Itron compromis : Snow malware sur 110M de compteurs IoT

Ce qui s'est passé

Itron, équipementier américain implanté à Liberty Lake (Washington) et fournisseur stratégique de compteurs communicants pour l'eau, le gaz et l'électricité, a détecté le 13 avril 2026 un accès non autorisé à plusieurs de ses systèmes internes. Le groupe a officialisé l'incident le 27 avril 2026 dans un dépôt SEC 8-K, confirmant une intrusion sur son réseau d'entreprise et le déclenchement immédiat de son plan de réponse à incident. Les investigations pointent vers Itron Snow malware, une souche modulaire conçue pour persister discrètement dans les environnements industriels et pivoter vers les infrastructures de comptage. L'enjeu dépasse largement le périmètre bureautique : le constructeur revendique plus de 110 millions de compteurs et objets connectés déployés chez des opérateurs d'énergie et d'eau à travers le monde. Une compromission de cette chaîne d'approvisionnement exposerait des services essentiels à des interruptions massives.

Selon les éléments rendus publics, l'acteur malveillant a infecté les machines compromises avec trois souches distinctes baptisées Snowbelt, Snowglaze et Snowbasin, regroupées sous le nom Snow par les analystes. Cette boîte à outils est conçue pour la persistance et le mouvement latéral, ce qui suggère une opération préparée et probablement étatique. L'industriel précise que les portions hébergées chez les clients et les environnements opérationnels (OT) n'ont pas été touchées, et que l'activité n'a pas affecté la production ni le service.

Pourquoi c'est important

Itron équipe plus de 110 millions de points de mesure dans le monde, et ses solutions sont au cœur de la facturation et du pilotage de réseaux critiques. Une compromission de l'infrastructure interne d'un tel acteur ouvre un vecteur d'attaque indirecte sur les distributeurs d'énergie et d'eau, par le biais de mises à jour logicielles, de comptes de support ou d'identifiants partagés. Le scénario rappelle les opérations sur la chaîne d'approvisionnement déjà documentées contre les automates Rockwell visés par CyberAv3ngers.

L'intérêt stratégique d'un compromis chez Itron s'inscrit dans une tendance de fond : la sécurité des compteurs communicants et des passerelles AMI devient un sujet de souveraineté. Pour les opérateurs européens, l'incident impose de revoir la séparation IT/OT, d'auditer les chaînes de signature firmware et de contrôler l'usage des comptes de maintenance distants. La famille Snow, peu documentée jusqu'ici, vient enrichir un paysage déjà saturé, après les opérations FIRESTARTER sur Cisco ASA et la fuite de code source Checkmarx.

Ce qu'il faut retenir

Ce type d'intrusion s'inscrit dans une lignée d'opérations désormais bien documentée contre les fournisseurs d'infrastructures critiques. En 2023, la campagne Volt Typhoon, attribuée par les autorités américaines à un acteur étatique chinois, avait déjà démontré la volonté d'implanter des accès persistants et discrets — parfois pendant plusieurs années — au sein de réseaux électriques, hydrauliques et de télécommunications, sans chercher à provoquer d'impact immédiat. L'objectif poursuivi n'était pas le sabotage à court terme mais la constitution de points d'ancrage réactivables en cas de tension géopolitique. La méthodologie décrite pour la famille Snow — implants multiples, persistance longue durée, absence de revendication — suit le même schéma opératoire, ce qui explique pourquoi Itron a jugé nécessaire d'notifier des agences fédérales dès la détection, alors même qu'aucun impact opérationnel n'a été constaté à ce stade.

L'épisode ravive également le souvenir de la compromission de SolarWinds en 2020, où l'infrastructure d'un éditeur logiciel largement diffusé avait servi de tremplin vers des milliers de clients via des mises à jour piégées. Pour le secteur de l'énergie et de l'eau, le parallèle est direct : Itron ne se contente pas de vendre du matériel, l'entreprise opère également des plateformes de gestion à distance (têtes de réseau AMI, portails de télérelève) qui centralisent des données de consommation sensibles pour des centaines de distributeurs à travers le monde. Une persistance non détectée sur les systèmes de développement ou de build pourrait, dans le pire des scénarios, ouvrir la voie à une compromission de la chaîne logicielle bien après la fin de l'incident initial — d'où l'insistance d'Itron sur l'absence, à ce jour, de preuve d'altération du code livré aux clients.

Sur le plan réglementaire, l'incident tombe à un moment où les opérateurs européens d'eau, de gaz et d'électricité affinent leur cartographie des fournisseurs critiques dans le cadre de la directive NIS 2, qui impose désormais une évaluation formelle du risque tiers pour tout éditeur ou intégrateur ayant accès à des systèmes de télérelève ou de pilotage. Les distributeurs utilisant des compteurs ou passerelles Itron devront documenter cette exposition dans leur analyse de risque fournisseur, indépendamment de la confirmation ou non d'un impact direct sur leurs propres installations. Aux États-Unis, la CISA a par le passé recommandé aux opérateurs du secteur de l'eau — l'un des plus exposés selon ses propres statistiques, avec plusieurs centaines d'incidents recensés depuis 2021 — de segmenter strictement les accès de télégestion et de surveiller les communications sortantes inhabituelles depuis les passerelles de collecte, une recommandation qui prend un relief particulier à la lumière de cette nouvelle intrusion.