La "guerre invisible" visant les infrastructures d'eau : le choc des cyberattaques qui se sont étendues à 7 États américains - L'ombre de l'Iran en arrière-plan ?

Tourner le robinet et l'eau coule. Pour de nombreux résidents des États-Unis, c'était une routine quotidienne incontestée.

Cependant, fin juillet 2026, il a été révélé que les ordinateurs des installations d'eau qui soutiennent cette normalité étaient simultanément ciblés de l'extérieur.

Le Minnesota a été le premier à être annoncé comme le centre de l'attaque. Selon les autorités de l'État, entre le 26 et le 27 juillet, un accès malveillant a été confirmé dans les systèmes d'eau de plus de 30 régions. Par la suite, il a été découvert que neuf systèmes d'eau dans le Michigan avaient également été affectés. Il est rapporté que les dommages et les activités suspectes connexes se sont étendus à au moins sept États.

À ce jour, aucune preuve n'indique que des substances nocives ont été mélangées à l'eau ou que les résidents ont bu de l'eau dangereuse. La plupart des installations affectées ont continué à fonctionner en toute sécurité.

Néanmoins, l'impact de cet incident sur la société américaine n'est pas négligeable.

Ce qui a été ciblé, ce n'était pas seulement les informations des clients ou les e-mails des employés, mais la "technologie opérationnelle" qui fait fonctionner les pompes, ajuste la pression de l'eau et surveille les équipements de traitement de l'eau.

Plus de 30 systèmes d'eau ciblés simultanément

Le département informatique du Minnesota a décrit cet incident comme une "attaque cybernétique coordonnée".

Dans tous les systèmes d'eau affectés, il n'y a pas eu de coupure d'eau ou d'anomalie de qualité de l'eau. L'expression "affecté" signifie que des accès non autorisés à la technologie opérationnelle des installations ou des traces d'opérations malveillantes ont été confirmés.

Cependant, certaines municipalités ont effectivement rencontré des difficultés opérationnelles.

À Braham, Minnesota, une ville d'environ 1 700 habitants, les fonctions de contrôle des installations d'eau ont été interrompues, et les puits et installations de traitement de l'eau ont été temporairement incapables de fonctionner. La ville a demandé aux résidents de limiter l'utilisation de l'eau. Jusqu'à la restauration des équipements, l'approvisionnement a été maintenu en utilisant l'eau restante dans la tour d'eau.

À Plymouth, près de Minneapolis, des dysfonctionnements ont été signalés dans les équipements de communication liés aux installations d'eau. Le personnel sur place a répondu par une opération manuelle et a ensuite restauré les fonctions de communication.

Dans le Michigan, après qu'un avertissement fédéral concernant les attaques sur les installations d'eau a été émis, des activités suspectes similaires ont été signalées par les municipalités de l'État. Les autorités de l'État ont déclaré que les neuf systèmes affectés fonctionnaient en toute sécurité et qu'aucun problème de santé publique n'avait été confirmé.

En d'autres termes, bien que cet incident n'ait pas conduit à une contamination massive de l'eau ou à des coupures d'eau prolongées, il a montré la possibilité que les attaquants aient pu accéder aux systèmes de contrôle qui soutiennent la vie des citoyens.

Ce que les attaquants visaient par "technologie opérationnelle"

Dans les installations d'eau, il existe des systèmes distincts des ordinateurs et réseaux d'entreprise utilisés par les entreprises ordinaires, destinés à faire fonctionner des machines physiques.

Ces équipements gèrent le démarrage et l'arrêt des pompes, l'ajustement de la pression de l'eau, la surveillance des volumes de stockage, la gestion des doses de produits chimiques, et l'ouverture et la fermeture des vannes. Ces systèmes sont appelés OT, ou technologie opérationnelle.

L'un des appareils centraux est le PLC, ou contrôleur logique programmable, un petit dispositif de contrôle. Il reçoit des informations des capteurs et donne des instructions aux machines selon un programme prédéfini.

Ils sont utilisés dans divers endroits de la société moderne, tels que les usines, les installations d'eau, les centrales électriques et les équipements de transport.

Si des attaquants pénètrent dans le PLC ou les systèmes de gestion à distance environnants, ils peuvent non seulement voler des données à l'écran, mais aussi modifier le fonctionnement même des équipements.

Arrêter les pompes. Rendre la pression de l'eau instable. Désactiver les alarmes. Perturber les processus de traitement. Modifier les historiques d'opération pour retarder la découverte des anomalies.

Il est nécessaire d'attendre les enquêtes futures pour savoir jusqu'où les opérations ont été menées. Cependant, il est clair que les attaques sur les installations d'eau représentent une menace différente des fuites d'informations habituelles.

Les anomalies sur un ordinateur peuvent mener à des coupures d'eau dans le monde réel, à des dommages aux équipements et à des dangers pour la santé publique.

Pourquoi les installations d'eau locales sont-elles ciblées ?

L'infrastructure de l'eau aux États-Unis n'est pas gérée par une seule organisation géante à l'échelle nationale. De nombreuses organisations, telles que les villes, les comtés, les petites municipalités et les opérateurs régionaux, exploitent chacune leurs propres équipements.

Parmi elles, il y a de nombreuses petites installations qui soutiennent des régions d'environ quelques milliers de résidents.

Dans ces installations, il est difficile d'employer en permanence des professionnels de la cybersécurité. Le budget limité est prioritairement utilisé pour remplacer les conduites d'eau vieillissantes, réparer les pompes, gérer la qualité de l'eau et assurer le personnel.

En conséquence, des dispositifs de contrôle anciens sont utilisés pendant de longues périodes, les mots de passe par défaut ne sont pas changés, ou les fonctions de gestion à distance sont directement connectées à Internet.

Il y a aussi des raisons pour lesquelles les équipements ne peuvent pas être arrêtés.

Pour un ordinateur ordinaire, il n'est pas difficile de redémarrer pour une mise à jour. Cependant, dans les équipements qui fournissent de l'eau 24 heures sur 24, il n'est pas facile d'arrêter l'opération pour une mise à jour logicielle ou un remplacement d'équipement.

L'ajout de nouvelles fonctionnalités de sécurité peut également entraîner une perte de compatibilité avec les anciens équipements.

Pour les attaquants, il peut être plus facile de cibler les dispositifs de contrôle à distance des petites installations publiques que les réseaux hautement protégés des entreprises mondiales.

De plus, une attaque sur l'eau peut provoquer une forte peur chez les citoyens, même si les dommages réels sont limités.

En répandant des inquiétudes telles que "L'eau est-elle sûre à boire ?" ou "Y aura-t-il une coupure d'eau soudaine ?", on peut ébranler la confiance dans la société et l'administration. Cet effet psychologique est également considéré comme l'une des raisons pour lesquelles les infrastructures critiques sont ciblées.

Possibilité d'implication de l'Iran, mais pas encore de confirmation officielle

Concernant cette attaque, les autorités américaines et les experts examinent la possibilité que des attaquants liés à l'Iran soient impliqués.

L'une des raisons est que des groupes prétendument iraniens ont déjà ciblé des installations d'eau américaines et des équipements de contrôle industriel.

En avril 2026, des agences gouvernementales américaines ont émis un avertissement indiquant que des attaquants liés à l'Iran ciblaient des PLC connectés à Internet. En juillet, le contenu de l'avertissement a été mis à jour pour montrer que la portée des fabricants d'équipements ciblés et des méthodes d'attaque s'était élargie.

Concernant cette attaque, il a été signalé que les équipements ciblés, les méthodes d'intrusion et la période de l'incident partagent des caractéristiques communes avec les activités passées liées à l'Iran.

Le fait qu'aucune demande d'argent n'ait été confirmée distingue également cette attaque des crimes de ransomware typiques. Si les attaquants ne visaient pas une rançon, des motivations telles que l'intimidation politique, la représailles, la collecte d'informations ou l'incitation au chaos social peuvent être envisagées.

D'autre part, le FBI et d'autres agences concernées n'ont pas publiquement identifié les auteurs.

Dans les cyberattaques, il est possible de passer par des appareils tiers ou d'imiter les méthodes d'autres groupes. Il est difficile d'identifier immédiatement l'État ou l'organisation derrière l'attaque uniquement par les programmes utilisés ou les destinations de communication.

Bien qu'il y ait des raisons rationnelles de soupçonner une relation avec l'Iran, à ce stade, il ne faut pas traiter cela comme un fait établi que "l'Iran a exécuté" l'attaque.

Cette prudence n'est pas simplement une question de mots. Les jugements d'appartenance à un État peuvent conduire à des actions diplomatiques, des sanctions, des mesures de représailles, voire des actions militaires.

Déclaration du président Trump transformant l'incident en problème politique

Alors que l'enquête technique se poursuit, l'incident s'est rapidement transformé en problème politique.

Interrogé par des journalistes sur l'implication de l'Iran, le président Trump a nié cette perspective et a fait des déclarations suggérant que la responsabilité incombait au Minnesota. Il a critiqué la capacité de réponse de l'État touché et le gouverneur Tim Walz, mais n'a pas fourni de preuves pour étayer ses affirmations.

En réponse, le gouverneur Walz a publié sur X, affirmant que le président savait qui était responsable de l'attaque et que d'autres États avaient également été touchés. Il a plaidé que "c'est la guerre moderne" et a critiqué l'administration pour avoir affaibli la défense cybernétique fédérale.

Normalement, l'interruption des voies d'attaque, la restauration des installations endommagées et le partage d'informations avec les opérateurs d'eau à travers le pays devraient être la priorité.

Cependant, l'attention portée au conflit entre le président et le gouverneur a déplacé le centre du débat de "qui a attaqué" à "qui porte la responsabilité politique".

Dans la réponse aux cyberattaques, blâmer l'organisation qui a divulgué les dommages peut également conduire à de nouveaux dangers.

Si l'air se répand que signaler des dommages entraîne des attaques politiques, les municipalités et les entreprises pourraient cacher les intrusions. Si le partage d'informations est retardé, des attaques utilisant les mêmes méthodes pourraient s'étendre à d'autres installations.

Les informations du Minnesota, qui a détecté et divulgué l'anomalie en premier, ont peut-être conduit à des inspections et à la découverte de dommages dans d'autres États.

Trois réactions qui se sont répandues sur les réseaux sociaux

L'incident a été largement partagé sur X, Bluesky, Facebook, Reddit, etc. Cependant, les publications sur les réseaux sociaux ne représentent pas l'opinion publique dans son ensemble et doivent être considérées comme des tendances observables à partir de publications individuelles.

La première réaction notable est l'inquiétude face à l'attaque contre les infrastructures de vie.

Le terme "attaque sur les installations d'eau" a suscité de nombreuses publications préoccupées par la contamination de l'eau ou l'introduction de substances toxiques. D'un autre côté, certains ont averti contre la propagation de la peur excessive et des informations non confirmées, soulignant que "l'intrusion dans le système" n'est pas synonyme de "contamination de l'eau potable".

À ce jour, aucune preuve n'indique que l'eau est devenue dangereuse, et chaque municipalité diffuse des informations aux résidents si nécessaire. En cas d'urgence, il est important de vérifier les annonces officielles des municipalités ou des opérateurs d'eau plutôt que les spéculations sur les réseaux sociaux.

La deuxième réaction est l'appel à investir dans les infrastructures critiques.

Dans les publications des responsables de la sécurité et des membres du Congrès, cette attaque a été qualifiée de "signal d'alarme", et il a été suggéré de limiter les connexions à distance, d'introduire l'authentification multifactorielle, de changer les mots de passe par défaut, de séparer les réseaux et de former le personnel rapidement.

Certains experts ont souligné qu'il ne faut pas seulement se concentrer sur les dispositifs de certains fabricants, mais améliorer l'exploitation elle-même, en supprimant les équipements de contrôle publiés sur Internet et les connexions à distance inutilisées.

La troisième réaction est le conflit politique intense autour des déclarations du président Trump.

Du côté des critiques de l'administration, il a été jugé inapproprié de blâmer l'État touché alors que les agences fédérales enquêtent sur la possibilité d'une force étrangère.

D'autre part, parmi les partisans de l'administration, certains ont estimé que les municipalités auraient dû assurer une gestion stricte de la sécurité des équipements avant même une attaque étrangère.

Il y a également des publications appelant à la prudence face aux affirmations fortes du gouverneur Walz, arguant que les preuves sont insuffisantes pour tirer des conclusions sur l'appartenance.

Sur les réseaux sociaux, le débat tend à se réduire à un choix binaire entre "attaque iranienne" ou "mauvaise gestion de l'État". Cependant, en réalité, la possibilité d'une attaque par une force étrangère et la vulnérabilité des installations peuvent coexister.

Il n'y a pas de contradiction entre le fait que la responsabilité première incombe à l'attaquant et la nécessité d'améliorer les défenses.

Le plus grand problème n'est pas "une seule attaque"

Il est important que la sécurité de l'eau n'ait pas été gravement compromise cette fois-ci. Cependant, cela ne signifie pas que l'incident doit être considéré comme mineur.

On ne sait pas encore si les attaquants n'ont pas atteint leur objectif, s'ils visaient dès le départ une perturbation limitée, ou si c'était une reconnaissance en vue d'une attaque plus importante.

Dans les intrusions de systèmes de contrôle, les attaquants ne stoppent pas nécessairement immédiatement les équipements. Ils peuvent explorer la configuration interne, collecter des informations d'authentification et laisser des voies de connexion utilisables à l'avenir.

Il est