées à des exigences de cybersécurité
Ce soutien financier s’inscrit dans un cadre de conformité. L’État indique que les subventions doivent aider les utilities à respecter des normes minimales de cybersécurité introduites en mars.
Parmi les exigences mentionnées, on retrouve notamment :
- une formation obligatoire en cybersécurité pour les opérateurs certifiés ;
- des obligations de déclaration en cas d’incident ;
- des protections fondées sur le risque pour les opérations critiques et les informations sensibles ;
- la désignation d’un responsable cybersécurité pour les systèmes plus importants de distribution d’eau potable.
Au lancement du programme, New York avait précisé que certains niveaux de soutien pouvaient atteindre jusqu’à 50 000 dollars pour des évaluations et jusqu’à 100 000 dollars pour l’exécution de mises à niveau. Cette logique vise à rendre les démarches de sécuriser les réseaux d’eau à la fois plus accessibles et plus systématiques.
Pourquoi l’enjeu est urgent
La gouverneure Hochul a souligné que les menaces sont réelles et en hausse. Son propos s’appuie sur des attaques récemment observées contre des systèmes d’eau dans plusieurs États.
Dans ce contexte, les utilities ne sont plus uniquement confrontées à des risques informatiques classiques. Elles doivent aussi protéger des environnements où l’automatisation et l’opérationnel peuvent être impactés par des actions malveillantes.
Un contexte d’attaques ciblant l’“opérationnel”
Les annonces interviennent peu de temps après une campagne coordonnée qui aurait visé des systèmes d’opérations technologiques dans des installations d’eau et d’eaux usées aux États-Unis.
Des informations publiques font état de ciblages de réseaux communautaires dans plusieurs territoires. Par exemple, plus de 30 systèmes de Minnesota auraient été visés sur les 26 et 27 juillet.
Dans certaines communes, des perturbations des fonctions de contrôle automatisé ont été rapportées. Toutefois, des procédures de secours ont permis à la plupart des installations de continuer à fonctionner.
Un cas mis en avant concerne la ville de Braham, où l’attaque aurait conduit à mettre brièvement l’usine de traitement hors ligne. Les informations décrivent une mise à l’arrêt des commandes d’exploitation, entraînant l’arrêt du puits et du traitement de l’eau. D’autres municipalités indiquent, elles, que l’eau restait sûre et que les services continuaient.
La campagne aurait ensuite touché des infrastructures d’eau dans au moins sept États. Le détail des impacts varie selon les lieux.
Actions similaires signalées dans plusieurs États
Au-delà du Minnesota, plusieurs communications publiques ont évoqué des incidents ou des activités malveillantes.
Le Michigan aurait confirmé une activité malveillante impliquant un nombre restreint de communautés. À Rapid City (Dakota du Sud), un incident concernerait une station de relevage d’eaux usées. La Géorgie est aussi mentionnée comme un État potentiellement ciblé.
Dans le cas de New York, aucune utility n’a été publiquement associée à la campagne dans les informations disponibles au moment de l’annonce.
Les recommandations de la CISA
Après ces attaques, les autorités fédérales ont appelé les opérateurs de l’eau et des eaux usées à prendre des mesures immédiates. L’une des recommandations clés mentionnées par la CISA (Cybersecurity and Infrastructure Security Agency) concerne la réduction de l’exposition des systèmes.
La CISA encourage notamment à :
- retirer les contrôleurs logiques programmables (PLC) et d’autres équipements d’opérationnel exposés publiquement depuis l’Internet ;
- changer les mots de passe par défaut ;
- faire passer l’accès distant nécessaire par des passerelles sécurisées ou par des réseaux privés virtuels (VPN) ;
- limiter les connexions aux seules adresses IP de confiance.
Ces mesures s’inscrivent directement dans la démarche de renforcement visant à sécuriser les réseaux d’eau, notamment lorsque des systèmes industriels sont connectés ou accessibles à distance.
Attribution encore incertaine
Selon les informations disponibles, les enquêteurs fédéraux n’ont pas attribué formellement les attaques à un acteur précis.
En revanche, l’Iran serait apparu comme un suspect majeur, car l’activité rapportée ressemblerait à des campagnes précédemment associées à des groupes connus pour cibler les acteurs liés aux systèmes industriels et aux utilities de l’eau.
Il reste donc une part d’incertitude sur l’origine exacte, même si le parallèle technique et opérationnel observé nourrit les hypothèses.
Un volet distinct : investissements dans l’eau
Enfin, le financement de cybersécurité annoncé ne se confond pas avec d’autres programmes d’investissement. L’État précise qu’il s’agit d’un montant séparé d’un plan d’investissement plus large pour l’eau.
En particulier, New York indique avoir inclus dans son budget 2027 un investissement quinquennal de 3,8 milliards de dollars pour l’infrastructure de l’eau. L’État affirme que cet ensemble portera ses subventions totales dédiées à l’infrastructure hydrique depuis 2017 à plus de 10 milliards de dollars.
En d’autres termes, l’approche combine mise à niveau des capacités physiques et renforcement de la cybersécurité, afin de protéger l’ensemble de la chaîne opérationnelle.
Conclusion
Avec plus de 9 millions de dollars, New York cherche à accélérer la sécurisation des réseaux d’eau potable et d’eaux usées. En soutenant des évaluations, des déploiements d’améliorations et un accompagnement technique sans frais, le programme SECURE vise à aider les opérateurs à respecter des exigences de cybersécurité et à mieux résister aux attaques.
Dans un contexte où les incidents impliquant des systèmes opérationnels se multiplient, ces actions contribuent à renforcer la résilience et à réduire les risques pour un service essentiel au quotidien.
