Attaque contre plus de 100 systèmes d'eau américains : les automates programmables industriels (PLC) exposés à Internet ciblés en juillet

La Cybersecurity and Infrastructure Security Agency (CISA) a observé en juillet 2026 une activité informatique malveillante contre plus de 100 systèmes appartenant au secteur Water and Wastewater Systems (WWS) des États-Unis. L'agence a récemment diffusé un guide actualisé sur la réduction de l'exposition à Internet, révélant que le vecteur le plus courant a été l'accès direct à des automates programmables industriels (PLC) connectés à des modems cellulaires et donc joignables depuis le réseau public. Une alerte associée porte la date du 30 juillet 2026.

Plus de 100 systèmes d'eau pris pour cible

La CISA a confirmé avoir détecté, au cours du mois de juillet 2026, des tentatives d'intrusion et des accès non autorisés contre plus de 100 systèmes exposés à Internet dans le secteur de l'eau et de l'assainissement américain. Il ne s'agit pas d'un épisode isolé, mais d'une vague coordonnée d'activités malveillantes qui a touché des infrastructures critiques réparties dans plusieurs États.

Le secteur WWS comprend les stations de traitement de l'eau, les réseaux de distribution, les réseaux d'assainissement et les stations d'épuration. Nombre de ces installations, souvent gérées par de petites municipalités ou des entreprises privées aux ressources limitées, utilisent des systèmes de contrôle industriel (ICS) et des technologies opérationnelles (OT) pour surveiller et piloter les processus. Leur exposition directe à Internet, souvent sans mesures de sécurité adéquates, en a fait des cibles faciles.

Le vecteur : des PLC connectés directement à des modems cellulaires

Le point d'entrée le plus exploité a été la connexion directe des PLC à des modems cellulaires. Concrètement, des dispositifs conçus pour le contrôle de processus physiques – vannes, pompes, capteurs de niveau, systèmes de dosage de produits chimiques – étaient accessibles à tous sur Internet car connectés par une carte SIM et un modem cellulaire, sans passer par des passerelles sécurisées, des VPN ou des pare-feu.

Les PLC ne sont pas les seuls actifs exposés. La CISA mentionne également les interfaces homme-machine (IHM), les unités terminales distantes (RTU), les composants SCADA et les dispositifs IIoT. Tous ces éléments, s'ils sont reliés directement au réseau public, peuvent être repérés avec des outils de scan comme Shodan ou Censys, puis attaqués relativement facilement.

Le problème n'est pas nouveau. Des protocoles comme Modbus, EtherNet/IP, DNP3 et OPC UA, souvent utilisés dans le domaine OT, n'ont pas été conçus pour être exposés sur Internet sans protections. Lorsqu'ils le sont, n'importe qui peut tenter d'en lire ou d'en modifier l'état.

Ce que les attaquants ont fait : adresses IP et mots de passe modifiés

Selon la CISA, les attaquants ont obtenu un accès à distance non autorisé aux PLC exposés. Une fois à l'intérieur, ils ont modifié les adresses IP des appareils et changé les mots de passe. Cette simple action a eu des conséquences immédiates : les opérateurs légitimes ont perdu la capacité de surveiller et de contrôler les processus, car les systèmes ne répondaient plus aux commandes ou devenaient injoignables.

Dans certains cas, la CISA signale des interruptions opérationnelles localisées. La perte de fonctionnalités de supervision et de contrôle, même sans dommages physiques directs, peut empêcher le réglage des pompes, la gestion des niveaux de chlore ou la détection d'anomalies. SecurityWeek, qui a rapporté l'information en premier, minimise l'impact en déclarant qu'il n'y a pas eu d'interruptions significatives. Les deux évaluations divergent : la CISA met en avant des dommages réels mais circonscrits, tandis que SecurityWeek souligne qu'aucun service d'eau n'est resté hors service à grande échelle.

Le risque prospectif est toutefois élevé. La facilité avec laquelle ces systèmes ont été compromis montre à quel point la sécurité OT est fragile en l'absence d'une segmentation réseau appropriée.

Attribution incertaine et carte des États touchés

L'identité des attaquants ne fait pas consensus. SecurityWeek relie explicitement les attaques à des groupes liés à l'Iran, citant des opérations précédentes contre des infrastructures critiques américaines. Le guide de la CISA, en revanche, ne fournit aucune attribution explicite.

Le nombre d'États concernés n'est pas non plus confirmé officiellement. Le gouvernement fédéral n'a pas précisé combien d'États ont subi des tentatives d'intrusion. SecurityWeek estime qu'ils sont au moins 12, et six ont confirmé publiquement les faits : Minnesota, Michigan, Dakota du Sud, Géorgie, New Jersey et Alabama.

Peu avant la publication du guide, la CISA avait déjà averti d'attaques liées à l'Iran contre des systèmes de contrôle industriel de Siemens, Schneider Electric et Rockwell Automation. Il n'est pas précisé si ces trois fournisseurs sont directement impliqués dans la vague de juillet 2026, mais le contexte suggère une continuité d'intérêt pour l'OT américain de la part d'acteurs étatiques ou affiliés.

Les quatre mesures de la CISA pour réduire l'exposition

Le guide de la CISA présente un parcours en quatre étapes pour aider les organisations du secteur de l'eau – et plus généralement toutes les infrastructures critiques – à réduire leur surface d'attaque.

1. Évaluer l'exposition actuelle. Identifier tous les actifs accessibles via Internet en utilisant les inventaires internes et les outils de scan externe comme le Cyber Hygiene Vulnerability Scanning de la CISA, Shodan, Censys, Thingful ou Shadowserver. Vérifier également les accès distants de tiers : intégrateurs, MSSP, fournisseurs et toute connexion via VPN ou modem cellulaire.

2. Évaluer la nécessité de l'exposition. Se demander si chaque actif doit réellement être joignable depuis Internet. Si ce n'est pas le cas, supprimer complètement l'accès ou le restreindre de manière significative.

3. Atténuer les risques sur les actifs qui doivent rester exposés. Changer tous les mots de passe par défaut, appliquer les mises à jour de sécurité, remplacer les logiciels et les appareils qui ne sont plus pris en charge, utiliser un serveur de rebond (jump host) pour un accès sécurisé et surveillé, contrôler le trafic entrant et sortant, mettre en œuvre l'authentification multifacteur (MFA) – ne serait-ce qu'au niveau du serveur de rebond – et suivre les recommandations pour l'accès distant sécurisé aux environnements OT.

4. Établir des évaluations périodiques. Les réseaux et les connexions de tiers évoluent en permanence : il est nécessaire de passer en revue régulièrement les actifs exposés.

En ce qui concerne l'accès distant sécurisé, la CISA recommande de faire passer tout le trafic par des passerelles sécurisées, des pare-feu, des VPN ou d'autres solutions centralisées, jamais directement vers les PLC, IHM ou RTU. Chaque accès doit exiger des noms d'utilisateur uniques, des mots de passe robustes et une MFA résistante au phishing. Les contrôles d'authentification doivent résister aux tentatives de force brute et aux attaques basées sur des identifiants volés.

Outils et contrôles pour découvrir ses actifs exposés

La CISA fournit également des indications opérationnelles aux défenseurs. Les organisations devraient analyser périodiquement leurs plages d'adresses IP publiques et investiguer chaque port ouvert inattendu. Un port ouvert n'implique pas automatiquement une vulnérabilité, mais chaque service OT ou d'accès distant exposé doit être justifié : s'il n'est pas nécessaire, il faut le supprimer ; s'il l'est, il faut appliquer les mesures d'atténuation.

Des outils comme Shodan, Censys, Thingful et Shadowserver permettent de découvrir les actifs exposés. Pour le protocole CIP (port 44818), la CISA suggère des requêtes telles que :

• Censys : host.services.port: 44818 and host.ip: "X.X.X.X/Y"
• Shodan : port: 44818 net:X.X.X.X/Y

La liste des ports minimaux à contrôler inclut les services d'accès distant classiques – SSH (22), Telnet (23), HTTP (80), HTTPS (443), RDP (3389), VNC (5900), TeamViewer (5938) – et les protocoles industriels les plus répandus : Modbus (502–507 et autres implémentations), EtherNet/IP (44818/TCP et 2222/UDP), DNP3 (19999/UDP et 20000/TCP/UDP), OPC UA (4840/TCP et 4843/TCP), BACnet (47808/TCP), ainsi que Niagara Fox (1911/TCP et 4911/TCP).

Les organisations du secteur de l'eau peuvent également recourir aux services gratuits de Cyber Hygiene de la CISA, aux conseillers régionaux en cybersécurité de la CISA et aux ressources spécifiques au secteur WWS gérées par la CISA et l'EPA. Pour les signalements, l'adresse [email protected] est disponible.

L'affaire s'inscrit dans un contexte plus large : le Congrès étudie un projet de loi visant à renforcer la cybersécurité de l'eau et la création d'un « Water Watch Center ». La sécurité OT, en particulier dans les secteurs les moins protégés, est devenue une priorité nationale.