Les 26 et 27 juillet 2026, des hackers ont tenté de s’introduire dans au moins 30 systèmes d’eau municipaux du Minnesota. Depuis, le Michigan, le New Jersey et plusieurs autres États ont signalé des cyberattaques similaires, selon des sources proches du dossier.

Les attaquants n’ont pas tenté d’infiltrer les ordinateurs administratifs utilisés dans les bureaux des services publics. Ils ont plutôt cherché à prendre le contrôle de petits ordinateurs embarqués — des automates programmables industriels (PLC) — qui régulent des équipements comme des pompes et des vannes chargés d’acheminer l’eau potable à des millions de personnes.

Les exploitants ont riposté en arrêtant les ordinateurs de contrôle et en envoyant du personnel sur le terrain pour faire fonctionner les équipements manuellement. Les responsables ont indiqué que l’eau potable était restée sûre tout au long des incidents.

Les méthodes employées dans ces attaques correspondent à des schémas généralement observés dans les opérations cybernétiques internationales, selon des chercheurs en cybersécurité. Les soupçons initiaux se sont portés sur des hackers supposément liés à l’Iran, comme l’a rapporté Wired, mais le gouvernement américain n’a pas encore attribué officiellement ces attaques à un acteur ou à un pays précis.

Les systèmes d’eau et d’assainissement font partie des 16 secteurs d’infrastructures critiques désignés par le gouvernement fédéral, et ces attaques interviennent dans un contexte d’intensification plus large des reconnaissances menées par des États contre les infrastructures industrielles américaines. En février 2021, un attaquant a accédé à distance à une usine de traitement de l’eau à Oldsmar, en Floride, et a tenté d’augmenter des niveaux d’hydroxyde de sodium à des concentrations dangereuses avant d’être stoppé par un opérateur. Fin 2023, des hackers liés à l’Iran ont pris le contrôle d’un PLC de la Municipal Water Authority d’Aliquippa, en Pennsylvanie. Les incidents de 2026 se distinguent par leur ampleur — des dizaines de services publics visés dans plusieurs États sur une période coordonnée — plutôt que par la compromission d’un seul site.

Comment fonctionnent les systèmes de contrôle de l’eau

Les États-Unis comptent environ 152,000 systèmes publics d’eau potable, selon les données fédérales. La grande majorité dessert moins de 3,300 clients et fonctionne avec seulement quelques employés, une réalité structurelle qui a longtemps compliqué les initiatives de cybersécurité à l’échelle du secteur. L’eau municipale est généralement prélevée dans des lacs, des réservoirs, des rivières ou des aquifères souterrains. Des pompes acheminent l’eau par des tuyaux vers une usine de traitement, où elle est filtrée et désinfectée. D’autres pompes poussent l’eau traitée vers des réservoirs de stockage, puis dans le réseau de distribution vers les habitations et les entreprises. Ces systèmes peuvent s’étendre sur de nombreux kilomètres carrés.

Les hackers ont ciblé des PLC — de petits ordinateurs qui pilotent une large gamme d’équipements industriels. Ces contrôleurs lisent des capteurs mesurant des paramètres comme la pression de l’eau, la chimie de l’eau, les niveaux des réservoirs et l’état des équipements, puis ils actionnent automatiquement les pompes, les vannes et les alarmes. Un thermostat domestique constitue une comparaison utile : il lit la température et indique au système de chauffage ou de refroidissement quoi faire.

Les PLC transmettent également des données opérationnelles vers le système informatique central d’un service public. Les employés utilisent des tableaux de bord pour surveiller les informations et renvoyer des commandes aux contrôleurs. Cette communication bidirectionnelle peut circuler via des réseaux filaires, des liaisons radio ou cellulaires, ou des connexions internet.

De nombreux services publics fonctionnent avec de petites équipes, ce qui rend les connexions à distance indispensables. Elles permettent à un employé de surveiller une pompe ou une cuve éloignée, de recevoir une alarme en dehors des heures de travail ou de permettre à un fournisseur de diagnostiquer un équipement sans se déplacer sur chaque site.

Les contrôleurs utilisant internet peuvent s’y connecter directement ou passer par des pare-feu de protection, des passerelles sécurisées ou des réseaux privés virtuels (VPN). L’accès direct est plus vulnérable car il y a moins de barrières défensives entre le contrôleur et les attaquants potentiels. Un hacker peut localiser un contrôleur en scannant internet à la recherche de son adresse de protocole internet (IP), puis tenter d’utiliser un mot de passe faible ou volé, ou exploiter une faille de sécurité connue.

Pour atteindre un contrôleur protégé par une passerelle sécurisée ou un service chiffré, un hacker devrait voler des identifiants d’accès à distance, compromettre la passerelle ou le réseau privé, ou prendre le contrôle du poste de travail d’un opérateur afin d’établir un point d’appui.

Une tentative d’accès peut aussi s’inscrire dans une stratégie à plus long terme visant à recueillir du renseignement, à tester les défenses ou à préparer une entrée persistante pour une opération ultérieure.

Anatomie d’une attaque

Les attaques contre les systèmes de contrôle industriels suivent généralement une séquence reconnaissable. L’intrusion commence souvent par une phase de reconnaissance : les attaquants scannent des adresses internet à la recherche de contrôleurs exposés, de tableaux de bord et de services d’accès à distance fournis par des tiers, afin d’identifier des systèmes directement reliés à internet. Les chercheurs trouvent régulièrement des milliers de PLC du secteur de l’eau et d’interfaces homme-machine exposés sur internet public via des outils comme Shodan, un moteur de recherche pour appareils connectés à internet.

Ensuite, l’attaquant cherche un mot de passe par défaut ou volé, une vulnérabilité non corrigée ou un service d’accès à distance mal configuré. Un logiciel malveillant sophistiqué n’est pas toujours nécessaire. En 2023, des responsables américains ont indiqué que des hackers liés à l’Iran avaient ciblé des PLC Unitronics connectés à internet et utilisés par des services d’eau. Selon la Cybersecurity and Infrastructure Security Agency (CISA), certains services utilisaient encore le mot de passe par défaut du fabricant.

Dans la dernière étape, l’attaquant exploite l’accès obtenu. Cela peut consister à modifier un mot de passe, à envoyer des commandes ou à tenter de modifier le logiciel du contrôleur. Des chercheurs du National Institute of Standards and Technology (NIST) soulignent qu’un intrus pourrait remplacer des instructions de contrôle légitimes par des commandes malveillantes. Un attaquant pourrait aussi infiltrer un ordinateur de bureau par phishing, puis passer au réseau des contrôleurs.

Les équipements industriels en service depuis des décennies sont particulièrement vulnérables, car ils ne prennent pas toujours en charge les fonctions de sécurité modernes. Les services publics retardent souvent les mises à jour pour éviter d’interrompre les opérations.

Les rapports indiquent que les hackers ont accédé aux systèmes d’eau du Minnesota via des contrôleurs communiquant directement par internet. Un avis conjoint du FBI et de l’Environmental Protection Agency du 30 juillet (IC3 PSA) a indiqué que les attaquants avaient accédé à distance à des PLC Rockwell Automation MicroLogix directement connectés à internet et en avaient modifié les adresses IP et les mots de passe.

Mesures défensives que les services publics peuvent prendre

La mesure de protection la plus immédiate consiste à retirer les contrôleurs et les tableaux de bord homme-machine de l’exposition directe à internet. À la suite des attaques du Minnesota, la CISA a exhorté les services d’eau à placer ces équipements derrière des pare-feu correctement configurés et d’autres dispositifs de protection.

Lorsque l’accès à distance est nécessaire, les services publics devraient faire transiter les communications par une passerelle sécurisée ou un VPN, exiger une authentification multifacteur et appliquer des contrôles d’accès au moindre privilège. Ils devraient aussi changer les mots de passe par défaut, désactiver les services d’accès à distance inutilisés et installer les mises à jour approuvées par le fournisseur.

Dans ses recommandations sur les tableaux de bord exposés à internet, la CISA recommande également de séparer les réseaux opérationnels des systèmes de messagerie et des autres systèmes métiers afin de rendre plus difficile les déplacements latéraux entre les deux.

Enfin, les services publics devraient sauvegarder les programmes des contrôleurs, consigner l’activité d’accès à distance et s’entraîner à restaurer les systèmes et à fonctionner manuellement.

L’EPA, qui agit comme agence sectorielle pour l’eau dans le cadre fédéral des infrastructures critiques, a demandé au Congrès un fondement légal pour imposer des normes de cybersécurité à l’ensemble du secteur. À ce jour, les services d’eau ne sont soumis à aucun mandat fédéral de cybersécurité comparable à ceux qui s’imposent au réseau électrique, réglementé par les normes de la North American Electric Reliability Corporation (NERC-CIP). Les textes de loi proposés lors de précédentes sessions du Congrès pour combler cette lacune n’ont pas progressé.

Le déficit de ressources

Les services d’eau ruraux aux budgets et aux effectifs limités représentent une vulnérabilité importante au sein des infrastructures critiques américaines. Un groupe d’experts bénévoles en cybersécurité apporte des conseils aux services d’eau, mais sa portée reste limitée. Les plus petits services pourraient avoir besoin de financements publics ou de services de cybersécurité mutualisés pour être en mesure de se défendre correctement. Des organisations sectorielles de partage d’informations, comme le Water Information Sharing and Analysis Center (WaterISAC), diffusent des alertes sur les menaces, mais leur adoption par les petits systèmes reste inégale.

William Akoto est professeur adjoint de sécurité mondiale à l’American University School of International Service. Cet article est republié de The Conversation sous licence Creative Commons.