Alerte FBI : cyberattaques sur l'eau dans 7 États

Le FBI a émis un avertissement urgent après que des cyberattaques ont frappé les services d'eau potable et de traitement des eaux usées dans au moins sept États américains, perturbant les opérations et déclenchant des avis de faire bouillir l'eau dans certaines communautés. Selon un Avis de service public publié le 30 juillet 2026, les attaques ont commencé le 27 juillet et ont déjà dégradé les opérations de l'eau, ce qui soulève des alarmes quant à la vulnérabilité des infrastructures critiques américaines.

Portée et impact des attaques

Le FBI n'a pas divulgué quels États étaient touchés, mais a confirmé que les incidents impliquaient un accès non autorisé à des automates programmables (PLC) connectés à Internet et à d'autres dispositifs de technologie opérationnelle (OT). Dans plusieurs cas, les intrusions étaient suffisamment graves pour déclencher des avis de faire bouillir l'eau, ce qui signifie que les résidents étaient invités à faire bouillir l'eau du robinet avant de la boire ou de cuisiner. La cybersécurité des infrastructures critiques est devenue une préoccupation majeure de sécurité nationale alors que les acteurs malveillants ciblent de plus en plus les services publics.

La chaîne NBC News a rapporté que le jour même où l'avertissement du FBI a été rendu public, le Minnesota a subi à lui seul des cyberattaques contre plus de 30 systèmes d'eau municipaux. Des responsables anonymes ont déclaré au réseau que les attaques portaient les « empreintes d'une implication iranienne », pointant une campagne sophistiquée et coordonnée.

Connexion iranienne et retombées politiques

Le FBI avait déjà averti une semaine plus tôt que des groupes de pirates informatiques soutenus par l'Iran sondaient activement les infrastructures critiques américaines, y compris les systèmes d'eau et d'assainissement. Un avis conjoint du FBI, de la CISA, de l'EPA et d'autres agences a lié l'activité au Commandement cybernétique et électronique du Corps des gardiens de la révolution islamique (IRGC-CEC), en particulier le groupe CyberAv3ngers/Shahid Kaveh. Ces acteurs ont exploité les PLC de fabricants comme Rockwell Automation, Schneider Electric et Siemens pour manipuler les affichages opérationnels et perturber les processus.

Le président Trump, cependant, a publiquement rejeté les renseignements, niant l'implication iranienne et accusant plutôt le gouverneur du Minnesota, Tim Walz, un démocrate de premier plan. Cette division entre la Maison Blanche et les agences de sécurité fédérales a approfondi les inquiétudes quant à la capacité du gouvernement à monter une réponse unifiée. La menace cyber iranienne contre les infrastructures américaines est un thème récurrent dans les évaluations du renseignement, mais le manque de cohésion politique pourrait entraver les efforts d'atténuation.

Comment les attaquants ont opéré

Les acteurs cyber ont ciblé les PLC connectés directement à l'Internet public sans authentification appropriée. Une fois à l'intérieur, ils ont :

• Téléchargé et remplacé des fichiers de projet légitimes par des versions malveillantes
• Manipulé les interfaces homme-machine (IHM) et les affichages SCADA pour montrer de fausses lectures
• Provoqué un comportement erratique des pompes, vannes et systèmes de dosage chimique
• Déclenché des alarmes et des arrêts d'urgence, submergeant les opérateurs d'usine

Ces techniques, détaillées dans un avis CISA (AA26-097A), montrent comment un accès à distance non sécurisé peut permettre à des adversaires étatiques d'infliger des dommages physiques sans mettre les pieds dans une installation.

Réponse du gouvernement et de l'industrie

Le FBI a exhorté tous les services d'eau et d'assainissement à déconnecter immédiatement tout équipement OT exposé à Internet, y compris les PLC, les IHM et les systèmes SCADA, et à mettre en œuvre une authentification multifacteur et une segmentation du réseau. L'Agence de protection de l'environnement (EPA) a également commencé à se coordonner avec les régulateurs des États pour évaluer la conformité aux meilleures pratiques de cybersécurité.

Des groupes industriels comme le Water Information Sharing and Analysis Center (WaterISAC) ont émis des alertes et partagent des indicateurs de compromission (IOC) pour aider les opérateurs à détecter les intrusions. Plusieurs services publics touchés ont engagé des équipes de réponse aux incidents et investigation numérique pour enquêter sur l'ampleur totale de la compromission.

FAQ : Ce que vous devez savoir

Quels États ont été touchés par les cyberattaques sur l'eau ?

Le FBI n'a pas nommé publiquement les sept États, mais NBC a confirmé que le Minnesota en faisait partie. D'autres États incluent probablement ceux avec des systèmes d'eau ruraux plus petits qui manquent souvent de cybersécurité robuste.

L'eau du robinet est-elle potable ?

Si vous vivez dans une zone touchée, suivez tout avis officiel de faire bouillir l'eau. Les attaques ont principalement perturbé les contrôles opérationnels, mais dans certains cas, elles ont pu affecter la qualité de l'eau. Vérifiez toujours les annonces des services d'eau locaux.

Qui est derrière ces attaques ?

Les renseignements américains pointent vers des groupes affiliés à l'Iran, en particulier le CyberAv3ngers du IRGC-CEC, bien que la Maison Blanche ait contesté cela. Les enquêtes sont en cours.

Que doivent faire les services d'eau pour se protéger ?

Le FBI et la CISA recommandent de déconnecter les PLC exposés à Internet, d'utiliser des VPN avec MFA, de surveiller les ports réseau OT (44818, 2222, 102, 502) et d'appliquer des correctifs. Des ressources gratuites sont disponibles sur le site Stop Ransomware de la CISA.

Cela s'est-il déjà produit ?

Oui. En 2021, un pirate a tenté d'empoisonner une usine de traitement de l'eau en Floride en modifiant les niveaux chimiques. Depuis lors, les attaques sur les systèmes d'eau se sont intensifiées, les acteurs iraniens ciblant de plus en plus les actifs OT.