Iran cible les réseaux d'eau : 12 États américains touchés

Ce qui s'est passé

Depuis le 27 juillet 2026, des entreprises du secteur Water and Wastewater (eau et assainissement) dans au moins sept États américains ont signalé des incidents au Federal Bureau of Investigation (FBI). Au fil des semaines, le nombre de juridictions affectées a grimpé jusqu'à douze selon les données compilées par le FBI et la Cybersecurity and Infrastructure Security Agency (CISA). Les États confirmés comme touchés incluent notamment le Minnesota, le Michigan, la Géorgie, le Dakota du Sud, le New Jersey et le Colorado.

Le Colorado a été l'un des théâtres les plus documentés de cette campagne. Les autorités de l'État ont confirmé que deux systèmes d'eau municipaux ont vu leurs systèmes informatiques compromis. Dans les deux cas, les attaquants ont réussi à modifier les cycles de pompage, à désactiver des systèmes d'alarme et à altérer des réglages d'équipements avant que les opérateurs reprennent le contrôle. Selon les responsables de l'État, les interventions ont été détectées dans des délais suffisamment courts pour éviter une contamination de l'eau potable ou un dommage matériel irréparable, mais les incidents ont tout de même nécessité plusieurs heures de travail intensif pour restaurer les paramètres nominaux.

Le vecteur d'attaque privilégié par les attaquants est l'exploitation d'automates programmables industriels (PLC — Programmable Logic Controllers) accessibles directement depuis internet. Ces dispositifs, utilisés pour surveiller et contrôler les processus industriels comme le traitement de l'eau, le dosage des produits chimiques ou la gestion des pompes, sont souvent connectés au réseau public pour permettre la supervision à distance — en particulier dans les petits opérateurs ruraux qui ne disposent pas de personnel technique sur site en permanence. Cette exposition, combinée à des vulnérabilités non corrigées et des interfaces de configuration accessibles sans authentification robuste, constitue la surface d'attaque exploitée.

Le FBI a publié une alerte officielle documentant les tactiques, techniques et procédures (TTP) observées. Les groupes d'attaquants identifiés ont des liens présumés avec l'Iran, bien que l'attribution précise n'ait pas été officiellement communiquée. Les modes opératoires observés — ciblage d'infrastructures critiques, manipulation de systèmes de contrôle industriels, absence d'extorsion financière directe — sont cohérents avec les opérations documentées de groupes comme CyberAv3ngers ou d'autres acteurs associés au Corps des Gardiens de la Révolution Islamique (IRGC) iranien dans des incidents antérieurs contre des installations d'eau américaines et israéliennes.

Plusieurs opérateurs ayant subi des perturbations significatives ont été contraints de passer à des opérations manuelles : les opérateurs humains prennent en charge directement les réglages de pompes et de vannes, normalement automatisés par les systèmes SCADA. Cette régression opérationnelle augmente le risque d'erreur humaine, réduit la réactivité du système et consomme des ressources humaines importantes. Dans au moins deux juridictions, des avis officiels de faire bouillir l'eau (boil-water notices) ont été émis à titre préventif en raison de chutes de pression dans les réseaux de distribution — la pression basse étant un facteur de risque de contamination bactériologique.

La campagne s'inscrit dans un contexte géopolitique tendu de longue date. Les États-Unis et l'Iran sont engagés dans une confrontation cyber de basse intensité qui s'est intensifiée depuis 2021. Le secteur de l'eau est devenu une cible privilégiée depuis l'incident d'Oldsmar, Floride, en 2021, où un attaquant avait tenté de modifier le taux de soude caustique dans une station de traitement. En août 2026, le nombre d'États touchés par la présente campagne était déjà de 12 selon des sources gouvernementales citées par Axios. Le FBI a donc publié son alerte dans la continuité d'une situation déjà documentée et en expansion.

Du côté des réponses institutionnelles, la CISA a actualisé ses recommandations pour le secteur Water and Wastewater, en insistant sur quatre points : l'inventaire et la segmentation réseau des PLC exposés, la désactivation des accès distants non essentiels, l'activation de l'authentification multi-facteurs sur toutes les interfaces de supervision, et le déploiement de systèmes de détection d'anomalies comportementales sur les réseaux OT. L'Environmental Protection Agency (EPA) a également rappelé que les exigences de cybersécurité du Safe Drinking Water Act s'appliquent à tous les opérateurs desservant plus de 3 300 personnes, avec obligation de réaliser des évaluations des risques cyber.

Dans les scénarios d'escalade, ces mêmes accès pourraient être utilisés pour causer des dommages matériels irréversibles ou provoquer une contamination délibérée à grande échelle. La simple capacité des attaquants à accéder aux systèmes de contrôle d'installations critiques pendant suffisamment longtemps pour modifier des paramètres opérationnels représente en soi une démonstration de capacité préoccupante, indépendamment de l'impact immédiat observé dans cette vague d'incidents.

Pourquoi c'est important

Le secteur de l'eau est l'un des secteurs d'infrastructure critique les moins bien protégés sur le plan de la cybersécurité, et ce constat est valable aux États-Unis comme en Europe. Contrairement aux secteurs de l'énergie ou des télécommunications, les opérateurs d'eau sont souvent de petites entités publiques ou parapubliques avec des budgets IT limités, des équipes techniques réduites et des systèmes SCADA vieillissants initialement conçus pour être isolés mais progressivement connectés à internet pour des raisons de coût et de praticité. Cette combinaison — exposition technique, faibles ressources, criticité maximale — en fait une cible de choix pour des acteurs étatiques cherchant à démontrer une capacité de nuisance sans franchir le seuil de l'acte de guerre déclaré.

L'Iran a développé au fil des années des capacités cyber offensives significatives, en partie en réponse aux cyberattaques qu'il a lui-même subies (Stuxnet en 2010, puis des attaques répétées contre son secteur pétrolier). Les groupes associés à l'IRGC ont diversifié leurs cibles depuis 2021 : réseaux d'eau en Israël et aux États-Unis, systèmes de contrôle industriels dans des pays alliés des États-Unis, campagnes d'espionnage contre des opposants et des journalistes. La présente campagne contre les Water and Wastewater Systems s'inscrit dans cette stratégie de ciblage des infrastructures civiles essentielles comme levier de pression géopolitique.

Pour les équipes de sécurité des infrastructures critiques en Europe, cet épisode sert de signal d'alarme. La directive NIS2, transposée dans les droits nationaux des États membres, inclut désormais explicitement les opérateurs d'eau et d'assainissement dans son périmètre pour les entités « importantes » ou « essentielles ». Les exigences de NIS2 en matière de gestion des risques cyber, de notification des incidents, de sécurité de la chaîne d'approvisionnement et de continuité d'activité s'appliquent pleinement à ces opérateurs. La question n'est pas de savoir si des acteurs étrangers tenteront d'exploiter les mêmes vecteurs en Europe, mais quand.

Sur le plan technique, la vulnérabilité aux attaques via des PLC exposés est un problème connu depuis plusieurs années. Les PLCs de marques comme Unitronics, Siemens, Schneider Electric ou Rockwell Automation disposent souvent d'interfaces web de configuration accessibles sur des ports standard, parfois sans authentification ou avec des credentials par défaut non modifiés. Des outils d'indexation comme Shodan et Censys référencient régulièrement des milliers de tels dispositifs accessibles publiquement. La correction n'est pas techniquement complexe — désactiver l'accès internet direct, implémenter une authentification forte, segmenter les réseaux IT et OT — mais elle nécessite des investissements et une planification que beaucoup de petits opérateurs n'ont pas encore réalisés.

Ce qu'il faut retenir

• Des acteurs liés à l'Iran ciblent activement des PLCs exposés dans des installations d'eau américaines depuis juillet 2026, affectant 12 États avec des perturbations opérationnelles réelles.
• Le vecteur principal est l'accès direct à des automates programmables non protégés et accessibles depuis internet — une vulnérabilité connue et corrigeable sans technologie avancée.
• Pour les opérateurs d'eau en Europe soumis à NIS2 : inventorier et isoler les PLC exposés, activer l'authentification MFA sur les interfaces SCADA, et tester les procédures de retour aux opérations manuelles avant d'en avoir besoin.