L'Iran cible les automates industriels US via des attaques

Ce qui s'est passé

Un groupe de hackers affilié à l'Iran mène depuis mars 2026 une campagne ciblant les automates programmables industriels (PLC) Rockwell Automation et Allen-Bradley déployés dans les réseaux d'infrastructures critiques aux États-Unis. L'alerte provient d'un avis conjoint publié par le FBI, la CISA, la NSA, l'EPA, le département de l'Énergie et le Cyber National Mission Force (CNMF), une mobilisation interagences qui traduit la gravité de la situation. Les attaquants exploitent des équipements directement exposés sur Internet, des identifiants par défaut jamais modifiés et des protocoles industriels dépourvus d'authentification. Ces attaques PLC Iran infrastructure critique concernent en priorité les secteurs de l'eau, de l'énergie et de l'agroalimentaire, où la manipulation d'un automate peut interrompre un procédé de traitement ou endommager des équipements. Les autorités recommandent aux exploitants de segmenter leurs réseaux OT et d'auditer sans délai leurs accès distants.

Les attaquants utilisent des infrastructures louées auprès de fournisseurs tiers et des logiciels de configuration industrielle, notamment Rockwell Automation Studio 5000 Logix Designer, pour établir des connexions légitimes vers les PLC des victimes. Une fois connectés, ils manipulent les données affichées sur les interfaces homme-machine (HMI) et les systèmes SCADA, provoquant des perturbations opérationnelles et des pertes financières.

Les secteurs visés incluent les systèmes d'eau et d'assainissement (WWS), l'énergie et les services gouvernementaux. Selon l'avis, ces attaques s'inscrivent dans une escalade des cyberopérations iraniennes contre des organisations américaines, dans le contexte des tensions géopolitiques impliquant l'Iran, les États-Unis et Israël.

Pourquoi c'est important

Les attaques contre les systèmes de contrôle industriel (ICS) représentent l'une des menaces les plus critiques en cybersécurité, car elles peuvent avoir des conséquences physiques directes : perturbation de la distribution d'eau potable, instabilité des réseaux électriques, ou dysfonctionnement d'équipements industriels. Le fait que les attaquants exploitent des PLC directement exposés sur Internet révèle des lacunes fondamentales dans la segmentation réseau de nombreuses organisations.

Cette campagne démontre également la sophistication croissante des acteurs étatiques, capables d'utiliser des outils de configuration industrielle légitimes pour passer sous les radars des défenses traditionnelles. Pour les entreprises françaises et européennes opérant dans les mêmes secteurs, c'est un signal d'alarme : les mêmes types d'automates sont largement déployés en Europe.

Ce qu'il faut retenir (2)

• Ne jamais exposer de PLC ou de systèmes SCADA directement sur Internet — utiliser des VPN industriels et une segmentation réseau stricte.
• Auditer les accès aux logiciels de configuration industrielle (Studio 5000, etc.) et surveiller les connexions inhabituelles.
• Appliquer les recommandations du guide ANSSI sur la sécurité des systèmes industriels et mettre à jour les firmwares des automates.

Cette campagne n'est pas un cas isolé : elle s'inscrit dans une escalade documentée depuis novembre 2023, lorsque le groupe CyberAv3ngers, affilié au Corps des Gardiens de la révolution islamique (IRGC), avait déjà compromis des automates Unitronics Vision exploités par plusieurs services d'eau américains, dont l'incident emblématique de la Municipal Water Authority of Aliquippa en Pennsylvanie. Cette attaque avait forcé un basculement manuel des équipements de pompage, révélant déjà l'ampleur de l'exposition des PLC industriels sur Internet public. La campagne actuelle ciblant les gammes Rockwell Automation et Allen-Bradley confirme que ces acteurs diversifient désormais leurs cibles au-delà des équipements Unitronics, en s'attaquant à l'un des fabricants d'automates les plus déployés dans l'industrie nord-américaine.

Sur le plan quantitatif, les moteurs de recherche spécialisés comme Shodan et Censys recensent régulièrement plusieurs milliers d'interfaces PLC et HMI directement accessibles depuis Internet aux États-Unis, dont une part significative appartient à des opérateurs d'eau, d'assainissement et d'énergie de petite taille disposant de ressources cybersécurité limitées. La CISA rappelle dans son avis que ces organisations constituent des cibles privilégiées précisément parce qu'elles combinent une dépendance opérationnelle critique à ces automates et une faible maturité en matière de segmentation réseau et de gestion des accès distants. L'utilisation de logiciels métiers légitimes comme Studio 5000 Logix Designer pour établir la connexion initiale complique en outre la détection, ces connexions n'étant pas nécessairement signalées comme anormales par les outils de surveillance périmétrique classiques.

Comment savoir si mes automates industriels sont exposés sur Internet ?

Un premier diagnostic consiste à interroger des moteurs de recherche spécialisés dans les objets connectés, comme Shodan ou Censys, en recherchant le nom de son organisation, ses plages d'adresses IP publiques ou des bannières spécifiques aux protocoles industriels tels qu'EtherNet/IP (port 44818), Modbus TCP (port 502) ou le protocole propriétaire CIP utilisé par les équipements Rockwell. La présence d'un résultat indique une exposition directe qui doit être corrigée immédiatement.

Au-delà de cette vérification ponctuelle, un audit réseau structuré s'impose : cartographie exhaustive des équipements OT/ICS connectés, vérification de l'absence de règles de pare-feu autorisant un accès entrant direct depuis Internet vers le réseau industriel, et contrôle systématique des accès distants (VPN avec authentification multifacteur obligatoire, jamais d'accès RDP ou SSH exposé). La CISA recommande également de déployer une architecture de segmentation conforme au modèle Purdue, isolant strictement le réseau IT du réseau OT via des zones démilitarisées industrielles, et de mettre en place une journalisation centralisée capable de détecter les connexions inhabituelles aux logiciels de configuration comme Logix Designer, même lorsqu'elles utilisent des identifiants valides.