Des automates industriels laissés ouverts sur Internet : des attaquants ont mis à mal des réseaux d'eau en modifiant un seul fichier logique

La réponse directe d'abord : un automate programmable industriel (PLC) est le petit boîtier qui démarre réellement la pompe, ferme la vanne et déclenche l'alarme dans votre usine ou votre installation. Depuis fin juillet 2026, des attaquants exploitent précisément ce type d'appareil — exposé directement sur l'Internet public — dans des services d'eau d'au moins 12 États américains. Ils en ont modifié la logique de fonctionnement, désactivé les alarmes et les procédures d'arrêt de sécurité, et changé les mots de passe et les adresses réseau jusqu'à ce que les opérateurs perdent l'accès à leurs propres équipements. L'impact n'a pas été des fichiers divulgués, mais une perte de pression d'eau, des inondations et des stations contraintes de passer en fonctionnement manuel. Si vous exploitez une ligne de production ou un bâtiment doté de systèmes de contrôle, la question à trancher aujourd'hui est simple et précise : un seul de vos automates est-il accessible depuis l'Internet public ?

Ce qui s'est réellement passé

L'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA), le FBI et d'autres agences fédérales ont publié un avis conjoint numéroté AA26-097A, initialement publié le 7 avril 2026 et mis à jour le 22 juillet 2026. La mise à jour n'avait rien de cosmétique : elle ajoutait des recommandations pour détecter les modifications malveillantes dans les modules de code réutilisables utilisés dans les programmes d'automates Rockwell Automation, et élargissait le périmètre du matériel ciblé aux appareils de Schneider Electric, Siemens et d'autres fabricants. Le 30 juillet 2026, la CISA a publié une alerte distincte exhortant le secteur de l'eau et des eaux usées à protéger ses technologies opérationnelles contre une activité visant spécifiquement les automates.

La méthode mérite l'attention précisément parce qu'elle n'a rien de brillant et ne fait appel à aucune faille zero-day coûteuse. L'attaquant trouve un automate exposé sur Internet, puis utilise le logiciel d'ingénierie officiel — le même que celui de votre propre ingénieur — pour télécharger le fichier de projet et modifier la logique à contacts (ladder) qu'il contient. De là, il altère les Add-On Instructions pour désactiver les arrêts de sécurité et les alarmes, et falsifie ce qu'affichent les écrans HMI et SCADA, si bien que l'opérateur voit une valeur parfaitement normale pendant que le réservoir ou la ligne fait tout autre chose. Enfin, il change les mots de passe et les adresses IP des appareils et installe un service SSH léger sur le modem du site pour conserver l'accès après un redémarrage. L'ordre compte : la falsification visuelle précède les dégâts, ce qui explique que plusieurs opérateurs s'en soient aperçus tardivement.

L'ampleur dit le reste. Rien qu'au Minnesota, plus de 30 réseaux d'eau communautaires ont été signalés comme ciblés, et l'activité s'est étendue à d'autres États, dont le Michigan, le New Jersey, la Géorgie et le Dakota du Sud. Plus révélatrice que le décompte a été la déclaration du directeur par intérim de la CISA en août 2026 : l'équipe trouvait encore des automates ouverts sur Internet sans aucun mot de passe, ou avec le mot de passe d'usine toujours en place. Son message au secteur tenait en deux phrases : retirez vos technologies opérationnelles d'Internet, et définissez un mot de passe.

Pourquoi c'est important si vous exploitez une installation en Arabie saoudite

Parce que c'est le même matériel, les mêmes fournisseurs et la même habitude. Les automates Rockwell, Siemens et Schneider font tourner des lignes de production, des stations de traitement, des pompes d'immeubles, des groupes froids et des systèmes de gestion technique du bâtiment (GTB) dans le Royaume comme partout ailleurs. Et l'habitude qui a ouvert la porte lors de ces incidents existe partout : l'installateur demande un accès à distance pour pouvoir vous dépanner rapidement, un port est ouvert sur le routeur du site ou un modem cellulaire autonome est installé, puis l'arrangement temporaire est oublié et devient permanent pendant des années. Personne ne le documente, personne ne le réexamine, et il n'apparaît dans aucun inventaire informatique — tout simplement parce qu'il ne relève pas de l'informatique.

C'est exactement pour cela que l'Autorité nationale de cybersécurité d'Arabie saoudite (NCA) a publié les contrôles de cybersécurité des technologies opérationnelles (OTCC-1:2022). Ils visent les installations industrielles sensibles des entités publiques et privées et imposent un socle minimal de protection aux systèmes de contrôle industriels. Le document est accompagné d'un outil d'évaluation de la conformité et d'un outil de classification des installations permettant de déterminer le degré de sensibilité d'un site donné. Si vous opérez dans l'eau, l'énergie, l'industrie ou la gestion d'installations, ces contrôles ne sont pas une lecture facultative, et la vague de cet été vous donne une raison opérationnelle d'avancer votre calendrier de mise en œuvre plutôt que de le repousser.

Le vrai fossé : l'IT est un monde, l'OT en est un autre

La plupart des organisations abordent la sécurité des technologies opérationnelles avec un état d'esprit d'informatique de bureau, et c'est là le cœur du problème. Dans le monde IT, votre première priorité est la confidentialité des données, vous appliquez des correctifs chaque mois et vous redémarrez un serveur la nuit sans réelle difficulté. Dans le monde OT, la première priorité est la continuité et la sécurité des personnes ; un automate peut tourner dix ans sans mise à jour parce que l'arrêter signifie arrêter la production, son système d'exploitation est ancien par conception, et les protocoles qu'il utilise ont été écrits à une époque qui supposait le réseau réellement isolé — ils ne comportent donc aucune authentification ni aucun chiffrement.

Conséquence : les outils habituels ne vous servent pas ici. Un antivirus sur un poste HMI peut arrêter la production, et un scan de vulnérabilités classique peut faire tomber un automate sensible. Ce qui fonctionne, c'est l'architecture : séparer les réseaux, contrôler l'unique point de passage entre eux, et rendre en lecture seule tout ce qui sort du monde de l'exploitation vers celui de la gestion.

Sept actions à mener cette semaine

• Inventoriez ce qui est réellement exposé. Demandez la liste de chaque adresse IP publique liée à vos sites, et de chaque modem cellulaire installé dans une salle de contrôle. Cette liste est généralement plus longue que prévu, et contient des appareils dont personne dans l'équipe informatique n'a connaissance.
• Fermez l'accès direct. Aucun automate ni aucun HMI ne doit être accessible depuis l'Internet public. L'accès à distance passe par un VPN ou une passerelle d'accès, avec authentification multifacteur et une autorisation limitée dans le temps, ouverte à la demande puis refermée.
• Changez chaque mot de passe par défaut. Oui, le conseil est ancien et ennuyeux — et c'est précisément ce que les enquêteurs trouvent encore grand ouvert dans de vraies installations aujourd'hui.
• Segmentez les réseaux. Le réseau bureautique et le réseau de production ne doivent pas former un seul réseau à plat. Le trafic entre eux passe par un point unique, encadré et surveillé.
• Mettez le sélecteur de mode sur Run. Le commutateur à clé physique de l'automate bloque le téléchargement de logique à distance. Un réglage simple, efficace et gratuit.
• Conservez une copie hors ligne de la logique et de la configuration des automates. Si la logique est altérée ou un mot de passe changé, une copie de confiance fait la différence entre une reprise en quelques heures et une reprise en plusieurs jours.
• Surveillez les changements, pas seulement les intrusions. L'alerte qui compte ici n'est pas « il y a un virus » mais « la logique de l'automate 7 a changé à 2 h 40 sans qu'aucun ticket de maintenance n'ait été ouvert ». Comparez régulièrement la logique en cours d'exécution à la référence approuvée et consignez les écarts.

Ce que cela implique pour vos projets de numérisation

Chaque projet de numérisation d'usine, d'entrepôt ou d'installation s'accompagne de la même demande : nous voulons un tableau de bord montrant la performance de la ligne en temps réel, et une notification sur téléphone si une pompe s'arrête. La demande est parfaitement légitime ; le risque apparaît dans la manière de la mettre en œuvre. La voie rapide consiste à connecter le système cloud directement au réseau de contrôle, ou à ouvrir un port pour qu'il puisse y lire — et c'est exactement ce qui transforme une série d'incidents comme celle-ci, d'une actualité étrangère, en incident sur votre propre site.

La bonne voie ne coûte que quelques jours de plus : une passerelle de données intermédiaire qui lit dans le monde de l'exploitation sans jamais y écrire, un sens unique de circulation des données de la production vers les tableaux de bord de gestion, une identité distincte pour chaque intégration avec le moindre privilège nécessaire, et un journal infalsifiable de chaque commande descendant du système de gestion vers l'atelier. Lorsque nous concevons des systèmes d'exploitation, d'entrepôt et de maintenance chez Origami, cette séparation n'est pas un élément de sécurité ajouté à la fin — c'est une décision d'architecture prise dès le premier jour, car l'ajouter après coup revient à reconstruire l'intégration de zéro.

La leçon pratique de la vague de cet été n'est pas que les technologies opérationnelles sont dangereuses. C'est que leurs portes les plus souvent ouvertes sont aussi les plus simples : un appareil oublié sur Internet, un mot de passe par défaut, et l'accès temporaire d'un prestataire devenu discrètement permanent. Ces trois portes se ferment par une décision de direction et une semaine de travail, pas par un budget exceptionnel.

Sources

• CISA — avis conjoint AA26-097A sur l'exploitation des automates programmables dans les infrastructures critiques (publié le 7 avril 2026, mis à jour le 22 juillet 2026).
• CISA — alerte du 30 juillet 2026 exhortant le secteur de l'eau et des eaux usées à protéger ses technologies opérationnelles.
• Autorité nationale de cybersécurité (NCA) — contrôles de cybersécurité des technologies opérationnelles (OTCC-1:2022), le document complet étant disponible au format PDF.
• FBI — alerte sur les acteurs malveillants ciblant les automates exposés sur Internet dans le secteur de l'eau et des eaux usées.