Les cyberattaques réseaux d’eau États-Unis connaissent une intensification préoccupante. Fin juillet 2026, les autorités américaines ont confirmé qu’une campagne coordonnée visait plusieurs installations de distribution et de traitement de l’eau dans au moins sept États. Bien qu’aucune contamination de l’eau potable n’ait été signalée, ces attaques ont perturbé le fonctionnement de plusieurs infrastructures critiques et ravivé les inquiétudes autour de la sécurité des systèmes industriels (ICS/SCADA).
Face à cette situation, la Cybersecurity and Infrastructure Security Agency (CISA), le Federal Bureau of Investigation (FBI) et l’Environmental Protection Agency (EPA) ont publié plusieurs alertes demandant aux exploitants de renforcer immédiatement leurs mesures de protection. Les recommandations officielles sont disponibles sur le portail dédié à la cybersécurité du secteur de l’eau de l’EPA : https://www.epa.gov/cyberwater/epa-cybersecurity-water-sector.
Plus de 30 réseaux d’eau touchés dans le Minnesota
La campagne la plus importante a été observée dans le Minnesota, où plus de 30 réseaux communautaires d’eau ont été ciblés entre le 26 et le 27 juillet 2026. Plusieurs municipalités, dont Braham, Plymouth et South St. Paul, ont signalé des perturbations temporaires de leurs installations.
Dans certains cas, les opérateurs ont dû basculer en mode manuel afin de maintenir la distribution d’eau pendant que les équipes techniques reprenaient le contrôle des systèmes. Les autorités locales ont immédiatement activé leurs procédures de réponse aux incidents avec l’appui du FBI et des agences fédérales.
Les attaques visaient les systèmes industriels, pas la qualité de l’eau
Contrairement à certaines rumeurs relayées sur les réseaux sociaux, les attaquants n’ont pas tenté d’empoisonner l’eau.
Les cybercriminels ont principalement ciblé les systèmes de contrôle industriels (ICS), notamment les automates programmables (PLC), les interfaces homme-machine (HMI) et les serveurs supervisant les installations.
Les conséquences observées comprennent notamment :
- modification de mots de passe administrateurs ;
- changement de paramètres réseau ;
- altération de configurations des automates industriels ;
- perte temporaire de pression dans certains réseaux ;
- interruptions de service ;
- inondations localisées dans certaines installations.
Selon les autorités américaines, les exploitants ont pu maintenir la qualité sanitaire de l’eau grâce aux procédures d’exploitation manuelles prévues pour ce type d’incident.
Une attribution encore prudente
À ce jour, aucune attribution officielle définitive n’a été annoncée.
Toutefois, les enquêteurs estiment que les techniques employées ressemblent fortement à celles déjà utilisées lors de précédentes campagnes attribuées à des groupes affiliés à l’Iran. Plusieurs médias américains rapportent que cette piste est actuellement privilégiée, sans qu’elle ne soit officiellement confirmée.
Par ailleurs, une alerte conjointe publiée par le FBI, la CISA, la NSA, l’EPA et le Department of Energy mettait déjà en garde quelques mois auparavant contre des acteurs iraniens exploitant des automates industriels connectés à Internet. Cette alerte est consultable sur le portail officiel du FBI consacré aux avis cybersécurité : https://www.fbi.gov/investigate/cyber/alerts/2026.
Pourquoi les réseaux d’eau sont-ils devenus des cibles privilégiées ?
Les infrastructures de distribution d’eau figurent désormais parmi les secteurs critiques les plus exposés aux cyberattaques.
Plusieurs facteurs expliquent cette vulnérabilité :
- des équipements industriels parfois âgés de plusieurs décennies ;
- des automates initialement conçus sans mécanismes de cybersécurité ;
- des interfaces d’administration encore accessibles depuis Internet ;
- un manque d’experts cyber dans de nombreuses collectivités ;
- une convergence croissante entre les réseaux informatiques (IT) et les réseaux industriels (OT).
L’EPA indique que plus de 70 % des systèmes inspectés présentaient encore des lacunes importantes en matière de cybersécurité, notamment l’utilisation de mots de passe par défaut, une mauvaise gestion des accès et des plans de réponse insuffisants. Les résultats de ces inspections sont détaillés dans l’Enforcement Alert publié par l’agence : https://www.epa.gov/enforcement/enforcement-alert-drinking-water-systems-address-cybersecurity-vulnerabilities.
Les automates industriels au cœur des attaques
Les investigations montrent que plusieurs attaques visaient directement des automates programmables industriels (PLC) exposés sur Internet.
Les agences fédérales citent notamment des équipements provenant de fabricants largement utilisés dans les infrastructures critiques :
- Rockwell Automation (Allen-Bradley) ;
- Schneider Electric ;
- Siemens.
Ces automates contrôlent notamment :
- les pompes ;
- les réservoirs ;
- les stations de traitement ;
- les vannes ;
- les systèmes de chloration.
Lorsqu’un attaquant prend le contrôle d’un PLC, il peut modifier les paramètres de fonctionnement, désactiver certaines sécurités ou perturber les processus industriels sans nécessairement compromettre immédiatement la qualité de l’eau.
Comment une attaque contre un système SCADA peut-elle se dérouler ?
Les spécialistes de la cybersécurité industrielle décrivent généralement une chaîne d’attaque en plusieurs étapes :
- Reconnaissance des équipements industriels accessibles depuis Internet à l’aide de moteurs spécialisés ou d’outils de scan.
- Compromission d’un accès distant via des mots de passe faibles, des VPN mal configurés ou des vulnérabilités non corrigées.
- Déplacement latéral entre le réseau informatique (IT) et le réseau industriel (OT).
- Prise de contrôle des automates PLC ou des interfaces HMI.
- Modification des paramètres industriels, pouvant provoquer une perte de pression, un arrêt des pompes ou des perturbations du traitement de l’eau.
Des travaux académiques consacrés aux attaques contre les réseaux d’eau montrent que ces scénarios sont aujourd’hui bien documentés et servent de base à l’amélioration des mécanismes de détection et de défense.
Les recommandations des agences américaines
Pour réduire les risques, la CISA, le FBI et l’EPA recommandent aux exploitants de :
- supprimer l’exposition directe des systèmes OT à Internet ;
- utiliser des VPN sécurisés et des listes blanches d’adresses IP ;
- activer l’authentification multifacteur ;
- remplacer immédiatement les mots de passe par défaut ;
- segmenter les réseaux IT et OT ;
- maintenir des sauvegardes hors ligne ;
- tester régulièrement les plans de réponse aux incidents ;
- renforcer la surveillance des journaux d’événements.
L’EPA met également gratuitement à disposition des opérateurs plusieurs outils d’évaluation et d’assistance technique afin d’améliorer leur niveau de cybersécurité.
Une menace appelée à durer
Cette campagne s’inscrit dans une tendance plus large observée depuis plusieurs années. Après la tentative de manipulation des paramètres chimiques de l’usine d’Oldsmar en Floride en 2021, puis plusieurs attaques contre de petits réseaux d’eau entre 2023 et 2025, les autorités américaines considèrent désormais le secteur de l’eau comme une cible stratégique au même titre que les réseaux électriques ou les pipelines.
L’objectif des attaquants n’est pas toujours de contaminer l’eau. Il peut s’agir de démontrer une capacité de nuisance, de perturber un service essentiel ou de préparer des opérations plus sophistiquées contre des infrastructures critiques.
Conclusion
Les cyberattaques réseaux d’eau États-Unis illustrent l’évolution des menaces visant les infrastructures critiques. Même si aucune contamination de l’eau potable n’a été constatée, les incidents montrent qu’une compromission des systèmes industriels peut perturber durablement les opérations et affecter la continuité des services publics.
Les exploitants de réseaux d’eau, mais aussi l’ensemble des organisations utilisant des systèmes ICS/SCADA, doivent désormais considérer la cybersécurité comme une composante essentielle de leur résilience. La priorité reste de supprimer l’exposition des équipements industriels à Internet, d’appliquer les correctifs disponibles et de renforcer les capacités de détection et de réponse aux incidents.
Source :
