Le Michigan a révélé samedi que neuf de ses systèmes d'eau potable avaient été ciblés par des cyberattaques, ce qui en fait le deuxième État américain après le Minnesota à signaler de tels incidents. Les responsables de l'État ont confirmé que tous les systèmes affectés continuaient de fonctionner normalement, sans aucun risque pour la santé publique.

L'annonce a suivi une alerte cybernétique fédérale émise mardi avertissant de tentatives de manipulation de la technologie opérationnelle des systèmes d'eau. L'État a ensuite reçu « un petit nombre de signalements de communautés du Michigan indiquant une activité conforme à ce que les agences fédérales ont décrit », selon Dale George, directeur des communications au ministère de l'Environnement, des Grands Lacs et de l'Énergie du Michigan. George a ensuite confirmé que neuf systèmes avaient été touchés.

« Tous les systèmes ont continué de fonctionner normalement, les problèmes ont été résolus par les opérateurs locaux, et il n'y a aucun impact connu représentant un risque pour la santé publique », a déclaré George dans un communiqué.

Le FBI, qui dirige l'enquête, n'a pas identifié publiquement de coupable. Un porte-parole du bureau a refusé de commenter jeudi sur l'identité des responsables potentiels. Cependant, le FBI, la Cybersecurity and Infrastructure Security Agency (CISA) et d'autres agences fédérales ont émis un avis la semaine dernière avertissant que des hackers iraniens ciblaient les systèmes d'eau et d'assainissement, ainsi que les contrôles opérationnels d'autres secteurs d'infrastructures critiques.

« Le FBI a connaissance des récents rapports publics concernant les secteurs de l'eau et de l'assainissement (WWS) », a déclaré l'agence dans un communiqué samedi. « Le FBI et nos partenaires interagences sont pleinement engagés à protéger les infrastructures critiques et nous restons bien équipés pour nous protéger contre les cybermenaces de toutes natures. »

Les autorités du Minnesota ont signalé plus tôt dans la semaine que plus de 30 des systèmes d'eau de l'État avaient été ciblés. Minnesota IT Services a déclaré que jeudi, aucune communauté n'avait demandé aux résidents de modifier leur consommation d'eau potable. L'agence a précisé que la plupart des attaques confirmées concernaient la technologie utilisée pour surveiller et contrôler à distance les équipements. Être classé comme « touché » signifiait que les enquêteurs avaient confirmé une activité malveillante impliquant la technologie d'un système, mais ne signifiait pas nécessairement que chaque communauté affectée avait subi des perturbations de service.

À Braham, ville d'environ 1 700 habitants située à environ 70 miles (113 kilomètres) au nord de Minneapolis, les résidents ont été priés pendant plusieurs heures lundi de réduire leur consommation d'eau pendant que les responsables déterminaient pourquoi la station de traitement était hors ligne. La ville a indiqué dans un communiqué de presse que la panne résultait d'une cyberattaque, bien que la qualité de l'eau n'ait pas été affectée. Selon la ville, les attaquants ont désactivé les commandes opérationnelles qui ont mis hors service le puits et la station de traitement de l'eau, laissant temporairement la ville incapable de fournir aux résidents uniquement l'eau contenue dans son château d'eau.

À Plymouth, ville d'environ 80 000 habitants située en banlieue de Minneapolis, les responsables ont annoncé sur les réseaux sociaux que les communications de l'infrastructure hydrique avaient été rétablies mardi après-midi après avoir été perturbées par une cyberattaque.

L'intérêt de l'Iran pour les opérations des systèmes d'eau américains persiste depuis des années. En 2016, le ministère de la Justice a inculpé un groupe de hackers iraniens en lien avec une cyberattaque visant un petit barrage près de New York. En novembre 2023, un groupe se faisant appeler CyberAv3ngers, rattaché par les autorités américaines au Corps des Gardiens de la Révolution islamique d'Iran, a compromis une installation hydrique à Aliquippa, en Pennsylvanie, en ciblant des automates programmables fabriqués par l'entreprise israélienne Unitronics. Cet incident a motivé un avis distinct de la CISA exhortant les services des eaux à modifier les mots de passe par défaut et à limiter l'exposition à Internet des appareils opérationnels.

La guerre numérique s'est profondément intégrée aux conflits militaires modernes, et les services d'eau locaux ainsi que les établissements de santé manquent fréquemment des financements et de l'expertise technique nécessaires pour déployer les derniers correctifs logiciels et mesures de sécurité. Les États-Unis comptent environ 50 000 systèmes d'eau communautaires, selon l'Environmental Protection Agency, et la grande majorité en dessert moins de 10 000 personnes, ce qui signifie que beaucoup fonctionnent avec des effectifs restreints et des budgets de cybersécurité limités. Cette vulnérabilité a rendu ces installations attrayantes pour les intrus informatiques, compte tenu à la fois de la relative facilité de compromission et du potentiel d'alarme publique.

Lors d'une réunion du Cabinet vendredi à la retraite présidentielle de Camp David dans le Maryland, le président Donald Trump a affirmé sans preuve que les récentes cyberattaques au Minnesota étaient le fait du gouvernement de l'État, y compris du gouverneur démocrate Tim Walz. Walz a répondu sur les réseaux sociaux, déclarant que Trump « sait exactement qui est responsable de cette attaque, et sait que d'autres États ont également été touchés ».