Cyberattaque : 30 réseaux d’eau pris pour cible

Un réseau d’eau moderne dépend d’automates programmables, ou PLC. Ces boîtiers industriels ouvrent une vanne, démarrent une pompe, règlent une pression ou déclenchent une étape de traitement. Ils sont conçus pour fonctionner longtemps et de façon prévisible, parfois dans de petites collectivités où l’équipe informatique se résume à quelques personnes. Lorsqu’un automate est directement accessible depuis Internet, un mot de passe faible, un service distant mal configuré ou un logiciel ancien peut offrir une prise sur le processus physique.

Selon l’Associated Press, plus de 30 installations du Minnesota ont été ciblées. Minnesota IT Services a confirmé que les événements avaient eu lieu sur deux journées, sans identifier leur source. Le FBI a ouvert une enquête et refusé de préciser publiquement quel acteur il soupçonnait. Ce silence n’est pas un détail : en matière cyber, une adresse réseau, un outil ou un message de revendication peuvent être copiés pour fabriquer une fausse piste. L’attribution demande de croiser télémétrie, infrastructure, méthodes, renseignement et intention.

Le bilan provisoire reste contenu. Aucun habitant n’a été déclaré affecté et aucune contamination n’a été rapportée. La demande temporaire de réduction de consommation montre néanmoins le lien direct entre le code et la vie quotidienne : perdre la visibilité ou le contrôle d’une pompe suffit à forcer un exploitant à préserver ses réserves, même sans dommage matériel démontré.

L’avertissement fédéral ne repose pas sur une simple hypothèse. Les agences américaines décrivent une exploitation en cours d’équipements opérationnels connectés, notamment des contrôleurs fabriqués par Rockwell Automation, Schneider Electric et Siemens. Les cibles recensées dépassent l’eau : énergie, municipalités et autres services essentiels. Les attaquants peuvent modifier les données affichées aux opérateurs, perturber le fonctionnement d’un contrôleur ou verrouiller l’accès à un équipement.

Les autorités relient cette activité à des acteurs affiliés à l’Iran et recommandent une mesure radicalement concrète : supprimer l’exposition directe à Internet. Pare-feu, passerelle sécurisée, accès distant avec authentification forte, inventaire des équipements et sauvegarde des programmes doivent entourer les automates. Les agences demandent aussi de vérifier le mode physique des contrôleurs et de rechercher des modifications non autorisées dans les blocs de code réutilisables.

Cette campagne s’inscrit dans une longue rivalité géopolitique. Des groupes liés à l’Iran ont déjà ciblé des infrastructures d’eau et d’énergie américaines ou israéliennes, tandis que certaines revendications passées se sont révélées exagérées ou fausses. C’est précisément pourquoi les incidents du Minnesota ne doivent pas être présentés comme une culpabilité établie. L’alerte décrit une menace et des méthodes confirmées ; l’enquête locale doit encore relier, ou non, ces éléments aux traces laissées sur place.

Le paradoxe est brutal : une installation modeste peut constituer une cible géopolitique, mais son budget reste municipal. Les grands opérateurs disposent de centres de surveillance, d’ingénieurs spécialisés et de plans de continuité testés. Une petite régie doit souvent maintenir des machines âgées de plusieurs décennies, assurer la qualité de l’eau et répondre aux urgences avec peu de personnel. Le coût d’un remplacement, l’arrêt nécessaire et la rareté des spécialistes retardent les mises à niveau.

Les gagnants d’une réaction rapide seraient d’abord les habitants, puis les exploitants qui obtiendraient enfin un inventaire fiable, des accès distants maîtrisés et des financements stables. Les fabricants peuvent aussi améliorer la sécurité par défaut. Le danger serait au contraire de répondre par une accumulation de produits sans isoler les automates vulnérables. Une console de cybersécurité sophistiquée ne compense pas un contrôleur industriel encore visible depuis le réseau public.

Le Minnesota offre ainsi un test grandeur nature. Si les journaux techniques permettent de remonter jusqu’aux auteurs, l’enquête pourra distinguer campagne étatique, groupe opportuniste et imitation. Si les communes retirent rapidement leurs équipements d’Internet tout en conservant une capacité d’intervention à distance sécurisée, l’incident peut devenir un tournant utile. Sinon, la même faiblesse restera disponible pour le prochain acteur, quelles que soient sa nationalité ou ses motivations.

À court terme, trois résultats compteront : une attribution étayée, la publication du nombre d’installations réellement perturbées et la confirmation qu’aucune qualité d’eau n’a été compromise. Une revendication sur un canal social ne répondrait à aucune de ces questions. Seuls les éléments techniques recoupés par le FBI, la CISA et les opérateurs pourront transformer le soupçon en conclusion.

À moyen terme, l’indicateur décisif sera plus banal : combien d’automates exposés auront été retirés d’Internet, segmentés et sauvegardés ? La sécurité de l’eau ne dépend pas seulement de barrages, de réservoirs ou de chimie. Elle repose aussi sur des boîtiers gris installés dans des armoires, parfois oubliés jusqu’au jour où quelqu’un les manipule à distance.

Ces attaques n’ont pas provoqué de crise sanitaire signalée, mais elles ont rendu visible une dette technique nationale. Le Minnesota peut rester un avertissement maîtrisé ou devenir le prélude à une perturbation plus grave. La question n’est plus de savoir si un service essentiel attire les cyberattaquants : c’est de savoir combien de collectivités pourront fermer la porte avant leur retour.