Une attaque iranienne met hors service une centrale électrique britannique pendant quatre jours

Une installation énergétique britannique est restée à l’arrêt pendant quatre jours

Le 23 août 2026, il a été révélé que des acteurs cyber liés à l’Iran avaient interrompu le fonctionnement d’une petite centrale électrique au Royaume-Uni. L’installation n’a pas été identifiée publiquement pour des raisons de sécurité.

Le site est resté indisponible pendant quatre jours, tandis que le personnel s’employait à le remettre en service. L’incident n’a entraîné aucune interruption de l’approvisionnement électrique national et n’a pas mis sous pression le réseau britannique dans son ensemble.

L’affaire est toutefois considérée comme le premier épisode confirmé au cours duquel des groupes associés au régime iranien seraient parvenus à mettre à l’arrêt une installation énergétique au Royaume-Uni. Elle est également décrite comme l’attaque la plus efficace attribuée à ces acteurs contre l’infrastructure énergétique britannique.

L’incident a été signalé au National Cyber Security Centre (NCSC), l’organisme du GCHQ qui contribue à la protection des infrastructures critiques du pays. Le NCSC n’a pas commenté publiquement ce cas précis.

L’objectif pourrait avoir été de démontrer une capacité opérationnelle

L’attribution rapportée relie les attaquants à l’Iran et, plus précisément, à des hackers associés au Corps des gardiens de la révolution islamique, l’IRGC.

Rien n’indique que l’opération ait été conçue pour faire des victimes ou causer des dommages directs à la population. L’hypothèse principale est que l’attaque visait à démontrer la capacité de pénétrer dans une infrastructure britannique et d’en interrompre le fonctionnement.

La taille réduite de l’installation n’aurait donc pas supprimé sa valeur stratégique. Un générateur ne représentant qu’une part marginale du réseau national peut néanmoins constituer une preuve concrète d’accès, de contrôle et de persistance au sein d’un environnement opérationnel.

Le fait que la centrale soit restée à l’arrêt pendant quatre jours ajoute un élément important. Le problème n’aurait pas seulement consisté à obtenir un accès temporaire, mais à maintenir l’interruption suffisamment longtemps pour nécessiter une intervention prolongée du personnel.

Le vecteur initial, les systèmes compromis, les outils utilisés par les attaquants ou la méthode employée pour remettre l’installation en service n’ont pas été divulgués. Il est donc impossible de déterminer si l’opération a exploité une vulnérabilité, des identifiants volés, des accès distants exposés ou des techniques de manipulation de systèmes industriels.

L’opération est survenue parallèlement aux attaques contre des installations de traitement de l’eau aux États-Unis

L’action visant la centrale britannique se serait produite au même moment qu’une campagne contre des infrastructures hydrauliques aux États-Unis.

Des dizaines de stations d’épuration réparties dans 12 États ont subi des intrusions. Dans certains cas, les attaques ont provoqué des inondations et une baisse de la pression au robinet. Les autorités locales ont recommandé aux habitants de faire bouillir l’eau destinée à la consommation.

Les premiers signalements sont venus du Minnesota le 26 juillet. Des incidents similaires ont ensuite été rapportés au Michigan, en Géorgie, dans le Dakota du Sud et au New Jersey.

Dans un premier temps, le FBI a parlé de manière générale d’« acteurs cyber malveillants ». Par la suite, des sources gouvernementales américaines ont désigné Téhéran comme l’origine la plus probable de la menace.

La séquence suggère un intérêt pour des cibles opérationnelles et visibles : l’énergie et l’eau sont des services essentiels, mais toutes les installations touchées ne sont pas suffisamment importantes pour entraîner des conséquences nationales. Une infrastructure locale peut toutefois offrir aux attaquants un environnement réel pour tester leurs accès, leurs procédures et leurs capacités d’interruption.

Un risque limité pour le réseau, mais pas pour les installations individuelles

Le gouvernement britannique a souligné que le site touché se situait largement en dessous des seuils prévus pour la notification obligatoire des activités cyber. Sa capacité serait négligeable par rapport à l’ensemble du réseau électrique.

Cette évaluation relativise l’impact systémique de l’incident : aucune conséquence n’a été observée sur l’approvisionnement national et la résilience du réseau ne semble pas compromise. Elle n’élimine toutefois pas le risque pesant sur les petites installations, souvent moins visibles et susceptibles de disposer de ressources limitées en matière de sécurité et de reprise d’activité.

En mars, le NCSC avait déjà recommandé aux organisations britanniques de réévaluer leur posture de sécurité à la lumière de l’élargissement du conflit. En juin, le directeur exécutif de l’agence, Richard Horne, avait déclaré que plus de 200 attaques contre des infrastructures nationales critiques avaient été traitées au cours de l’année précédente.

La commission parlementaire chargée de superviser les services de renseignement avait jugé l’an dernier « improbable » une cyberattaque iranienne contre les infrastructures du Royaume-Uni. Une évaluation des risques du Cabinet Office publiée le mois dernier a en revanche estimé entre 5 % et 25 % la probabilité d’une cyberattaque grave et réussie contre des infrastructures nationales.

Le même document a mis en évidence un facteur de pression supplémentaire : l’intelligence artificielle peut rendre les opérations offensives plus rapides et moins coûteuses, en réduisant les compétences techniques nécessaires pour les mener. Le rapport n’établit toutefois aucun lien entre l’attaque contre la centrale britannique et l’utilisation d’outils d’IA spécifiques.

Une campagne plus large contre les pays occidentaux

Selon l’évaluation rapportée, l’Iran aurait intensifié ses opérations contre les pays occidentaux après le début des frappes aériennes américaines et israéliennes en février.

Des activités suspectes ont également été signalées en Allemagne, en Pologne, en Finlande, en Belgique et en Albanie. Israël et d’autres pays du Moyen-Orient restent néanmoins les cibles les plus fréquemment associées à cette activité.

Le cas britannique s’inscrit donc dans une pression répartie sur plusieurs secteurs et zones géographiques. L’objectif ne semble pas se limiter au vol de données : les incidents décrits visent également la disponibilité des services, c’est-à-dire la capacité à arrêter ou à dégrader des processus essentiels.

Pour les autorités, la difficulté consiste à distinguer un sabotage aux conséquences systémiques d’une interruption locale utilisée pour démontrer une capacité. La seconde peut avoir des effets immédiats plus limités, tout en fournissant aux attaquants des informations précieuses sur les procédures, les délais de réponse et les points faibles.

Que doivent faire les opérateurs et les organisations ?

Les entreprises énergétiques et les autres sociétés britanniques ont reçu des recommandations gouvernementales sur les modalités de réponse. Le NCSC a également recommandé de réévaluer la posture de sécurité, sans limiter l’attention aux seules installations classées comme infrastructures d’importance nationale.

Concrètement, les organisations devraient vérifier les accès distants aux systèmes opérationnels et industriels, contrôler les comptes à privilèges et séparer autant que possible les réseaux administratifs des réseaux de contrôle. Il est également essentiel de s’assurer que les plans de reprise sont applicables même lorsque l’installation doit fonctionner en mode dégradé ou manuel.

L’incident montre aussi l’importance d’une réponse rapide : il a été signalé au NCSC, tandis que le personnel s’employait à remettre le site en service. Aucun indicateur technique, adresse, malware ou procédure spécifique à rechercher dans les systèmes n’a été communiqué.

Pour les installations hydrauliques américaines concernées, les recommandations adressées aux populations comprenaient notamment de faire bouillir l’eau destinée à la consommation. Quant à l’éventuelle présence de l’incident dans le catalogue KEV de la CISA, aucune information n’est disponible dans le cas décrit.