Cyberattaques contre l’eau américaine : sept États confirment des dégâts

Le 30 juillet 2026, le FBI et l’Agence américaine de protection de l’environnement ont documenté des cyberattaques contre des réseaux d’eau et d’assainissement dans au moins sept États. Selon l’alerte fédérale du 30 juillet, les incidents signalés depuis le 27 juillet ont parfois dégradé les opérations, avec notamment des pertes de pression et des inondations.

Ce bilan confirme donc deux éléments distincts : des incidents ont été signalés dans au moins sept États, et certaines victimes ont subi des dégâts opérationnels. Il ne permet pas d’affirmer que chacun de ces États a connu les mêmes conséquences, ni qu’un auteur unique a mené toutes les intrusions. Aucune attribution publique définitive à l’Iran n’accompagnait l’alerte.

Sept États documentés, puis un périmètre élargi

Le seuil fédéral de sept États ne constitue pas une carte publique complète. Le FBI n’a pas nommé tous les territoires concernés, tandis que des informations ultérieures ont fait passer à au moins douze le nombre d’États où des attaques avaient été rapportées. Cette extension repose toutefois sur des sources informées et non sur une nouvelle liste fédérale détaillant, réseau par réseau, les intrusions et leurs effets.

Une enquête de CBS News mise à jour le 6 août cite le Minnesota, le Michigan, la Géorgie, le New Jersey et le Dakota du Sud parmi au moins douze États ayant reçu des signalements. Elle distingue aussi les accès informatiques des conséquences physiques : en Géorgie, l’autorité de l’eau du comté de Clayton, qui dessert 300 000 clients, a associé une activité malveillante à une baisse de pression et à un avis préventif de faire bouillir l’eau, avant un rétablissement du service en quelques heures.

Le Minnesota illustre cette diversité des effets. Les constatations publiées par l’Associated Press portent sur plus de 30 réseaux visés dans l’État, sans conséquence signalée pour les habitants dans la plupart des communes. À Braham, l’attaque a arrêté temporairement l’installation alimentant le château d’eau et conduit la ville à demander une réduction de la consommation pendant quelques heures, sans problème connu de qualité. À Plymouth, les communications ont été interrompues, mais les équipes ont continué à exploiter le réseau sans effet signalé sur les niveaux ou la qualité de l’eau.

Les automates exposés relient les incidents

Le point commun technique est l’accès à des automates programmables industriels, ou PLC, directement joignables depuis Internet. Ces équipements surveillent ou commandent des fonctions physiques comme les pompes, les vannes, les puits et la pression. Les autorités fédérales ont observé les intrusions sur des Rockwell Automation/Allen-Bradley MicroLogix 1100 et 1400, tout en avertissant que des automates d’autres marques exposés de la même manière pouvaient présenter un risque comparable.

Après leur connexion à distance, les attaquants ont modifié des adresses IP et activé ou remplacé des mots de passe. Les exploitants ont alors perdu la visibilité sur certains équipements et, dans plusieurs cas, une partie de leurs capacités de commande. Une organisation a également découvert des divergences dans la logique à contacts de fichiers de projet utilisés sur plusieurs sites.

L’effet concret dépend de la fonction de l’automate. La compromission d’un appareil limité à la télémétrie prive surtout l’équipe de données à distance; celle d’un contrôleur pilotant une pompe ou une vanne peut modifier directement le fonctionnement du réseau. La possibilité de passer rapidement aux commandes locales explique pourquoi plusieurs incidents ont été contenus sans interruption durable de la distribution.

Les dégâts sont établis, l’attribution ne l’est pas

Les accès malveillants, les pertes de fonctions de surveillance et certains effets opérationnels sont confirmés. En revanche, le nombre de douze États ne signifie pas que douze administrations ont toutes validé un dommage physique, pas plus qu’il ne démontre l’existence d’une campagne unique. Les décomptes peuvent réunir des intrusions vérifiées, des activités techniques encore examinées et des signalements dont l’ampleur n’a pas été rendue publique.

L’Iran demeure une hypothèse d’enquête, pas une attribution fédérale définitive. Des responsables et des chercheurs ont relevé des ressemblances avec des opérations antérieures attribuées à des acteurs iraniens contre des contrôleurs industriels, mais une technique similaire ne suffit pas à identifier l’auteur de chaque incident. Il reste notamment à déterminer si tous les réseaux ont été ciblés par le même groupe ou si plusieurs acteurs ont exploité une exposition technique commune.

Aucune information publique n’établit une contamination généralisée de l’eau potable. Une baisse de pression reste néanmoins un incident de sûreté sérieux : elle peut permettre à de l’eau souterraine non traitée de pénétrer dans les canalisations. Un avis de faire bouillir l’eau peut donc être préventif et ne constitue pas, à lui seul, la preuve d’une contamination détectée.

Les contrôles prioritaires sur les équipements exposés

Les recommandations fédérales ciblent directement le chemin d’accès observé pendant les attaques. Leur priorité est de retirer les automates de l’exposition publique tout en conservant des moyens d’exploitation locale fiables :

• supprimer toute connexion directe des PLC à Internet et faire passer l’accès distant par une passerelle sécurisée, surveillée et contrôlée;
• inventorier les modems cellulaires, renforcer leur authentification, activer leurs journaux et examiner régulièrement les connexions;
• appliquer des mots de passe uniques et robustes, puis limiter les échanges aux systèmes autorisés avec des pare-feu ou des listes de contrôle d’accès;
• placer les commutateurs matériels et logiciels en mode d’exécution après les opérations de maintenance afin de bloquer les modifications non autorisées;
• comparer les fichiers de projet et la logique active à une version réputée saine avant toute restauration;
• tester les commandes manuelles, les sauvegardes, les mécanismes de secours et les plans de continuité;
• isoler ou remplacer les équipements en fin de vie qui ne reçoivent plus de correctifs.

L’état public du dossier reste ainsi plus précis que ne le suggèrent les seules revendications : au moins sept États figurent dans le bilan fédéral, des dégâts opérationnels sont établis chez certaines victimes et des signalements portent désormais sur un périmètre plus large. Les informations encore attendues concernent la liste complète des réseaux atteints, la gravité propre à chaque incident et les preuves permettant — ou non — de relier ces intrusions à un même acteur.

À lire aussi:

• QUASA lance une plateforme entièrement localisée en français, élargissant son hub d’économie des créateurs Web3 dans le monde francophone