La CISA alerte après la paralysie de 30 réseaux d'eau du Minnesota — 4 100 automates Rockwell exposés sur Internet attendent le prochain assaut

Dimanche 2 août 2026. Des pirates déclenchent une vague coordonnée d’attaques contre les automates programmables (PLC) de plus de 30 réseaux d’eau communautaires du Minnesota. Lundi matin, plusieurs municipalités signalent des perturbations opérationnelles — certaines sont contraintes de basculer en mode manuel. Mardi 4 août, la CISA (Cybersecurity and Infrastructure Security Agency) publie un bulletin d’alerte qui ne laisse aucune ambiguïté : retirez vos PLC d’Internet immédiatement.

L’incident est d’une gravité exceptionnelle — non par sa sophistication technique, mais parce qu’il confirme que les infrastructures critiques américaines sont exposées et exploitables à grande échelle. Les attaquants n’ont pas eu besoin d’un zero-day. Ils ont simplement scanné Internet, trouvé des PLC accessibles, et changé le mot de passe par défaut.

Ce qui s’est passé

Les premières alertes remontent à dimanche 2 août. Les pirates ciblent spécifiquement les PLC — ces automates industriels qui contrôlent physiquement les pompes, les vannes et les systèmes de traitement de l’eau. Leur mode opératoire est simple :

• Changement de mot de passe sur le PLC pour verrouiller les opérateurs légitimes.
• Modification des adresses IP pour déconnecter l’équipement du réseau de supervision.
• Altération des paramètres de configuration provoquant des dysfonctionnements et forçant le passage en mode manuel.

La Minnesota IT Services (MNIT) a activé le plan de réponse aux incidents de cybersécurité de l’État après avoir identifié ce qu’elle décrit comme « une cyberattaque coordonnée ciblant les technologies opérationnelles de plus de 30 réseaux d’eau communautaires du Minnesota ».

L’attaque ne s’est pas limitée aux petites structures dépourvues de moyens. La CISA précise que « des organisations de toutes tailles gérant des réseaux d’eau et d’assainissement sont ciblées, y compris certaines disposant de programmes de cybersécurité matures ».

Le problème : la connectivité invisible

Le bulletin de la CISA pointe un angle mort critique : les modems cellulaires non documentés. Ces équipements, installés par des opérateurs, des fournisseurs ou des intégrateurs système, créent des passerelles Internet directes vers le réseau OT (technologie opérationnelle) sans que l’équipe de sécurité en ait connaissance.

Censys, l’entreprise de recherche en cybersécurité, a quantifié l’exposition dans un rapport publié le 3 août :

• Plus de 4 100 hôtes Rockwell Automation/Allen-Bradley exposés sur Internet.
• Plus de 4 100 hôtes Siemens accessibles publiquement.
• Plus de 2 000 hôtes Schneider Electric connectés directement.

Soit un total de plus de 10 000 automates industriels que n’importe quel attaquant disposant d’un moteur de recherche comme Shodan ou Censys peut découvrir en quelques secondes.

Plus inquiétant encore : près de la moitié des équipements Rockwell exposés sont accessibles via des réseaux grand public — Verizon Business, AT&T, T-Mobile, Comcast, Charter et Starlink — ce qui confirme l’hypothèse des modems cellulaires sauvages.

Concernant les MicroLogix 1400 spécifiquement mentionnés dans le bulletin de la CISA, Censys note qu’une proportion significative tourne sur des versions de firmware en fin de vente (EoS), donc sans correctif possible.

Ce que la CISA recommande

L’agence américaine ne tourne pas autour du pot. Ses recommandations sont :

1. Retirer immédiatement les PLC et tout équipement OT de l’Internet public. Pas de délai, pas d’exception.
2. Si le retrait est impossible, utiliser un VPN ou une passerelle dédiée pour l’accès distant — jamais une exposition directe.
3. Changer tous les mots de passe par défaut et limiter l’accès à une liste blanche d’adresses IP.
4. Pour les propriétaires de Rockwell Automation MicroLogix 1400, suivre le guide de récupération d’accès publié par le constructeur si les mots de passe ont été modifiés par l’attaquant.

La CISA insiste : les équipements exposés sont vulnérables à la défiguration, aux changements de configuration, aux perturbations opérationnelles et — dans le pire des cas — aux dommages physiques. Une pompe qui ne s’arrête pas au bon moment, c’est une canalisation qui éclate.

Le tableau qui fait froid dans le dos

Ce tableau représente 10 000 portes d’entrée vers des infrastructures critiques. Chaque ligne est une surface d’attaque qui contredit la directive NIS 2 européenne et le cadre NIST CSF 2.0 — les deux exigeant la segmentation réseau et la réduction de la surface d’attaque comme prérequis de toute stratégie de cybersécurité.

Pourquoi les réseaux d’eau sont le maillon faible

Les infrastructures hydrauliques cumulent trois vulnérabilités structurelles :

• Budgets de cybersécurité faibles. Une station d’épuration municipale n’a pas le budget sécurité d’une banque. Les PLC sont souvent installés par des intégrateurs qui privilégient l’accès distant facile au détriment de la sécurité.
• Cycle de vie long. Un PLC installé en 2005 peut rester en production pendant vingt ans. Son firmware n’est plus maintenu, mais l’équipement continue de fonctionner — et d’être exposé.
• Convergence IT/OT mal maîtrisée. La numérisation des infrastructures critiques a connecté les réseaux OT à Internet sans que les équipes de sécurité OT — quand elles existent — aient les compétences réseau pour maîtriser cette exposition.

Verdict

La CISA a émis une alerte qui aurait dû être inutile. En 2026, exposer un PLC sur Internet sans VPN ni authentification forte n’est pas une erreur de configuration — c’est une négligence structurelle. Les 10 000 automates recensés par Censys sont 10 000 incidents en puissance.

Pour les responsables d’infrastructure critique : si vous ne savez pas combien de vos PLC sont accessibles depuis Internet, faites le scan aujourd’hui. Les attaquants l’ont déjà fait dimanche. La seule différence entre vous et le Minnesota, c’est qu’ils sont passés en premier.

Références

1. CISA warns of cyberattacks disrupting U.S. water utilities — BleepingComputer, 3 août 2026
2. Censys — Internet-exposed PLCs in water and wastewater systems, 3 août 2026
3. CISA Alert AA26-xyz — Internet-Exposed OT Assets in Water and Wastewater Systems, 4 août 2026
4. Minnesota IT Services — Coordinated cyberattack incident response activation, août 2026