Plus de 100 systèmes d’eau visés : les automates exposés ont cédé

La CISA a observé, en juillet 2026, des activités malveillantes visant plus de 100 systèmes exposés à Internet dans le secteur américain de l’eau et de l’assainissement. Dans ses recommandations sur la réduction de l’exposition, l’agence précise que l’accès passait couramment par des automates programmables industriels, ou PLC, directement reliés à un modem cellulaire.

Tous les systèmes visés n’ont pas été compromis, mais certains automates exposés ont bien cédé : des attaquants ont changé leurs mots de passe pour verrouiller l’accès des opérateurs et modifié leurs adresses IP pour interrompre leur connexion. Ces incidents ont provoqué des avis de faire bouillir l’eau et un fonctionnement manuel prolongé, tandis que la CISA n’a publiquement attribué la campagne à aucun pays ni groupe, selon le bilan de TechRadar publié le 27 août.

Plus de 100 cibles, mais un nombre inconnu de compromissions

Le chiffre de la CISA mesure des systèmes pris pour cible, et non 100 réseaux d’eau intégralement piratés ou 100 collectivités privées de service. Une activité malveillante détectée contre un équipement accessible ne prouve pas à elle seule que l’attaquant en a obtenu le contrôle, et un même exploitant peut posséder plusieurs systèmes exposés.

Les informations publiques ne permettent pas encore de compter séparément les tentatives, les accès réussis, les automates effectivement modifiés et les services perturbés. Elles établissent toutefois que la campagne a dépassé le simple repérage : sur une partie des équipements, les changements de mot de passe ou d’adresse réseau ont produit une perte de contrôle opérationnelle.

Cette distinction donne sa juste portée au bilan. La surface attaquée est nationale et dépasse 100 systèmes, mais les effets les plus graves ne concernent qu’un sous-ensemble dont la taille n’a pas été rendue publique. Les informations recueillies par TechCrunch le 26 août décrivent des interruptions et des perturbations, tout en indiquant que l’approvisionnement des communautés a été peu affecté dans l’ensemble.

Comment l’exposition directe mène à la perte de contrôle

La chaîne de risque commence lorsqu’un PLC est joignable directement depuis Internet, notamment au moyen d’un modem cellulaire. Cette liaison peut servir à la maintenance distante, mais elle place l’interface de commande à portée d’un attaquant et peut échapper aux inventaires habituels lorsqu’elle a été installée par un fournisseur, un intégrateur ou une équipe opérationnelle.

Une fois l’automate accessible, l’assaillant peut rechercher une protection par défaut ou une configuration insuffisante. La CISA ne présente pas une méthode unique pour l’ensemble des cibles, mais elle a constaté deux modifications concrètes sur des équipements atteints : l’activation ou le remplacement d’un mot de passe, puis le changement de l’adresse IP.

Le premier changement peut empêcher le personnel autorisé de se reconnecter. Le second rompt la communication avec la supervision configurée pour joindre l’ancienne adresse. Il n’est donc pas nécessaire de détruire l’automate ou d’altérer toute sa logique : la perte de visibilité et de commande distante suffit à obliger l’exploitant à intervenir localement.

Des effets opérationnels sans panne nationale de l’eau

Les conséquences confirmées vont de la désorganisation technique à des précautions sanitaires visibles pour les habitants. Lorsqu’une équipe ne peut plus se fier à la télémétrie ou aux commandes automatiques, elle doit surveiller sur place les pompes, les vannes, les niveaux et les paramètres de traitement. Ce fonctionnement manuel mobilise davantage de personnel et peut durer jusqu’à la restauration d’une configuration sûre.

Un avis de faire bouillir l’eau ne signifie pas nécessairement qu’une contamination a été détectée. Il peut être émis par précaution lorsque la pression, le traitement ou la surveillance ne peuvent plus être garantis avec le niveau de confiance habituel. Les effets signalés montrent ainsi une perturbation réelle de certains services, sans établir une altération généralisée de l’eau distribuée.

Les incidents recensés dans plusieurs États illustrent aussi la diversité des conséquences : la perte d’accès à un équipement n’a pas le même poids selon qu’il commande une fonction secondaire ou un processus indispensable, ni selon la capacité de l’exploitant à basculer rapidement en mode manuel.

Les protections demandées et les inconnues restantes

La mesure prioritaire consiste à retirer d’Internet les PLC et les autres équipements opérationnels directement exposés. Lorsqu’un accès distant reste indispensable, la CISA recommande de le faire passer par un VPN ou une passerelle contrôlée plutôt que de permettre une connexion directe à l’automate.

L’agence demande également de vérifier les connexions externes, y compris les modems cellulaires qui peuvent manquer dans les inventaires et les analyses courantes de la surface d’attaque. Les protections immédiates comprennent le remplacement des mots de passe par défaut, la restriction des connexions aux adresses autorisées et la conservation d’une sauvegarde propre de la configuration.

• déconnecter les PLC qui n’ont pas besoin d’être accessibles publiquement ;
• faire transiter les accès nécessaires par un VPN ou une passerelle sécurisée ;
• activer une protection par mot de passe et remplacer les identifiants par défaut ;
• limiter les accès distants aux postes et adresses IP connus ;
• vérifier une sauvegarde saine avant toute opération de restauration.

Ces mesures coupent les principales étapes observées en juillet : découverte d’un automate public, accès à son interface, modification de ses paramètres, puis perte de la commande distante. Leur déploiement doit néanmoins tenir compte des contraintes de production, car débrancher sans préparation une liaison utilisée par l’exploitation peut lui-même provoquer une interruption.

Le bilan reste incomplet sur trois points : le nombre exact d’automates contrôlés par les assaillants, celui des services effectivement perturbés et la durée totale des restaurations. L’identité des responsables n’a pas davantage fait l’objet d’une attribution publique de la CISA. À ce stade, le chiffre de plus de 100 décrit donc l’étendue des cibles observées en juillet, tandis que les compromissions et leurs conséquences doivent encore être quantifiées.

À lire aussi:

• Cyberattaques contre l’eau américaine : sept États confirment des dégâts
• Twitch ouvre les sponsorings aux Affiliés, sans garantir de campagne
• Creator Music abandonne les licences payantes : le coût passe aux revenus