Cisa Confirme Plus De 100 Attaques Cyber Sur L’Eau Us

On ouvre un robinet sans y penser. L’eau arrive, claire, banale, presque ennuyeuse. Derrière ce geste quotidien, des pompes, des vannes, des capteurs et des automates décident en silence du débit, de la pression, du chlore et des alarmes. En juillet, plus de cent de ces systèmes, exposés sur Internet aux États-Unis, ont été pris pour cible. La CISA vient de le confirmer. Ce n’est pas une anecdote technique destinée aux seuls experts. C’est un rappel brutal : l’eau n’est plus seulement une affaire de tuyaux, c’est un champ de bataille numérique.

Quand L’Eau Potable Devient Une Cible Numérique

L’agence fédérale américaine chargée de la cybersécurité et de la protection des infrastructures critiques a observé une vague d’intrusions visant le secteur de l’eau et des eaux usées. Le chiffre n’est pas un ordre de grandeur flou. Il s’agit de plus de cent systèmes exposés, répartis dans plusieurs États, dont le Michigan, le Minnesota et au moins cinq autres. Beaucoup se trouvent dans des zones rurales ou isolées, là où une panne ne se limite pas à un quartier : elle peut concerner une vallée entière.

Les attaques n’ont pas, pour l’instant, coupé durablement l’approvisionnement des foyers. Elles ont toutefois provoqué des interruptions, des investigations et des mises à l’arrêt prudentes. Les équipes d’intervention ont dû vérifier machine par machine si un automate avait été modifié. Dans certains cas, les assaillants ont réussi à altérer des programmable logic controllers, ces petits cerveaux industriels qui pilotent le réel. Désactiver un arrêt d’urgence ou une alarme, ce n’est pas un exploit de film. C’est créer une condition dangereuse sans que l’opérateur ne soit prévenu.

Des Automates Exposés, Une Porte Ouverte Sur Le Physique

Le cœur du problème n’est pas un logiciel grand public. Ce sont les automates programmables, ou PLC. On les trouve dans les stations de pompage, les usines de traitement, les réseaux d’assainissement, mais aussi dans l’énergie et l’industrie lourde. Ils exécutent des logiques simples et redoutablement concrètes : ouvrir, fermer, doser, arrêter. Quand un PLC est joignable depuis Internet, mal segmenté, mal authentifié ou laissé avec des paramètres d’usine, il devient une poignée de porte sur le monde physique.

Les fabricants cités dans cette séquence ne sont pas des acteurs obscurs. Rockwell, Schneider Electric et, plus récemment, Siemens apparaissent dans le paysage des équipements visés. Cela ne signifie pas que ces marques sont « coupables ». Cela signifie que leur présence massive dans les usines américaines en fait des cibles de choix. Un attaquant opportuniste cherche ce qui est répandu, documenté, et parfois oublié derrière une interface web vieillissante.

La CISA a déjà indiqué qu’une partie des campagnes s’appuie sur des outils d’intelligence artificielle nourris d’informations publiques. L’idée est sèche : à partir de documentations, de forums, de notices et de configurations connues, des scripts peuvent être assemblés pour interroger, sonder, puis interagir avec des PLC Siemens vulnérables. L’IA n’invente pas ici une magie nouvelle. Elle accélère le travail de ceux qui savent déjà où chercher.

Une Vague Opportuniste Plus Qu’Une Œuvre D’Art Malveillante

Le mot qui revient, entre les lignes, est opportuniste. On n’a pas affaire, d’après les éléments publics, à une campagne unique, parfaitement orchestrée, visant un seul opérateur stratégique. On observe plutôt une chasse aux systèmes mal protégés. L’exposition Internet joue le rôle de phare. Là où un automate répond, là où une interface n’exige pas grand-chose, quelqu’un frappe.

Cette logique change la lecture politique. Une attaque de prestige cherche le symbole. Une attaque opportuniste cherche le volume. Cent systèmes, ce n’est pas forcément cent chefs-d’œuvre d’intrusion. C’est cent portes mal fermées. Pour les collectivités rurales, le constat est amer : les moyens humains, les budgets de supervision et la culture du risque numérique ne sont pas ceux d’une grande métropole. Or c’est précisément là que l’effet d’une perturbation se diffuse le plus loin.

• Des PLC joignables depuis le réseau public au lieu d’être isolés.
• Des alarmes et des arrêts de sécurité potentiellement désactivés à distance.
• Des investigations qui imposent des coupures même quand l’eau continue de couler.
• Des territoires isolés où une station unique dessert un large bassin de population.

L’Iran En Arrière-Plan, Sans Attribution Définitive

Des responsables américains, cités dans plusieurs comptes rendus, estiment que Téhéran est probablement derrière une part de ces actions. Le contexte géopolitique pèse : tensions liées à la guerre impliquant les États-Unis, Israël et l’Iran. Le conditionnel reste toutefois de mise. Les officiels s’arrêtent au seuil d’une attribution ferme. Cette prudence n’est pas un détail diplomatique. En matière cyber, accuser trop tôt, c’est offrir un récit commode à l’adversaire ou se tromper de responsable.

L’opportunisme n’exclut pas un mobile politique. Un État peut encourager, tolérer ou sous-traiter des opérations peu coûteuses, à l’impact psychologique élevé. Frapper l’eau, c’est frapper un service que chacun comprend. Pas besoin de faire tomber un barrage. Il suffit de semer le doute : qui protège vraiment ce que l’on boit ?

D’autres acteurs occupent déjà le tableau depuis des années. Washington met en garde, de façon répétée, contre des groupes liés à la Chine soupçonnés d’avoir prépositionné des logiciels destructeurs dans des infrastructures critiques. L’hypothèse officielle n’est pas celle d’une attaque quotidienne. C’est celle d’une capacité en sommeil, destinée à créer le chaos en cas de crise majeure, notamment autour de Taïwan. La Russie, de son côté, a été associée à des campagnes contre des réseaux d’eau, d’électricité et d’énergie en Europe, souvent lues comme des tests de résilience face à l’OTAN.

Pourquoi L’Eau Attire Autant Les Attaquants

Le secteur de l’eau cumule plusieurs faiblesses structurelles. D’abord, il est fragmenté. Des milliers d’opérateurs, de tailles très inégales, gèrent des installations conçues pour durer des décennies. Ensuite, la priorité historique a été la continuité hydraulique, pas la hygiène numérique. Un automate qui fonctionne depuis quinze ans n’est pas remplacé parce qu’une notice de sécurité vient de paraître.

Il y a aussi la convergence malheureuse entre IT et OT. Les réseaux de bureau, la télémaintenance, les accès prestataires et les interfaces web se sont ajoutés à des environnements industriels pensés comme fermés. Chaque raccourci opérationnel — un accès distant pour un technicien le week-end, un port laissé ouvert « temporairement » — devient une habitude. Les habitudes, en cybersécurité, sont des fissures.

Enfin, le rendement politique d’une perturbation hydrique est élevé. Même limitée, elle produit des images, des rumours, des communiqués d’élus. Elle force les agences fédérales à parler. Elle rappelle aux citoyens que la modernité repose sur des boîtiers gris, parfois oubliés dans un local technique.

Ce Que Les Intrusions Ont Vraiment Produit Sur Le Terrain

Il faut tenir deux vérités en même temps. La première : les communautés n’ont pas, d’après les éléments publics, subi une catastrophe sanitaire généralisée. La seconde : l’absence de panne spectaculaire n’est pas une victoire. Elle peut seulement signifier que les attaquants n’ont pas poussé jusqu’au bout, ou que les équipes ont isolé assez vite les machines compromises.

Les outages évoqués tiennent souvent à la réponse elle-même. Quand on découvre qu’un automate a pu être modifié, on ne reprend pas le service comme si de rien n’était. On audite. On compare les logiques. On restaure. On surveille. Pendant ce temps, une station peut être mise en mode dégradé. Pour un habitant, cela se traduit par un communiqué municipal, une pression instable, un délai, une inquiétude.

Le scénario le plus préoccupant n’est pas forcément la coupure brute. C’est la modification silencieuse. Un dosage mal calibré, une vanne qui ne se ferme plus comme prévu, une alarme qui ne sonne plus. Dans l’industrie, le pire n’est pas toujours l’arrêt. C’est le fonctionnement faux.

La Résilience Ne Se Décrète Pas Dans Un Communiqué

Les États-Unis alertent depuis des années sur la fragilité de leurs infrastructures. Le secteur de l’eau revient cycliquement dans les rapports, les auditions et les exercices. Pourtant, le décalage demeure entre le discours national et la réalité d’une petite régie. On ne dote pas du jour au lendemain chaque station d’une équipe SOC, d’une segmentation parfaite et d’une supervision industrielle moderne.

Les mesures de base restent d’une banalité désespérante, et c’est précisément pour cela qu’elles comptent. Inventaire des automates. Fermeture des accès Internet non indispensables. Authentification robuste. Segmentation entre le bureau et l’atelier. Journaux exploitables. Plan de remise en service qui n’oublie pas le physique. Formation des opérateurs à reconnaître un comportement anormal, pas seulement une alerte antivirus.

• Retirer de la toile tout automate qui n’a aucune raison d’y figurer.
• Traiter la télémaintenance comme un privilège temporaire, pas comme un droit permanent.
• Vérifier que les fonctions d’arrêt et d’alarme ne peuvent pas être muselées trop facilement.
• Documenter l’état « sain » des programmes PLC pour pouvoir comparer après incident.

Ces gestes n’ont rien de glamour. Ils n’attirent pas les unes. Ils évitent pourtant qu’une interface oubliée devienne le prochain point d’entrée. La CISA, dans son rôle, publie des avis, des indicateurs, des recommandations. Elle ne peut pas se substituer à chaque collectivité. La défense des infrastructures reste un sport d’équipe mal financé.

Le Rôle Ambigu De L’Intelligence Artificielle

Parler d’IA dans cette affaire peut faire peur à bon compte. Il faut descendre d’un cran. Les attaquants n’ont pas besoin d’une machine consciente pour nuire à une station d’eau. Ils ont besoin d’une capacité à lire vite la documentation publique, à générer des séquences d’interrogation, à adapter un script à une famille d’équipements. C’est prosaïque. C’est efficace.

Le même mouvement existe côté défense. Des éditeurs et des équipes industrielles utilisent déjà des modèles pour trier des journaux, détecter des dérives, aider à la revue de configurations. La course n’est donc pas « l’IA contre l’humain ». Elle oppose ceux qui industrialisent la reconnaissance des faiblesses et ceux qui industrialisent leur correction. Pour l’instant, corriger un parc hétérogène d’automates anciens reste plus lent que de les sonder.

Il y a une leçon plus large pour les startups de la cybersécurité industrielle. Le marché n’attend pas seulement un tableau de bord élégant. Il attend des produits capables de parler aux protocoles réels, de comprendre un Ladder, un bloc fonction, une contrainte de disponibilité vingt-quatre heures sur vingt-quatre. Protéger l’eau, ce n’est pas cloner un antivirus de poste de travail.

Ce Que Cette Séquence Dit Aux Startups De La Cybersécurité

Le thème peut sembler loin de la présentation de jeunes pousses. Il les concerne pourtant directement. Chaque vague d’intrusions industrielles rouvre un marché : supervision OT, inventaire passif, détection d’anomalies sur protocoles propriétaires, durcissement d’accès distant, simulation d’incident pour collectivités. Les grands comptes énergétiques achètent déjà. Les régies d’eau, elles, achètent trop peu, trop tard, trop cher par rapport à leur budget.

Une jeune entreprise qui veut exister dans ce champ doit accepter une contrainte rarement enseignée dans les pitchs : on ne redémarre pas une usine comme une application web. La disponibilité prime. Une fausse alerte qui stoppe une pompe peut coûter plus cher, politiquement, qu’une intrusion maladroite. D’où l’importance de produits discrets, explicables, compatibles avec des équipes réduites.

On voit aussi émerger une demande de services plus que de licences. Audits d’exposition, cartographie des PLC, accompagnement à la segmentation, exercices de crise avec élus locaux. Ce n’est pas toujours scalable. C’est souvent ce dont une commune a réellement besoin. Les structures qui sauront mixer produit et terrain auront une avance moins visible, mais plus durable, que celles qui se contentent d’un discours « AI-powered ».

La Géopolitique S’Invite Dans La Salle Des Pompes

Réduire l’affaire à un défaut de configuration serait confortable. Ce serait incomplet. Les infrastructures civiles sont devenues des leviers de pression. On l’a vu en Europe sur l’énergie. On le voit, par à-coups, sur l’eau. L’objectif n’est pas toujours la destruction. Il peut être la démonstration : nous pouvons entrer, nous pouvons toucher, nous pouvons revenir.

Dans cette grammaire, l’attribution est une arme autant qu’une enquête. Dire « l’Iran » oriente l’attention, justifie des mesures, nourrit le débat public. Ne pas le dire fermement évite l’escalade verbale. Entre les deux, le citoyen reste avec une impression floue. Quelqu’un a touché à l’eau. On ne sait pas exactement qui. On sait que cela peut recommencer.

La Chine et la Russie occupent des rôles différents dans le récit américain. L’une est associée à une préparation de long terme, presque administrative, de capacités dormantes. L’autre est associée à des campagnes plus visibles, parfois brutales, sur le continent européen. Ces grilles ne doivent pas devenir des réflexes paresseux. Elles aident toutefois à comprendre pourquoi Washington traite désormais l’eau comme un sujet de sécurité nationale, et plus seulement comme un dossier environnemental.

Et L’Europe Dans Tout Cela ?

Le lecteur français aurait tort de classer l’épisode dans la catégorie « problèmes américains ». Les architectures se ressemblent. Les mêmes familles d’automates tournent dans des stations européennes. Les mêmes tentations existent : accès distant pour dépanner vite, équipements hérités, prestataires multiples, documentation incomplète. La directive sur la résilience des entités critiques et le renforcement des exigences cyber poussent dans le bon sens. La transformation réelle, elle, se joue commune par commune.

Les syndicats des eaux, les délégataires, les collectivités et les Agences régionales de santé n’ont pas le même vocabulaire qu’un CERT. Il faut traduire. Parler de disponibilité du service public, de sécurité sanitaire, de continuité d’exploitation. Le mot ransomware fait peur. Le mot « alarme coupée sur un chloreur » devrait faire plus peur encore. Ce décalage de langage est un risque à part entière.

Les industriels européens de l’automatisme sont d’ailleurs au centre de l’histoire américaine, puisque leurs équipements figurent parmi les cibles. Cela crée une responsabilité d’écosystème : mises à jour, guides de durcissement clairs, durée de support, conception par défaut moins permissive. Une machine livrée « ouverte pour faciliter l’intégration » est une machine livrée à moitié désarmée.

Ce Qu’Il Faudrait Cesser De Croire

Premier mythe : « ce n’est pas connecté, donc ce n’est pas attaquable ». Beaucoup d’installations se croient isolées jusqu’au jour où l’on découvre un routeur 4G, une prise de maintenance, un historique de téléservice. Deuxième mythe : « on verra bien si ça arrive ». Juillet a montré que cela arrive déjà, en volume. Troisième mythe : « les grandes villes sont les seules cibles intéressantes ». Les attaques opportunistes se moquent du prestige. Elles aiment ce qui répond.

Quatrième mythe, plus politique : attribuer trop vite rassure. Cela donne un visage à l’angoisse. Mais une mauvaise attribution oriente mal les défenses. On durcit un récit, pas forcément le bon périmètre technique. Mieux vaut cartographier ses propres PLC que commenter le renseignement d’autrui.

Cinquième mythe : la technologie neuve suffira. Remplacer un automate sans revoir l’architecture, les comptes, les flux et les procédures, c’est changer de serrure en laissant la fenêtre ouverte. Les incidents de juillet parlent d’exposition et de modification, pas d’une science-fiction militaire.

Vers Une Culture De La Preuve Dans Les Locaux Techniques

La suite utile n’est pas un catalogue de peurs. C’est une culture de la preuve. Savoir quels équipements sont en ligne. Savoir qui s’y connecte. Savoir à quoi ressemble un programme légitime. Savoir combien de temps on met à isoler une station. Savoir qui décide, la nuit, si l’on coupe ou si l’on continue. Ces questions sont administratives autant que techniques. Elles se tranchent avant l’incident.

Les assureurs, les tutelles et les élus locaux entreront de plus en plus dans la conversation. Une collectivité qui ne peut pas démontrer un minimum de maîtrise de son parc industriel s’exposera à des refus de couverture, à des injonctions, à des polémiques. La cybersécurité de l’eau quitte le cercle des spécialistes. Elle rejoint la responsabilité publique ordinaire.

Pour les équipes déjà sous l’eau — le calembour est facile, la charge de travail ne l’est pas — l’enjeu est de prioriser. On ne sécurise pas tout d’un coup. On commence par ce qui est exposé, par ce qui commande un process dangereux, par ce qui n’a aucun propriétaire clair. Un automate orphelin est presque toujours un automate fragile.

Une Leçon Simple, Un Travail Long

La confirmation de la CISA ne révolutionne pas la théorie. Elle donne une échelle. Plus de cent systèmes, en un mois, dans un secteur vital. Des automates connus. Des scripts aidés par des outils contemporains. Des soupçons géopolitiques. Des effets encore contenus, mais assez réels pour imposer des interruptions. Le récit tient dans ces quelques phrases. Le travail, lui, s’étale sur des années.

On peut retenir une image. Un local technique, une armoire, un voyant qui ne clignote plus comme avant. Quelqu’un, quelque part, a trouvé la porte. Peut-être n’a-t-il rien cassé de visible. Peut-être a-t-il seulement montré qu’il pouvait entrer. Dans le domaine de l’eau, cette démonstration suffit à justifier une remise à plat. Pas demain. Maintenant, pendant que les robinets coulent encore sans histoire.

Les infrastructures critiques n’attendent pas que l’actualité retombe pour redevenir vulnérables. Elles restent là, humides, bruyantes, indispensables. Les attaquants aussi. Entre les deux, il n’y a que la qualité de l’inventaire, la rigueur des accès et la capacité à entendre une alarme avant qu’elle ne soit réduite au silence. C’est peu. C’est déjà tout un programme.