FBI : des hackers ciblent l'eau potable dans 7 États

Sept États américains touchés par une vague de cyberattaques contre l'eau potable

Depuis le 27 juillet 2026, le FBI enregistre une vague de signalements d'incidents de cybersécurité visant des opérateurs du secteur Eau et Assainissement dans au moins sept États américains. L'alerte conjointe publiée ce 31 juillet par le FBI, la CISA et l'EPA (Environmental Protection Agency) décrit ces attaques comme une menace sérieuse pesant sur l'infrastructure critique nationale. Plusieurs incidents ont engendré des perturbations opérationnelles effectives, contraignant les équipes techniques à basculer sur des modes de contrôle manuels pour maintenir la distribution d'eau potable aux populations concernées. Il s'agit, selon plusieurs analystes cités par NBC News, de l'une des campagnes de cyberattaques les plus graves jamais documentées contre les systèmes d'eau américains.

L'ampleur de la campagne dépasse largement l'incident survenu en Minnesota fin juillet, lors duquel plus de 30 réseaux d'eau municipaux avaient déjà signalé des anomalies sur leurs systèmes de contrôle industriels. Dans les nouvelles données publiées par le FBI, les États touchés s'étendent sur plusieurs régions du pays. En Alabama, Central Alabama Water a confirmé coordonner ses mesures de réponse avec les agences fédérales. Des incidents similaires ont été rapportés dans d'autres États dont les autorités n'ont pas encore officiellement communiqué. La CISA et l'EPA ont mobilisé des équipes de réponse aux incidents qui ont été dépêchées dans les installations les plus critiques pour assister les équipes locales dans la sécurisation de leurs systèmes.

Les acteurs malveillants exploitent spécifiquement des automates Rockwell Automation Allen-Bradley des séries MicroLogix 1100 et 1400. Ces équipements, présents dans des milliers d'installations de traitement d'eau à travers les États-Unis, pilotent des processus critiques : dosage du chlore et des agents de désinfection, régulation de la pression dans les canalisations, gestion des pompes de relevage et de distribution. Lorsqu'ils sont accessibles directement depuis Internet — ce qui constitue une faute grave de sécurité OT bien documentée depuis des années — ces automates offrent une surface d'attaque directe sur l'infrastructure physique, sans nécessité de traverser un réseau IT intermédiaire sécurisé.

L'enquête en cours pointe vers une piste iranienne. Des sources proches du dossier citées par Fox News indiquent que les enquêteurs estiment probable l'implication d'acteurs liés à l'Iran dans les attaques initiales contre le Minnesota, présentant les caractéristiques du groupe CyberAv3ngers, affilié aux Gardiens de la Révolution islamique (IRGC). Ce groupe avait déjà ciblé des stations de traitement d'eau américaines en 2023 et 2024, notamment via des automates Unitronics Vision Series. En 2026, la méthodologie a évolué vers les équipements Rockwell Automation, mais le schéma opérationnel reste similaire : accès direct aux interfaces de gestion exposées sur Internet, modification non autorisée des paramètres opérationnels, parfois accompagnée de messages politiques affichés sur les écrans de contrôle.

Les attaquants ont dans plusieurs cas obtenu un accès aux automates via leurs interfaces web ou le protocole EtherNet/IP, exploitant soit des identifiants par défaut non modifiés, soit des vulnérabilités connues dans des firmwares non mis à jour. Dans l'incident du Minnesota, les communes de Braham et Plymouth ont subi des interruptions temporaires de leurs systèmes automatisés, obligeant le personnel à intervenir manuellement. Aucune contamination de l'eau distribuée n'a été confirmée à ce stade et les autorités ont maintenu un message rassurant : la qualité de l'eau du robinet n'est pas compromise et il n'est pas nécessaire de modifier les habitudes de consommation.

Le contexte réglementaire américain révèle des lacunes préoccupantes dans la protection de ce secteur. Un audit conduit par l'EPA en 2024 avait établi que plus de 70 % des systèmes d'eau inspectés ne satisfaisaient pas aux normes de cybersécurité requises par la Safe Drinking Water Act. Malgré plusieurs tentatives de régulation, dont une règle EPA de 2023 rendue obligatoire puis retirée sous pression judiciaire, le secteur de l'eau demeure structurellement sous-protégé par rapport à d'autres infrastructures critiques comme l'énergie ou les télécommunications, qui bénéficient d'une supervision fédérale plus stricte.

La multiplication des incidents OT ciblant les infrastructures d'eau s'inscrit dans une tendance documentée par la CISA dans son rapport 2026 sur les cybermenaces pesant sur les infrastructures critiques. Des groupes parrainés par des États — iraniens, chinois (Volt Typhoon) et nord-coréens (CyberAv3ngers) — intensifient leurs opérations de pré-positionnement dans les infrastructures critiques occidentales depuis 2024. L'objectif stratégique est d'acquérir la capacité de déclencher des perturbations majeures en cas d'escalade diplomatique ou de conflit. Le secteur de l'eau, jugé moins surveillé que l'énergie, est devenu une cible prioritaire pour ces acteurs.

Pour les opérateurs concernés, la CISA a publié des recommandations d'urgence : déconnecter immédiatement tout automate industriel accessible depuis Internet, activer l'authentification multifacteur sur toutes les interfaces de gestion à distance, segmenter rigoureusement les réseaux IT et OT par des pare-feux industriels dédiés, et déployer une surveillance renforcée des accès aux systèmes de contrôle. Des indicateurs de compromission (IoC) spécifiques aux MicroLogix 1100 et 1400 ont été partagés via le portail CISA et le programme AIS (Automated Indicator Sharing) pour permettre aux équipes de sécurité de détecter d'éventuelles intrusions passées ou en cours dans leurs systèmes.

Le secteur de l'eau, maillon faible structurel des infrastructures critiques

Contrairement aux opérateurs d'énergie ou de télécommunications, les gestionnaires de réseaux d'eau sont souvent de petites structures municipales disposant de budgets informatiques limités et d'équipes techniques peu spécialisées en cybersécurité industrielle. Un rapport du GAO (Government Accountability Office) de 2025 estimait que moins de 15 % des utilities d'eau américaines disposaient d'un responsable cybersécurité dédié. Cette réalité crée un fossé structurel entre le niveau d'exposition aux cybermenaces — croissant avec la numérisation progressive des équipements OT — et les capacités de défense réellement disponibles sur le terrain.

La problématique des automates OT exposés sur Internet dépasse le seul secteur de l'eau. Une étude de Censys publiée début 2026 dénombrait encore plus de 5 000 automates programmables industriels directement accessibles sur l'Internet public aux États-Unis, dont une proportion significative dans les secteurs de l'eau et du traitement des déchets. Beaucoup fonctionnent avec des configurations d'usine non modifiées, des mots de passe par défaut inchangés, ou des versions de firmware obsolètes pour lesquelles le fabricant ne publie plus de correctifs de sécurité. Cette dette technique, accumulée sur plusieurs décennies de déploiements sans prise en compte de la menace cyber, représente un risque systémique difficile à résorber sans investissements massifs et coordonnés.

L'incident d'Oldsmar (Floride) en 2021, où un attaquant avait tenté de multiplier par 111 la concentration de soude caustique dans l'eau distribuée avant d'être détecté par un opérateur vigilant, avait temporairement mobilisé l'attention politique sur la sécurité des réseaux d'eau. Cinq ans plus tard, les mêmes types de vulnérabilités restent exploitables dans des centaines d'installations comparables à travers le pays. Pour les entreprises et collectivités françaises, cet épisode illustre des risques qui pèsent également sur les systèmes d'eau européens. La directive NIS2, transposée en droit français par la loi du 8 juillet 2024, classe les opérateurs d'eau parmi les entités essentielles soumises aux obligations de sécurité renforcées sous la supervision de l'ANSSI.

L'ANSSI a identifié les équipements OT exposés comme l'un des vecteurs d'attaque prioritaires en 2026. Des exercices de simulation de crise ont été conduits dans le cadre du plan Vigipirate Cyber, et des audits de sécurité des systèmes SCADA dans le secteur de l'eau ont été intensifiés depuis la transposition de NIS2. Les opérateurs français d'importance vitale (OIV) du secteur sont tenus de déclarer tout incident significatif à l'ANSSI sous 72 heures, une obligation analogue à celle imposée aux utilities américaines par la CISA depuis 2022. La coordination transatlantique sur le partage d'informations concernant ces menaces est assurée via le réseau CyCLONe (Cyber Crisis Liaison Organisation Network) au niveau européen.

Ce qu'il faut retenir

• Le FBI a émis une alerte officielle le 31 juillet 2026 : des cyberattaques coordonnées visent les systèmes d'eau dans au moins 7 États américains, avec des perturbations opérationnelles confirmées depuis le 27 juillet.
• Les automates Rockwell Automation MicroLogix 1100/1400 exposés sur Internet sont la cible principale ; la piste iranienne (groupe CyberAv3ngers/IRGC) est sérieusement explorée par les enquêteurs fédéraux.
• Action immédiate recommandée : isoler tout équipement OT d'Internet, activer le MFA sur les accès distants, consulter les IoC publiés par la CISA, et pour les opérateurs européens, vérifier la conformité NIS2 selon les recommandations ANSSI.