Les attaques se multiplient. Le secteur a besoin de solutions de sécurité OT certifiées

Les compagnies des eaux sous le feu des critiques. Partout. Les réseaux opérationnels sont de plus en plus souvent la cible de cyberattaques. Explications.

Les récentes cyberattaques contre les réseaux américains d’eau potable et d’assainissement montrent que l’impact d’une cyberattaque sur les technologies opérationnelles (OT) va bien au-delà de la perte de données ou du cryptage des systèmes.

Quand les automates programmables (PLC), les interfaces homme-machine (IHM), les pompes, les vannes ou les systèmes de traitement de l’eau sont perturbés, ça a un impact direct sur la société. Les cyberattaques affectent donc non seulement la disponibilité des systèmes, mais aussi, potentiellement, la santé publique, l’environnement et les activités économiques.

Les attaques aux États-Unis constituent également un signal d’alarme pour les compagnies des eaux belges. Que peut-on tirer de la situation aux États-Unis, que s’est-il passé exactement et aurait-on pu éviter cela à temps ?

Confiance ébranlée

Les infrastructures hydrauliques, tant aux États-Unis qu’en Belgique, reposent fortement sur la confiance. Les habitants comptent sur la sécurité de leur eau potable. Les opérateurs doivent pouvoir compter sur le fait que les IHM reflètent correctement les processus physiques. Et les compagnies des eaux partent du principe que les connexions externes avec les stations d’épuration, les stations de pompage, les stations de relevage et autres systèmes sont sécurisées. Les cyberattaques peuvent ébranler cette confiance en mettant en péril la disponibilité, la précision, l’intégrité et la sécurité des systèmes.

L’un des principaux défis réside dans l’infrastructure complexe et géographiquement dispersée des compagnies des eaux. Celles-ci combinent souvent des stations d’épuration et des contrôleurs hérités avec des pompes et des stations de relevage, des puits, des réservoirs, des sites mobiles et des accès externes pour des tiers et des équipementiers. La connectivité offre des avantages opérationnels importants, mais crée en même temps de nouvelles voies d’accès qu’il faut gérer.

L’ampleur du problème ressort également des chiffres de l’Agence américaine de protection de l’environnement (EPA). En 2026, l’organisation a signalé que des vulnérabilités avaient été corrigées chez 277 compagnies des eaux, en plus des 350 vulnérabilités traitées en 2025. Les vulnérabilités liées à l’exposition à Internet, à l’authentification et au contrôle d’accès restent particulièrement fréquentes.

De l’accès à la perturbation opérationnelle

Des alertes récentes des autorités montrent que les pirates n’ont pas toujours besoin de logiciels malveillants OT sophistiqués pour causer des dégâts. Quand les systèmes opérationnels ne sont pas suffisamment sécurisés, des techniques d’attaque relativement simples suffisent déjà à leur donner accès.

En 2023, puis à nouveau dans un avertissement plus général datant de 2024, les autorités américaines, britanniques et alliées ont signalé qu’un groupe APT lié au gouvernement iranien avait compromis des automates programmables (PLC) connectés à Internet en exploitant des mots de passe par défaut ou l’absence de mot de passe. Les chercheurs ont identifié plus de 75 appareils touchés aux États-Unis, dont 34 dans le secteur de l’eau potable et des eaux usées. Des modifications dans la logique ladder ont également été constatées et les opérateurs ne pouvaient plus accéder à distance aux systèmes.

Une alerte conjointe datant de 2025 a par ailleurs mis en évidence des hacktivistes pro-russes qui utilisaient des connexions VNC exposées à Internet et insuffisamment sécurisées pour accéder à des IHM dans les secteurs de l’eau, de l’énergie et de l’alimentation. Même si ces attaques n’étaient pas toujours très sophistiquées, cet accès a tout de même entraîné des perturbations opérationnelles et des dégâts matériels.

Réglementer ne suffit pas. C’est une question de ressources

Selon Jim Richberg, Head of Cyber Policy & Field CISO, Fortinet, cette évolution met surtout en évidence un problème structurel chez les petites entreprises de distribution d’eau :

« Les attaques incessantes et la compromission réussie des systèmes d’approvisionnement en eau attirent l’attention sur un problème qui existe depuis longtemps chez les petites entreprises de distribution d’eau et de traitement des eaux usées. Ces entreprises représentent 81 % de toutes les entreprises publiques de distribution d’eau aux États-Unis. En même temps, elles sont responsables de 93 % des infractions aux normes fédérales relatives à l’eau potable. »

Jim Richberg souligne que la réglementation seule ne suffit pas. Selon lui, il faut aussi des moyens et de l’expertise pour améliorer réellement la sécurité. Beaucoup de petites compagnies des eaux n’en disposent pas elles-mêmes et dépendent donc d’une expertise externe, qu’elle soit rémunérée ou bénévole.

L’IA joue désormais aussi un rôle. En août 2026, la NSA et ses organisations partenaires ont mis en garde contre des activités utilisant des outils de scan Internet et des scripts basés sur l’IA pour identifier des automates programmables (PLC) exposés ou insuffisamment segmentés. Ces scripts sont déguisés en outils de surveillance légitimes. Les autorités considèrent ces activités comme une phase de reconnaissance et de préparation à d’éventuelles cyberopérations futures. Du coup, il est de plus en plus facile de repérer des systèmes industriels vulnérables. L’IA et l’automatisation facilitent l’identification des systèmes et la cartographie des voies d’attaque possibles.

Un réseau privé n’est pas forcément sécurisé

Pour de nombreuses installations hydrauliques dispersées sur le terrain, la connectivité mobile est indispensable. Ainsi, les stations de pompage, stations de traitement des eaux usées, mais aussi les puits, les réservoirs et les sites de télémétrie où la fibre optique n’est pas une option pratique. Le problème ne réside pas dans la technologie mobile en soi, mais dans le modèle de confiance. C’est justement une armoire non surveillée et éloignée qui peut constituer un point faible. Un tel site peut être relié au réseau opérationnel via une connexion permanente et fiable. Un pirate qui parvient à accéder à cette connexion pourrait ainsi trouver un chemin vers des systèmes critiques.

Un APN privé peut aider à séparer les réseaux les uns des autres, mais ne constitue pas une barrière de sécurité totale. L’authentification, le chiffrement, la segmentation, les politiques d’accès, l’inspection, la journalisation et la surveillance restent indispensables. Le National Cyber Security Centre (NCSC) britannique souligne d’ailleurs qu’un APN assure certes la séparation, mais n’offre pas de chiffrement au sein du réseau de télécommunications.

Les principes de sécurité pour l’OT du NCSC visent donc à éliminer les ports entrants exposés, à utiliser des passerelles contrôlées, à centraliser les connexions et à limiter les conséquences d’une éventuelle compromission.

La sécurité, un élément de la résilience

Les compagnies des eaux n’ont pas besoin de nouveaux produits de cybersécurité isolés. Ce dont elles ont besoin, c’est d’une architecture capable d’assurer une sécurité cohérente, de la station d’épuration jusqu’aux systèmes opérationnels situés à la périphérie du réseau, sans ajouter de complexité supplémentaire pour des équipes qui travaillent souvent déjà avec des ressources limitées.

Fortinet est le seul fournisseur de cybersécurité à disposer d’un portefeuille complet de solutions de sécurité OT certifiées selon la norme CEI 62443-4-2, la norme internationalement reconnue en matière de sécurité au niveau des composants dans les systèmes d’automatisation et de contrôle industriels. Cette certification signifie que les solutions OT de Fortinet ont été évaluées de manière indépendante selon des exigences strictes portant notamment sur le développement sécurisé, la sécurité dès la conception et la résilience dans les environnements industriels.

La technologie à elle seule ne peut pas remplacer les sauvegardes testées, la gestion contrôlée des modifications et les procédures de reprise bien rodées. En revanche, elle peut limiter l’exposition, contrôler l’accès aux contrôleurs critiques, détecter les comportements non autorisés et contenir un incident avant qu’il ne se transforme en un problème opérationnel plus grave.