Une campagne qui s'étend d'État en État

Ce qui a commencé fin juillet 2026 par des attaques coordonnées contre plus de 30 systèmes d'eau communautaires dans le Minnesota s'est mué en une campagne multistats de grande ampleur. Selon ABC News, des sources fédérales évoquent désormais des intrusions possibles touchant au moins douze États, avec des confirmations publiques venant du Minnesota, du Michigan, de Géorgie, du Dakota du Sud, ainsi que plus récemment de l'Alabama et du New Jersey. Le FBI, la CISA et l'Environmental Protection Agency (EPA) coordonnent l'enquête, et l'Iran est désigné comme « principal suspect », sans attribution officielle pour l'heure.

L'analyse technique publiée par LevelBlue (SpiderLabs) précise la chronologie : le 26 et 27 juillet, les opérateurs de plus de 30 systèmes communautaires du Minnesota ont signalé une activité malveillante ciblant leur technologie opérationnelle (OT). Au 1er août, le Michigan identifiait une activité touchant neuf systèmes d'eau supplémentaires, tous maintenus en service sécurisé selon les autorités locales. Le 30 juillet, la CISA publiait une alerte décrivant une « augmentation significative » des cyberattaques contre les automates programmables industriels (PLC) du secteur de l'eau et de l'assainissement.

Des automates exposés verrouillés à distance

Le mode opératoire est remarquablement sobre. D'après la CISA et le FBI, les attaquants accèdent à des PLC exposés directement à Internet — principalement des Rockwell Automation / Allen-Bradley MicroLogix 1100 et 1400 — puis modifient les mots de passe pour verrouiller les opérateurs et changent les adresses IP pour déconnecter les contrôleurs. Cette manipulation prive les équipes locales de visibilité et de contrôle à distance.

Les conséquences opérationnelles ont été variables mais réelles. À Braham (Minnesota), les attaquants ont désactivé les contrôles informatisés du puits et de l'usine de traitement, forçant la commune à dépendre temporairement de l'eau stockée dans son château d'eau et demandant aux résidents de réduire leur consommation. À Plymouth (Minnesota), l'attaque a perturbé les communications cellulaires avec deux châteaux d'eau et plusieurs stations de relèvement. L'incident le plus grave connu à ce jour concerne le comté de Clayton, en Géorgie, où l'activité cyber a provoqué une chute de pression imposant une consigne d'ébullition de l'eau (boil water advisory).

Le FBI souligne que la perte de pression peut créer des conditions où une eau souterraine non traitée pénètre dans des canalisations endommagées — ce qui transforme une simple manipulation de petit contrôleur de terrain en risque potentiel pour la santé publique. Aucune contamination avérée de l'eau potable n'a toutefois été confirmée.

L'Iran, « principal suspect » dans une stratégie de zone grise

L'attribution reste prudente. Plusieurs cabinets (LevelBlue, Blackswan Cybersecurity) relèvent des similitudes techniques avec une campagne documentée par les agences fédérales dans le Joint Cybersecurity Advisory AA26-097A du 22 juillet 2026, qui décrit des acteurs affiliés à l'Iran ciblant des PLC Rockwell CompactLogix, Micro850, Schneider Modicon M340 et Siemens S7-1200. Le groupe pro-Iran CyberAv3ngers, déjà responsable d'attaques contre l'infrastructure hydrique américaine en 2023 (notamment à Aliquippa, Pennsylvanie), est cité comme candidat possible, ainsi que le groupe Handala et le IRGC Cyber Electronic Command.

Le Soufan Center replace ces frappes dans une logique de zone grise : l'objectif iranien ne serait pas de paralyser durablement les États-Unis — Téhéran sait que la capacité de récupération américaine est forte — mais de rappeler que la puissance américaine n'immunise pas contre l'Iran. Le contexte est celui de la guerre régionale de février 2026 et de l'escalade continue entre les deux pays. Les attaques surviennent quelques jours seulement après la mise à jour de l'avis fédéral du 22 juillet, ce qui suggère soit une extension du matériel ciblé, soit un acteur distinct utilisant des méthodes similaires, soit un balayage opportuniste plus large d'équipements industriels exposés.

Un point important souligné par les chercheurs : la faible sophistication apparente des TTP n'exclut pas une capacité supérieure. Comme le note Markus Mueller (Nozomi Networks), l'adversaire « déploie les tactiques nécessaires pour atteindre son objectif » ; l'absence de revendication publique tranche avec le playbook hacktiviste classique et pourrait indiquer un objectif de perturbation massive plutôt que de propagande.

Pourquoi le secteur de l'eau reste un « fruit bas »

Les automates industriels visés ont historiquement été conçus pour l'isolation physique et la fiabilité, pas pour l'exposition à Internet. Beaucoup manquent d'authentification multifactorielle ou de communications chiffrées, et leur mise en réseau est souvent activée par défaut, selon John Gallagher (Viakoo). L'entretien est fréquemment assuré par des techniciens de terrain ou des intégrateurs tiers qui installent des modems cellulaires, des liaisons satellite ou des redirections de port sans en informer les équipes IT/OT centrales.

Les chiffres exposent l'ampleur du problème. Les États-Unis comptent environ 170 000 systèmes d'eau potable et d'assainissement, en grande partie petits, décentralisés, exploitant une OT installée par des tiers avec un budget sécurité minimal. Un opérateur au service de 5 000 habitants n'a souvent qu'un seul généraliste IT pour tout gérer. Le journal canadien Cybersecurity Journal rappelle que le Canada — environ 6 500 systèmes — partage la même exposition, et que le Centre canadien de cybersécurité a émis dès avril 2026 un avertissement sur la reconnaissance active d'acteurs étatiques contre les infrastructures critiques.

Les recommandations fédérales et le contexte politique

La CISA recommande aux opérateurs de :

  • Déconnecter les PLC d'Internet et exiger un VPN ou une passerelle pour l'accès distant ;
  • Changer les mots de passe par défaut et activer la protection par mot de passe ;
  • Restreindre par liste blanche les adresses IP autorisées à accéder à distance ;
  • Conserver une sauvegarde propre de l'image PLC en cas de verrouillage ;
  • Mettre en œuvre la segmentation entre IT et OT (modèle Purdue, DMZ industriel).

L'EPA avait proposé une règle qui, selon des experts cités par le Washington Post, « aurait éliminé la plupart des fruits bas », mais celle-ci a fait l'objet de vives oppositions républicaines. Le Soufan Center pointe aussi les coupes budgétaires et de personnel de la CISA sous le second mandat de Donald Trump, dans le contexte de la controverse sur la sécurité électorale de 2020, qui ont limité la mise en œuvre des recommandations.

Sur le terrain, des voix réclament une action fédérale concrète. La Operational Technology Cybersecurity Coalition appelle le Congrès à réautoriser et financer le State and Local Cybersecurity Grant Program, arguant que « sans cette prolongation, le Congrès laisse les petites villes se défendre seules contre des acteurs étatiques comme l'Iran ».

Un signal qui dépasse l'eau

Le secteur de l'eau n'est pas une cible anecdotique. Comme le souligne Adam Ford (Zscaler), « la volonté d'acteurs malveillants d'interférer avec les systèmes qui soutiennent l'eau que nous buvons souligne à quelle vitesse un incident cyber peut devenir un enjeu de sécurité publique ». Les acteurs iraniens documentés visaient aussi l'énergie, les services gouvernementaux et les municipalités, et ont désactivé des alarmes de sécurité et des logiques d'arrêt sur au moins une victime, selon Blackswan Cybersecurity — une escalade au-delà du simple hacktivisme.

Le moment est interprété comme un test de capacité. Si la campagne reste sans réponse coûteuse pour l'attaquant, il faut s'attendre, préviennent les analystes, à une escalade vers un État plus grand, un secteur différent — énergie, hôpitaux, transport — ou les deux. La fenêtre pour durcir ces systèmes et hausser le coût de l'attaque, conclut le Soufan Center, « est en train de se refermer ».