Cyberattaques : quand les organisations critiques sont touchées
Les récentes attaques contre les réseaux d'eau potable et d'assainissement aux Etats-Unis montrent que l'impact d'une cyberattaque sur des sites critiques va bien au-delà de la perte de données ou du cryptage des systèmes. Quand les interfaces homme-machine, les pompes et autres systèmes de traitement de ressources sont perturbés, il y va de la sécurité de tout un pays. Les cyberattaques peuvent affecter non seulement la disponibilité des systèmes dans des secteurs divers, mais également la santé publique, l’environnement et les activités économiques. Une analyse de Jim Richberg, responsable de la politique cyber et CISO mondial chez Fortinet.
Les récentes attaques aux États-Unis constituent un signal d’alarme pour les compagnies des eaux belges et plus largement pour toutes les organisations critiques. Quel enseignement peut-on tirer de ces attaques, comment ont-elles été menées, et aurait-on pu éviter cela à temps ?
Les infrastructures hydrauliques, tant aux États-Unis qu’en Belgique, reposent fortement sur la confiance. Les habitants comptent sur la sécurité de leur eau potable. Les opérateurs doivent pouvoir compter sur le fait que les institutions critiques reflètent correctement les processus physiques. Et en ce qui concerne les compagnies des eaux, elles partent du principe que les connexions externes avec les stations d’épuration, les stations de pompage, les stations de relevage et autres systèmes sont sécurisées. Les cyberattaques peuvent dès lors ébranler cette confiance en mettant en péril la disponibilité, la précision, l’intégrité et la sécurité des systèmes.
L’un des principaux défis réside dans l’infrastructure complexe et géographiquement dispersée des compagnies des eaux. Celles-ci combinent souvent des stations d’épuration et des contrôleurs hérités avec des pompes et des stations de relevage, des puits, des réservoirs, des sites mobiles et des accès externes pour des tiers et des équipementiers.
La connectivité offre des avantages opérationnels importants, mais crée en même temps de nouvelles voies d’accès qu’il faut gérer
L’ampleur du problème ressort également des chiffres de l’Agence américaine de protection de l’environnement qui signalait en 2026 un nombre interpellant de vulnérabilités corrigées chez 277 compagnies des eaux, en plus des 350 vulnérabilités traitées en 2025. A ce titre, les vulnérabilités liées à l’exposition à Internet, à l’authentification et au contrôle d’accès restent particulièrement fréquentes.
Des techniques d'attaque relativement simples suffisent à causer des dégâts
Des alertes récentes de la part des autorités montrent que les pirates n'ont pas toujours besoin de logiciels malveillants sophistiqués pour causer des dégâts. Quand les systèmes opérationnels ne sont pas suffisamment sécurisés, des techniques d'attaque relativement simples suffisent déjà à leur donner accès.
En 2023, puis à nouveau dans un avertissement plus général datant de 2024, les autorités américaines, britanniques et européennes ont signalé qu’un groupe APT lié au gouvernement iranien était parvenu à compromettre des automates programmables connectés à Internet en exploitant des mots de passe par défaut ou l’absence de mot de passe. Les chercheurs ont identifié plus de 75 appareils touchés aux États-Unis, dont 34 dans le secteur de l’eau potable et des eaux usées. Des modifications dans la logique ladder ont également été constatées et les opérateurs ne pouvaient plus accéder à distance aux systèmes.
Une alerte conjointe datant de 2025 a mis en évidence des hacktivistes pro-russes qui utilisaient des connexions VNC exposées à Internet et insuffisamment sécurisées pour accéder à des organisations dans les secteurs de l’eau, de l’énergie et de l’alimentation. Même si ces attaques n’étaient pas toujours très sophistiquées, cet accès a tout de même entraîné des perturbations opérationnelles et des dégâts matériels.
Selon Jim Richberg, responsable de la politique cyber et CISO chez Fortinet, cette évolution met surtout en évidence un problème structurel chez les petites entreprises de distribution d’eau. « Les attaques incessantes et la compromission réussie des systèmes d’approvisionnement en eau attirent l’attention sur un problème qui existe depuis longtemps au sein des petites entreprises de distribution d’eau et de traitement des eaux usées. Ces entreprises représentent 81 % de toutes les entreprises publiques de distribution d’eau aux États-Unis. En même temps, elles sont responsables de 93 % des infractions aux normes fédérales relatives à l’eau potable. »
L’expert souligne d’ailleurs que la réglementation seule ne suffit pas. Selon lui, il faut des moyens et de l’expertise pour améliorer réellement la sécurité. Beaucoup de petites compagnies n’en disposent pas elles-mêmes et dépendent donc d’une expertise externe, qu’elle soit rémunérée ou bénévole.
L’IA comme accélérateur des attaques stratégiques
L’IA joue désormais un rôle important dans les attaques menées contre les organisations critiques. En août 2026, la NSA aux Etats-Unis mettait en garde contre des activités utilisant des outils de scan Internet et des scripts basés sur l’IA pour identifier des automates programmables exposés ou insuffisamment segmentés.
« Ces scripts sont déguisés en outils de surveillance légitimes. Les autorités considèrent ces activités comme une phase de reconnaissance et de préparation à d’éventuelles cyberopérations futures. Du coup, il est de plus en plus facile de repérer des systèmes industriels vulnérables. L’IA et l’automatisation facilitent l’identification des systèmes et la cartographie des voies d’attaque possibles », analyse Jim Richberg.
Un réseau privé n'est pas forcément sécurisé
Pour de nombreuses installations hydrauliques dispersées sur de vastes zones géographiques, la connectivité mobile est indispensable. On pense par exemple aux stations de pompage, aux stations de traitement des eaux usées, aux puits, aux réservoirs et aux sites de télémétrie où la fibre optique n'est pas une option pratique. « Le problème ne réside pas dans la technologie mobile en soi, mais dans le modèle de confiance. Une armoire non surveillée peut constituer le point faible d’une organisation critique. Un tel site peut être relié au réseau opérationnel via une connexion permanente et fiable. Un pirate qui parvient à accéder à cette connexion pourrait ainsi trouver un chemin vers des systèmes critiques », poursuit le CISO chez Fortinet.
Un APN privé peut aider à séparer les réseaux les uns des autres, mais ne constitue pas une barrière de sécurité totale. L’authentification, le chiffrement, la segmentation, les politiques d’accès, l’inspection, la journalisation et la surveillance restent indispensables. Le National Cyber Security Centre (NCSC) britannique souligne d’ailleurs qu’un APN assure certes la séparation, mais n’offre pas de chiffrement au sein du réseau de télécommunications.
Les principes de sécurité visent donc à éliminer les ports entrants exposés, à utiliser des passerelles contrôlées, à centraliser les connexions et à limiter les conséquences d’une éventuelle compromission.
La sécurité, un élément de la résilience
« Les compagnies des eaux et autres organisations critiques n’ont pas besoin de nouveaux produits de cybersécurité isolés », estime Jim Richberg. Ce dont elles ont besoin, « c’est d’une architecture capable d’assurer une sécurité cohérente, de la station d’épuration jusqu’aux systèmes opérationnels situés à la périphérie du réseau, sans ajouter de complexité supplémentaire pour des équipes qui travaillent souvent déjà avec des ressources limitées ».
Un fournisseur de cybersécurité disposant d’un portefeuille complet de solutions de sécurité OT certifiées selon la norme CEI 62443-4-2 et évaluées de manière indépendante selon des exigences strictes offrent une meilleure sécurité, d’autant qu’elles ont été implémentées dès la conception dans les environnements industriels.
Et à l’expert de conclure : « la technologie à elle seule ne peut pas remplacer les sauvegardes testées, la gestion contrôlée des modifications et les procédures de reprise bien rodées. En revanche, elle peut limiter l'exposition, contrôler l'accès aux contrôleurs critiques, détecter les comportements non autorisés et contenir un incident avant qu'il ne se transforme en un problème opérationnel plus grave ».
SAVE THE DATE - October 15, 2026 Hi Site, Grimbergen (Brussels)
