Ce que l'on sait des piratages iraniens présumés visant les services d'eau américains

Au cours des dernières semaines, des chercheurs en cybersécurité et des responsables fédéraux ont suivi une vague d'intrusions dans les systèmes de contrôle industriel de services d'eau américains petits et moyens, une opération que plusieurs entreprises de sécurité attribuent à des groupes de piratage liés au gouvernement iranien. Si l'ampleur et la gravité varient d'un cas à l'autre, ce schéma a ravivé les inquiétudes quant à la vulnérabilité des infrastructures hydrauliques américaines face aux cyberattaques liées à des États.

Les attaques semblent cibler des automates programmables industriels, ces petits ordinateurs industriels qui régulent des processus physiques tels que la pression de l'eau, le dosage chimique et le fonctionnement des pompes dans les installations de traitement. Ces automates ont souvent des décennies, conçus pour la fiabilité plutôt que pour la cybersécurité, et dans de nombreux petits services d'eau, ils restent connectés à internet avec des mots de passe faibles ou par défaut, ce qui en fait des cibles comparativement faciles pour les attaquants qui scannent les systèmes industriels exposés.

Selon les chercheurs, cette activité de piratage porte les caractéristiques de campagnes précédentes attribuées à des groupes liés à l'Iran, notamment une vague d'intrusions fin 2023 qui avait défiguré des panneaux de contrôle de services d'eau avec des messages politiques faisant référence au conflit au Moyen-Orient. Cette campagne antérieure ciblait une marque spécifique d'automate industriel de fabrication israélienne largement utilisée dans les services d'eau, exploitant le fait que de nombreux opérateurs n'avaient jamais modifié le mot de passe par défaut de l'équipement.

Contrairement aux attaques contre les grandes institutions financières ou les grandes entreprises, les intrusions dans les systèmes des services d'eau tendent à frapper de petits opérateurs aux ressources limitées — districts hydrauliques municipaux, services ruraux et petits départements municipaux de l'eau qui manquent souvent de personnel dédié à la cybersécurité, de plans formels de réponse aux incidents ou de budget pour des audits réguliers des systèmes. Les chercheurs en sécurité décrivent cela comme l'un des aspects les plus préoccupants de la campagne : les cibles ne sont pas sélectionnées pour leur importance stratégique, mais plutôt pour la facilité avec laquelle leurs systèmes peuvent être trouvés et compromis.

Les conséquences d'une intrusion réussie dans les commandes des infrastructures hydrauliques varient largement en gravité. Dans plusieurs cas précédemment documentés, les attaquants ont pu manipuler des paramètres tels que les niveaux de dosage chimique ou la vitesse des pompes, bien que les services d'eau aient généralement détecté et annulé les modifications non autorisées avant qu'elles n'affectent l'eau parvenant aux clients. Les agences fédérales ont souligné que la plupart des services d'eau américains maintiennent des systèmes de secours manuels et une supervision par des opérateurs spécifiquement conçus pour détecter tout comportement automatisé anormal, une protection qui a jusqu'à présent empêché les intrusions signalées de causer un préjudice physique à l'approvisionnement public en eau.

Néanmoins, les responsables et chercheurs mettent en garde contre tout excès de confiance. Le schéma constant des intrusions démontre que les attaquants peuvent accéder de manière fiable aux systèmes de contrôle d'une partie des quelque 50 000 réseaux d'eau communautaires des États-Unis, même si les conséquences physiques ont jusqu'à présent été contenues. Les chercheurs en sécurité soulignent que le nombre considérable de petits services d'eau, combiné à l'autorité fédérale limitée pour imposer des normes de cybersécurité à des systèmes largement gérés localement, crée une brèche persistante difficile à combler rapidement.

La réponse du gouvernement fédéral s'est fortement concentrée sur des orientations volontaires et le partage d'informations plutôt que sur des obligations contraignantes en matière de cybersécurité, une structure qui reflète à la fois les limites de compétence — les services d'eau sont principalement réglementés au niveau étatique et local — et les résistances des groupes professionnels du secteur, préoccupés par le coût de la mise en conformité pour de petits opérateurs souvent en difficulté financière. L'Agence de protection de l'environnement et l'Agence de cybersécurité et de sécurité des infrastructures ont émis des avis répétés exhortant les services d'eau à changer les mots de passe par défaut, à isoler les systèmes de contrôle de l'internet public et à adopter une segmentation réseau de base, mais l'adoption reste inégale dans l'ensemble du secteur.

L'attribution à des acteurs liés à l'Iran, bien que jugée crédible par plusieurs chercheurs en sécurité suivant la campagne, ne s'est pas accompagnée de preuves publiques détaillées dans chaque cas, et les responsables sont généralement restés prudents quant à désigner de façon définitive des groupes spécifiques ou des parrains étatiques dans le cadre d'enquêtes en cours. L'attribution dans ces cas repose généralement sur des indicateurs techniques — signatures de logiciels malveillants, réutilisation d'infrastructures et tactiques cohérentes avec des campagnes précédemment identifiées — plutôt que sur une seule preuve concluante.

Les experts en cybersécurité qui étudient les attaques contre les infrastructures critiques notent que les systèmes d'eau sont devenus une cible de plus en plus attrayante pour les groupes de piratage liés à des États, précisément parce qu'ils combinent un impact symbolique et psychologique élevé avec des défenses techniques généralement faibles, comparativement à des secteurs comme la banque ou l'énergie, soumis à une pression réglementaire et d'investissement plus soutenue pour renforcer leurs systèmes. Une intrusion réussie et visible dans une infrastructure hydraulique, même sans préjudice physique, peut générer une inquiétude publique disproportionnée par rapport à la sophistication technique réellement nécessaire pour la mener à bien.

Pour les opérateurs de services d'eau, les recommandations pratiques des chercheurs en sécurité restent largement inchangées par rapport aux incidents précédents : changer les identifiants par défaut, déconnecter les systèmes de contrôle de l'accès internet direct dans la mesure du possible, segmenter les réseaux afin qu'un seul appareil compromis ne puisse pas atteindre les commandes opérationnelles critiques, et établir des procédures de contournement manuel qui ne dépendent pas de la fiabilité continue du système compromis. Que ces recommandations se traduisent par une adoption plus rapide et plus large parmi des milliers de petits services d'eau — dont beaucoup fonctionnent avec des budgets contraints — reste la question centrale et non résolue soulevée par cette dernière vague d'intrusions.