Des agences fédérales américaines avertissent que des pirates informatiques ciblent activement des systèmes de contrôle industriel utilisés dans les stations de traitement des eaux, les usines, les installations énergétiques et d'autres infrastructures critiques à travers le pays.

L'Agence de sécurité nationale (NSA), le FBI, le Département de l'Énergie, l'Agence de protection de l'environnement (EPA) et la Cybersecurity and Infrastructure Security Agency (CISA) ont déclaré mercredi qu'une « menace active » ciblait les automates programmables Siemens de la série S7. Ces appareils servent à surveiller et à contrôler des équipements industriels dans des secteurs tels que la fabrication, l'énergie, l'eau et l'assainissement, la chimie, ainsi que l'agroalimentaire et l'agriculture. Les contrôleurs Siemens ont déjà été au cœur d'incidents cyber industriels majeurs : le logiciel malveillant Stuxnet, découvert en 2010, manipulait des automates Siemens S7 pour endommager physiquement des centrifugeuses sur le site nucléaire iranien de Natanz, une affaire encore citée comme démonstration exemplaire du fait qu'un code informatique peut détruire des équipements.

Selon l'avis publié, une attaque réussie pourrait perturber des opérations critiques, contraindre des installations à se mettre hors ligne, endommager des équipements et créer des dangers pour la sécurité. Les responsables ont également averti que des intrusions pourraient déclencher des perturbations en cascade dans des systèmes interconnectés.

Le gouvernement a indiqué que les pirates recourent de plus en plus à l'intelligence artificielle pour faciliter ce type d'attaques, réduisant considérablement l'expertise et le temps nécessaires au développement d'outils capables d'exploiter les systèmes industriels. Selon l'avis, les attaquants scannent l'internet à la recherche de contrôleurs Siemens exposés ou mal protégés et utilisent des outils générés par IA pour parvenir à y accéder.

Les agences fédérales ont déclaré que cette activité semble viser en partie à étudier les systèmes ciblés et à développer la capacité de perturber des opérations à l'avenir. De telles attaques pourraient affecter la production, les services publics et les chaînes d'approvisionnement, tout en provoquant des dommages aux équipements ou des arrêts prolongés. Les responsables ont également mis en garde : certains opérateurs pourraient ignorer que leurs systèmes sont exposés, en particulier lorsque des prestataires externes disposent d'un accès à distance aux équipements industriels.

Cet avertissement intervient dans un contexte de vague récente de cyberattaques contre des systèmes d'eau locaux que des experts en cybersécurité soupçonnent d'avoir des liens avec l'Iran, même si les responsables fédéraux n'ont pas formellement attribué ces incidents à Téhéran. La CISA avait averti le 30 juillet d'une augmentation significative des attaques visant les automates programmables. Quelques jours plus tôt, l'agence avait indiqué que des pirates affiliés à l'Iran exploitaient des équipements industriels fabriqués par Siemens, Rockwell Automation et Schneider Electric.

Les inquiétudes se sont intensifiées après que le Minnesota est devenu le premier État à signaler une série d'au moins 30 incidents cyber impliquant des systèmes d'eau locaux les 26 et 27 juillet. Les responsables fédéraux se sont abstenus de blâmer l'Iran pour ces attaques. Le président Donald Trump a déclaré le 31 juillet qu'il ne croyait pas que Téhéran en fût responsable et a plutôt critiqué le Minnesota au sujet de ces incidents. Le secteur de l'eau a déjà connu des intrusions à distance, notamment un épisode survenu en 2021 à Oldsmar, en Floride, où un intrus a accédé à distance à une station de traitement et a tenté d'augmenter un paramètre chimique avant qu'un opérateur n'annule la modification.

Ce dernier avertissement souligne la vulnérabilité des technologies opérationnelles — des systèmes qui contrôlent des équipements physiques plutôt que de simplement stocker des données d'entreprise. Contrairement aux cyberattaques classiques axées sur le vol d'informations, les attaques contre les systèmes de contrôle industriel peuvent avoir des conséquences physiques et économiques directes, pouvant interrompre les services publics, arrêter la production ou endommager des équipements coûteux. Les retombées potentielles peuvent dépasser le cadre d'une installation individuelle et affecter des entreprises et des services qui dépendent de systèmes industriels interconnectés.

Siemens a déclaré jeudi n'avoir détecté ni augmentation du niveau des attaques ni vulnérabilités inconnues jusqu'alors affectant ses produits de systèmes de contrôle industriel. L'entreprise a indiqué à FOX Business être au courant de l'alerte et se coordonner avec la CISA.

« Siemens fournira des mises à jour sur cette question aux clients potentiellement concernés par l'intermédiaire de notre équipe ProductCERT », a déclaré un porte-parole de l'entreprise. « À ce stade, nous n'avons pas identifié de niveaux d'attaque accrus ni de vulnérabilités inconnues dans les produits ICS de Siemens. »

Pour les exploitants d'installations, la mise en garde des responsables concernant une exposition passée inaperçue — en particulier via des prestataires externes disposant d'un accès à distance — renvoie à la question pratique immédiate de déterminer qui peut accéder à leurs contrôleurs. Siemens a indiqué que les informations de suivi seraient communiquées par son équipe ProductCERT, et la CISA publie des avertissements réguliers sur le ciblage des automates programmables, offrant ainsi aux exploitants deux canaux officiels à surveiller pour suivre les développements.

Reuters a contribué à ce reportage.