Résumé : Plus de 30 réseaux d'approvisionnement en eau du Minnesota ont été victimes d'une cyberattaque coordonnée les 26 et 27 juillet. Quelques jours plus tard, le Michigan a confirmé des intrusions similaires dans neuf de ses propres réseaux d'approvisionnement en eau. Cette situation montre comment une seule faille de conception dans la cybersécurité des systèmes opérationnels (OT) a pu devenir une surface d'attaque à l'échelle nationale.
Le 30 juillet 2026, le FBI et l'EPA ont publié un message d'intérêt public (PSA) conjoint (Public Service Announcement ; Alerte I-073026-PSA) fournissant davantage de détails sur l'attaque du Minnesota. Selon cet avis, les auteurs ont obtenu un accès à distance à des automates programmables (PLC) connectés à Internet et ont modifié leurs adresses IP et leurs mots de passe, privant ainsi les opérateurs de leurs fonctionnalités de surveillance et de contrôle. Au moins une organisation a également découvert des fichiers de projet de PLC modifiés après avoir remarqué des incohérences dans la logique en échelle sur plusieurs sites, et le FBI a souligné que les similitudes dans les configurations réseau fournies par des tiers ont pu permettre aux auteurs de reproduire la même technique chez plusieurs clients.
Le 1er août, une nouvelle cyberattaque a été rendue publique. Cette fois-ci, c'est le Département de l'Environnement, des Grands Lacs et de l'Énergie du Michigan a confirmé que visant neuf de ses réseaux d'approvisionnement en eau, quelques jours après que le Minnesota eut signalé des incidents similaires dans tout l'État.
Les autorités fédérales ont désigné l'Iran comme principal suspect ; toutefois, cette attribution reste préliminaire et le FBI poursuit son enquête sur les incidents survenus dans ces deux États.
Dans toutes les communes touchées, le personnel des travaux publics est passé en mode manuel, permettant ainsi aux services d’approvisionnement en eau et de traitement des eaux usées de se poursuivre sans interruption alors que le système de contrôle automatisé était hors service. C’est une réussite opérationnelle, et les opérateurs du Minnesota méritent d’en être félicités. Le repli sur le mode manuel a fonctionné cette fois-ci, mais il pourrait ne pas fonctionner la prochaine fois.
Les infrastructures critiques ne peuvent pas toujours compter sur la vigilance de leurs opérateurs pour pallier l'absence d'une architecture sécurisée.
Une situation évitable, qui se répète depuis des années
Même s'il serait assez commode de considérer cette attaque comme un incident isolé lié à l'Iran, un événement ponctuel étroitement lié aux tensions actuelles avec ce pays, l'attaque contre les infrastructures critiques américaines s'inscrit dans une tendance.
Selon une alerte conjointe de l'EPA, la CISA, le FBI, l’Agence nationale de sécurité (NSA), l’EPA et d’autres entités fédérales ont publié de nombreuses alertes concernant des cyberattaques menées par des cyberacteurs soutenus par des États contre les réseaux d’information et les systèmes de contrôle des processus des réseaux d’approvisionnement en eau et de traitement des eaux usées. Pour n’en citer que quelques-unes :
- Acteurs cybernétiques liés au Corps des gardiens de la révolution islamique (CGRI) du gouvernement iranien
- Hacktivistes pro-russes
- Des cyberacteurs soutenus par l'État de la République populaire de Chine connus sous les noms de « Volt Typhoon », « Vanguard Panda » et d’autres encore.
Les incidents survenus dans le Minnesota et le Michigan ne sont que les derniers exemples en date d'un paysage de menaces que les agences fédérales décrivent par écrit depuis au moins fin 2023.
L'accès à l'eau potable est un droit humain fondamental ; une usine incapable de vérifier ses propres dosages chimiques ou ses contrôles de pression représente une crise sanitaire nationale en puissance.
Selon les propos de Lee Zeldin, administrateur de l'EPA, la responsabilité incombe aux aux exploitants de ces installations. Ces recommandations sont rendues publiques depuis des années, et les exploitants ne devraient pas attendre une directive fédérale pour remettre leurs systèmes en conformité.
De nombreux automates programmables (PLC), notamment les modèles MicroLogix au cœur de cet incident, sont des équipements obsolètes qui ne reçoivent peut-être plus de mises à jour de sécurité, et ont été conçus pour les usines, et non pour Internet. Si ces systèmes de contrôle sont exposés, une intrusion, même mineure, entraînera de réelles perturbations opérationnelles pour les collectivités, grandes ou petites.
Comment ce schéma se manifeste dans l'attaque du Minesotta
Une attaque typique visant les systèmes OT commence souvent par un e-mail de hameçonnage qui permet de compromettre un utilisateur ou un terminal informatique. L'attaquant procède ensuite à une élévation de privilèges via Active Directory, passe du réseau informatique à l'environnement OT, compromet un poste de travail d'ingénierie et parvient finalement à accéder aux automates programmables (PLC) afin de manipuler ou de perturber les processus industriels.
Lors de l'attaque du Minnesota (au moins), les pirates ont contourné la quasi-totalité des étapes. Il semblerait qu'ils n'aient pas eu besoin de compromettre au préalable le réseau informatique de l'entreprise ; ils ont simplement repéré et exploité des automates programmables (PLC) directement exposés à Internet.
D'après les informations disponibles, il est possible que les attaquants aient obtenu un accès administratif aux automates programmables (PLC) en exploitant des identifiants par défaut, des mots de passe faibles ou l'absence de politiques d'authentification multifactorielle (MFA). Cela leur a permis de contourner la voie d'attaque traditionnelle « IT vers OT », réduisant ainsi considérablement le nombre d'étapes nécessaires pour compromettre les contrôleurs.
Cette chaîne d'attaque montre pourquoi les appareils de niveau 0-1 ne devraient jamais être accessibles depuis Internet.
Les contrôles réseau ne suffisent pas pour les technologies opérationnelles
Cette chaîne d'attaque montre pourquoi les appareils de niveau 0-1 ne devraient jamais être accessibles depuis Internet.
En ce qui concerne les meilleures pratiques en matière de cybersécurité des systèmes de contrôle industriel, le FBI, l’EPA et la CISA recommandent à juste titre de supprimer toute exposition à Internet, de mettre en place des pare-feu, des VPN, une segmentation du réseau et des politiques d’authentification renforcées. Ces mesures constituent des contrôles fondamentaux et doivent être mises en œuvre partout où un accès à distance est nécessaire. Toutefois, pour les systèmes de contrôle industriel à fort impact, les organisations devraient se demander si un accès entrant à distance est réellement nécessaire.
Les VPN et les pare-feu sont des logiciels, ce qui signifie qu’ils présentent des vulnérabilités. Ils sont configurés par des personnes, ce qui signifie qu’ils peuvent faire l’objet d’une mauvaise configuration. Les mêmes acteurs qui ont passé le mois de juillet à analyser Internet à la recherche de PLC exposés peuvent tout aussi bien diriger ces mêmes scanners vers des terminaux VPN et des pare-feu vulnérables ou mal configurés. C’est le même problème, mais avec une requête de recherche différente.
Aucun contrôleur chargé de la gestion de l'eau, de l'électricité, des transports ou d'autres services essentiels ne devrait être directement accessible depuis l'Internet public. Il y a une différence entre « sécurisé » et « isolé », mais c'est là que les systèmes de cybersécurité de certains services publics présentent des lacunes.
Les VPN authentifient et chiffrent l'accès à distance, tandis que les pare-feu régulent le trafic autorisé. Ces deux solutions partent du principe qu'un certain niveau de connectivité entrante reste disponible. Une passerelle unidirectionnelle, ou « diode de données », répond à un objectif de sécurité différent : supprimer totalement la connectivité réseau entrante pour les systèmes qui ne nécessitent pas de contrôle à distance.
Comment les flux unidirectionnels permettent d'éliminer toute une catégorie de risques
De manière générale, les communications industrielles se répartissent en deux catégories :
1. Le trafic de contrôle, qui transmet des commandes aux processus.
2. La surveillance du trafic, qui exporte les données opérationnelles vers des systèmes d'archivage, des centres d'opérations de sécurité (SOC), des applications d'entreprise, des outils d'analyse dans le cloud ou des portails de gestion.
De nombreux systèmes critiques finissent par n'utiliser que la deuxième catégorie. Dans ces environnements, autoriser la connectivité entrante ne fait qu'élargir la surface d'attaque sans apporter de valeur opérationnelle.
Si des données opérationnelles doivent effectivement sortir du système, elles ne doivent pas emprunter un chemin permettant à quoi que ce soit de revenir à l'intérieur. Elles doivent au contraire franchir une barrière physiquement unidirectionnelle, mise en œuvre au niveau matériel.
Grâce à un flux unidirectionnel imposé, les opérateurs conservent une visibilité totale sur ce qui se passe dans l'usine. Les pirates, quant à eux, n'ont aucune possibilité de revenir par cette connexion.
OPSWATC'est le principe sur lequel repose la solution MetaDefender™ NetWalld’ MetaDefender : des diodes de données de nouvelle génération, offrant une sécurité unidirectionnelle. NetWall met en œuvre une communication unidirectionnelle assurée par le matériel, transférant les données opérationnelles telles que les informations d’historique, les alarmes, les journaux ou la télémétrie depuis les systèmes OT critiques vers les systèmes d’entreprise, tout en empêchant toute session réseau, tout trafic de gestion ou toute commande de contrôle de revenir vers les contrôleurs protégés.
Il n’est pas nécessaire de sécuriser le chemin de retour, car celui-ci n’existe tout simplement pas. Cela élimine ainsi toute une catégorie de vulnérabilités qu’un pare-feu ne peut pas complètement colmater : une règle mal configurée, un port ouvert ou une exception à la politique. Le facteur de risque lié à l’erreur humaine est également totalement éliminé, puisque les diodes ne nécessitent pas les règles de configuration bidirectionnelles complexes utilisées par les pare-feu. MetaDefender NetWall est conçu pour répondre aux exigences de sécurité rigoureuses des environnements industriels, ainsi qu’aux recommandations de l’EPA en matière de résilience du secteur de l’eau.
10 000 serveurs sont toujours vulnérables ; comment combler cette faille ?
À l'heure actuelle, plus de 4 100 serveurs Rockwell Automation/Allen-Bradley exposés à Internet, plus de 4 100 serveurs Siemens et plus de 2 000 serveurs Schneider Electric sont accessibles depuis l'Internet public. Selon la CISA, les modems cellulaires ajoutés par les opérateurs, les fournisseurs ou les intégrateurs de systèmes constituent souvent un angle mort, car ils ne sont généralement pas répertoriés et sont donc omis des analyses de routine de la surface d'attaque.
En d’autres termes, plus de 10 000 appareils sont exposés exactement au même type d’attaque qui vient de frapper les services des eaux du Michigan et du Minnesota. Ces appareils utilisent des contrôleurs qui, s’ils sont compromis, peuvent inonder une station de traitement ou laisser l’eau non traitée. La CISA recommande en premier lieu l’utilisation de VPN et de pare-feu pour protéger les infrastructures critiques américaines. Bien qu’ils présentent un réel intérêt, il s’agit tout de même d’outils basés sur Internet. Les conseils actuels pour protéger une vanne de pression, un système d’injection de produits chimiques et l’eau du robinet d’un foyer ne peuvent pas relever de la même catégorie que les outils conçus pour protéger une page de connexion.
Le Minnesota et le Michigan nous rappellent que la sécurité de type « Internet » n’a jamais été conçue pour constituer la dernière ligne de défense des systèmes physiques essentiels à la sécurité publique. Les infrastructures de sécurité publique ont besoin d’une solution physique : une barrière que les attaquants ne peuvent ni reconfigurer, ni exploiter, ni scanner pour la franchir, car il n’existe aucun chemin de retour qu’un scanner pourrait détecter.
Le premier épisode de la nouvelle série documentaire d'OPSWAT, animée par Kari Byron de « MythBusters », l'affirme sans détour : une défense à plusieurs niveaux, comprenant notamment un flux de données unidirectionnel assuré au niveau matériel, n'est pas un simple atout pour les infrastructures critiques. En réalité, cela peut faire la différence entre un simple incident et une urgence de santé publique.
« Breaking the Firewall » emmène les téléspectateurs des salons consacrés à la sécurité vers des démonstrations pratiques qui montrent précisément comment les pare-feu échouent et ce qui doit les remplacer. Regardez le premier épisode et découvrez ce qu'il faut pour sécuriser les infrastructures critiques des États-Unis.
