En bref

  • Des acteurs affiliés à l'IRGC iranien ont ciblé des PLC et superviseurs SCADA de stations d'eau dans 7 États américains entre le 26 juillet et le 10 août 2026
  • Techniques utilisées : effacement de configurations PLC, manipulation de capteurs mécaniques, falsification des affichages HMI et SCADA
  • Aucune contamination de l'eau ni interruption de service confirmée — les opérateurs ont basculé en mode manuel

Les faits

Dans la nuit du 26 au 27 juillet 2026, les autorités du Minnesota signalaient à la CISA des anomalies sur une trentaine de systèmes de gestion d'installations de traitement de l'eau. En moins de 72 heures, six autres États rejoignaient la liste des victimes : New Jersey, Alabama, Michigan, Iowa, Texas et Pennsylvanie. L'enquête conjointe du FBI, de la CISA, de la NSA et de l'EPA a rapidement convergé vers une piste iranienne — plus précisément des acteurs affiliés au Corps des Gardiens de la Révolution islamique (IRGC).

Le vecteur d'attaque documenté dans l'advisory conjoint CISA/FBI/NSA/EPA (référence AA26-097A, publié le 10 août 2026) est l'exploitation directe d'automates programmables industriels (PLC) exposés sur Internet sans authentification suffisante. Les équipements ciblés incluent des PLC de différents constructeurs déployés dans les systèmes de contrôle des pompes, des capteurs de pression et des unités de traitement chimique des installations hydrauliques municipales. Les attaquants ont interagi directement avec les fichiers de projet des PLC, modifiant des paramètres opérationnels et manipulant les données affichées sur les interfaces homme-machine (HMI) et les superviseurs SCADA.

Les techniques d'attaque comprennent trois vecteurs principaux. Premièrement, l'effacement de configurations (configuration wiping) sur les PLC accessibles, forçant un retour aux paramètres d'usine et interrompant temporairement les automatismes de contrôle des pompes et des vannes. Deuxièmement, la manipulation logicielle de capteurs mécaniques via les interfaces de programmation des PLC, altérant les valeurs remontées aux superviseurs SCADA et induisant potentiellement des réponses automatiques inadaptées. Troisièmement, la falsification des données affichées sur les HMI, créant une désinformation opérationnelle pour les techniciens en salle de contrôle.

La riposte des opérateurs a consisté à basculer en mode manuel les installations affectées, ce qui a permis d'éviter toute interruption de l'approvisionnement en eau ou contamination. Ce résultat tient à l'existence et à la maîtrise de procédures de fonctionnement dégradé par les équipes. La Washington Post, citant des experts en sécurité OT, a qualifié les systèmes de distribution d'eau américains de low-hanging fruit, pointant le nombre considérable d'installations équipées de PLC anciens directement connectés à Internet sans pare-feu ni VPN.

L'EPA, le FBI, la CISA et la NSA avaient pourtant publié un advisory conjoint dès avril 2026 (AA26-097A) avertissant spécifiquement des menaces cyber iraniennes visant les infrastructures hydrauliques et d'assainissement américaines. Malgré cette alerte préventive émise quatre mois avant les attaques, de nombreuses collectivités de petite et moyenne taille n'avaient pas encore sécurisé leurs systèmes. L'écart entre les alertes des agences et leur mise en oeuvre effective reste l'une des failles structurelles les plus préoccupantes de la cybersécurité des infrastructures critiques.

La plateforme Rescana, spécialisée dans la sécurité des infrastructures critiques, a documenté que les acteurs iraniens ciblaient spécifiquement les systèmes exposant des interfaces de gestion OT sur des ports standards : Modbus (502/TCP), EtherNet/IP (44818/TCP), BACnet (47808/UDP). Ces ports, conçus à l'origine pour des réseaux industriels totalement isolés, se retrouvent exposés publiquement à la suite de configurations réseau incorrectes, de raccordements internet non maîtrisés ou de l'activation de fonctionnalités de télémaintenance sans contrôle d'accès approprié.

CyberScoop qualifie l'opération d'août 2026 de la plus étendue géographiquement parmi les attaques iraniennes sur des infrastructures civiles américaines depuis les incidents de 2021 et 2023. L'élargissement simultané à 7 États témoigne d'une montée en capacité opérationnelle des acteurs affiliés à l'IRGC. La coordination géographique de la campagne suggère une planification préalable, un recensement des cibles exposées via des moteurs de recherche spécialisés dans les systèmes industriels connectés (Shodan, FOFA, Censys), et une exécution parallèle sur plusieurs fronts simultanément.

Le contexte géopolitique éclaire la motivation de ces attaques. Les opérations cyber de l'IRGC s'inscrivent dans une doctrine de zone grise visant à maintenir une pression constante sans franchir le seuil du conflit armé conventionnel. Les infrastructures civiles critiques — eau, énergie, transports — constituent des cibles privilégiées car leur atteinte génère une pression politique maximale avec un risque d'escalade calculé. Cyber Magazine note que ces attaques illustrent la maturité opérationnelle croissante des capacités cyber iraniennes dans le domaine des systèmes de contrôle industriel.

CBS News, citant des sources gouvernementales américaines, indique qu'une enquête formelle est en cours pour confirmer définitivement l'attribution iranienne et évaluer l'étendue réelle de la compromission des systèmes de contrôle dans les 7 États touchés. La difficulté de l'attribution dans les attaques OT tient au fait que les acteurs étatiques utilisent fréquemment des infrastructures tierces et des outils open source pour brouiller les pistes.

Impact et exposition

Les collectivités territoriales françaises et européennes opérant des installations de traitement de l'eau, de l'énergie ou des transports avec des systèmes SCADA/PLC potentiellement exposés doivent considérer ce contexte comme un signal d'alerte direct. La directive NIS2, transposée en France, impose des obligations renforcées aux opérateurs de services essentiels dans le secteur de l'eau et de l'assainissement. Les attaques iraniennes sur les États-Unis confirment que la menace OT est réelle, persistante et en montée en gamme. Les mêmes vecteurs — PLC exposés, HMI sans authentification — existent dans de nombreuses collectivités européennes de taille intermédiaire.

Recommandations

  • Auditer immédiatement l'exposition internet des équipements OT (PLC, HMI, SCADA) — aucun automate ne doit être joignable directement depuis Internet
  • Déployer une DMZ industrielle séparant les réseaux IT et OT avec des règles de pare-feu explicitement restrictives et un contrôle strict des flux
  • Activer l'authentification sur tous les PLC et interfaces HMI qui le permettent, mettre à jour les firmwares et changer tous les mots de passe par défaut
  • Documenter, former et tester régulièrement les procédures de fonctionnement en mode dégradé (manuel) pour toutes les installations critiques
  • Déclarer son statut d'OSE ou d'entité importante NIS2 à l'ANSSI si applicable et mettre en oeuvre les mesures requises sans délai

Alerte critique

Des acteurs étatiques iraniens ont démontré leur capacité à cibler simultanément des dizaines d'installations hydrauliques dans 7 États américains. Les mêmes techniques — PLC exposés sur Internet, HMI sans authentification forte — existent dans de nombreuses collectivités européennes. L'audit de votre exposition OT ne peut plus attendre.

Comment savoir si mes PLC sont accessibles depuis Internet ?

Plusieurs méthodes complémentaires permettent de le vérifier : une recherche sur Shodan ou Censys avec vos plages d'adresses IP publiques peut révéler des ports industriels exposés (502, 44818, 47808, 20000). Un scan externe de votre périmètre avec Nmap ciblant ces ports industriels standards est recommandé. En cas de doute, un prestataire spécialisé en sécurité OT peut réaliser un audit d'exposition externe en quelques heures, sans intrusion sur votre système.

Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits de sécurité ciblés pour identifier et corriger vos vulnérabilités avant qu'elles ne soient exploitées.

Demander un audit