La guerre entre les États-Unis et l’Iran a un nouveau front, et il passe par les canalisations. Au cours des dernières semaines, des hackers présumés liés aux Gardiens de la révolution iraniens ont visé des systèmes de traitement et de distribution d’eau dans une douzaine d’États américains, selon des informations de la presse française qui concordent avec ce que décrivent des responsables américains et des chercheurs en sécurité. Les intrusions ont été maladroites et ont, pour la plupart, échoué à causer des dégâts durables. Ce n’est pas là l’essentiel. L’essentiel, selon les analystes, c’est la pression qu’elles exercent, et l’élection qu’elles tentent peut-être d’influencer.
L’incident le plus visible s’est produit la semaine dernière en Géorgie, dans le comté de Clayton, où une cyberattaque a provoqué une baisse de pression dans le réseau d’eau. Par précaution, les autorités ont demandé aux habitants de faire bouillir l’eau avant de la boire. Il s’est avéré par la suite qu’il n’y avait aucun danger, et la perturbation a été qualifiée de minime. Mais l’épisode a montré comment une petite intrusion dans un petit système peut provoquer une grande frayeur, et comment la peur elle-même fait partie de l’attaque. Des journalistes d’Atlanta ont décrit le détail technique : les hackers semblent être parvenus jusqu’aux automates programmables, ces petits ordinateurs qui mettent en marche et arrêtent les pompes et régulent le chlore dans l’eau. Lorsque ces appareils sont connectés à Internet, ils deviennent des cibles.
La Géorgie n’était pas seule. Le Minnesota a été frappé le premier, fin juillet, avec plus d’une trentaine de réseaux d’eau communautaires signalant des intrusions en un seul week-end, l’attaque la plus importante de ce type dans l’histoire de l’État. Le Michigan a suivi, avec neuf réseaux ayant signalé une activité hostile. Le FBI a indiqué que des services des eaux d’au moins sept États ont signalé des incidents, et qu’une partie de cette activité avait dégradé le fonctionnement des installations. Les sociétés de cybersécurité ont été les premières à désigner un groupe lié à l’Iran, connu sous le nom de CyberAv3ngers, qui a déjà frappé des installations d’eau américaines, dont une régie de Pennsylvanie en 2023, et que le département d’État a relié à des responsables militaires iraniens par le biais d’une offre de récompense de 10 millions de dollars.
La réponse de Washington n’a pas été celle qu’attendait l’establishment de la sécurité. Le président Trump a rejeté la piste iranienne sans apporter de preuves, accusant à la place le gouverneur du Minnesota, qu’il a qualifié d’incompétent, et suggérant que le gouverneur était derrière les attaques. Le gouverneur, Tim Walz, un démocrate, a répondu que le président sait qui est responsable, que d’autres États ont aussi été touchés, et que les coupes budgétaires dans l’agence de cybersécurité avaient laissé le pays exposé. Cet échange a transformé une histoire technique en histoire politique, ce qui est peut-être exactement ce que voulaient les attaquants.
L’inquiétude la plus profonde vient des chercheurs qui l’avaient vu venir. Il y a deux ans, un professeur de Georgia Tech avait averti les compagnies des eaux de l’État que leurs systèmes étaient vulnérables, après que son équipe s’était introduite dans 7 000 automates programmables dotés de mots de passe faibles. Le fait qu’une attaque aussi rudimentaire puisse dégrader le service montre, selon lui, à quel point le secteur de l’eau est mal protégé. Il a fait valoir que les hackers ne cherchent pas à provoquer une catastrophe sanitaire, mais à déstabiliser : si la qualité de l’eau se dégrade et que les réseaux sont perturbés avant l’élection présidentielle, le gouvernement pourrait rencontrer des difficultés, et cela pourrait influencer le choix du prochain président. C’est ce que les Iraniens tentent de faire, selon lui. Les attaques sont peut-être primitives. La stratégie qui les sous-tend ne l’est pas.
Le schéma n’est pas nouveau, seule l’échelle l’est. En 2021, un hacker avait accédé à distance à une usine de traitement des eaux à Oldsmar, en Floride, et avait brièvement modifié les réglages chimiques avant qu’un opérateur n’intervienne. En 2023, un groupe lié à l’Iran avait vandalisé les systèmes d’une régie des eaux de Pennsylvanie après avoir exploité un appareil laissé exposé sur Internet avec des identifiants de connexion par défaut. C’étaient des incidents isolés, traités comme des avertissements. La campagne actuelle a frappé des dizaines de municipalités dans au moins sept États. L’avis fédéral nomme le matériel visé, des automates programmables fabriqués par Rockwell Automation et d’autres constructeurs, et avertit que les mêmes techniques pourraient être retournées contre d’autres systèmes industriels connectés à Internet. Le secteur de l’eau apprend, État par État, ce que les chercheurs disent depuis des années : les canalisations n’ont jamais été conçues pour être défendues, et la guerre les a trouvées.
Traduit par Lydie