Le FBI a averti que les cyberattaques visant les services publics d’eau et d’égouts touchent des communautés dans au moins sept États américains, indiquant qu’une récente vague d’incidents dépasse largement les attaques coordonnées rapportées dans le Minnesota. Les autorités fédérales affirment que la campagne a perturbé les opérations dans plusieurs installations et se concentre sur des équipements de contrôle industriels connectés à Internet.
L’alerte, émise conjointement avec l’Agence américaine de protection de l’environnement (EPA), fait suite à des rapports selon lesquels plus de 30 services d’eau du Minnesota ont connu des incidents cybernétiques à partir de fin juillet. Bien que le FBI n’ait pas identifié les États concernés ni attribué formellement l’activité à un acteur malveillant spécifique, cet avertissement s’inscrit dans les directives récentes de la Cybersecurity and Infrastructure Security Agency (CISA), qui relie des attaques similaires à CyberAv3ngers, un groupe de piratage que les autorités américaines ont déjà associé au Corps des gardiens de la révolution islamique (CGRI) d’Iran.
Selon le FBI, les services publics ont commencé à signaler des incidents le 27 juillet, plusieurs organisations ayant subi des perturbations après que des attaquants ont ciblé des automates programmables (API) compatibles avec Internet. Ces dispositifs automatisent les processus industriels et sont largement utilisés pour contrôler les systèmes de traitement et de distribution de l’eau.
Les enquêteurs fédéraux ont indiqué que certains attaquants ont modifié les mots de passe des PLC et les paramètres réseau, empêchant les opérateurs de gérer à distance les équipements et forçant les services publics à passer à des opérations manuelles. Dans au moins un cas signalé, les enquêteurs ont trouvé des modifications non autorisées des fichiers de projets PLC après avoir identifié des incohérences dans la logique des échelles, le langage de programmation couramment utilisé pour contrôler les systèmes d’automatisation industrielle.
L’impact opérationnel variait selon les services publics. Dans le Minnesota, les autorités locales ont signalé des pannes temporaires de communication, des pertes de pression et des inondations dans certaines installations après les attaques. À Braham, des responsables municipaux ont déclaré que les assaillants avaient désactivé à distance les commandes connectées à un puits de la ville, interrompant temporairement les opérations normales jusqu’à ce que le personnel rétablisse le système. Le FBI a averti que la perte de pression dans les systèmes de distribution d’eau peut augmenter le risque que les eaux souterraines non traitées pénètrent dans les canalisations.
L’avis souligne que les petites compagnies d’électricité restent particulièrement vulnérables car beaucoup continuent d’exploiter d’anciens systèmes de contrôle industriel directement accessibles depuis Internet et disposent souvent de ressources limitées en cybersécurité.
Pour réduire le risque de compromission, le FBI et l’EPA ont exhorté les opérateurs à déconnecter les API connectés à Internet autant que possible, à remplacer les mots de passe par défaut, à restreindre l’accès réseau aux systèmes de contrôle, à maintenir la capacité d’exploiter manuellement les installations et à examiner régulièrement les programmes des API pour détecter des modifications non autorisées. Les agences recommandent également de planifier le remplacement des équipements vieillissants qui ne reçoivent plus de mises à jour de sécurité.
Cet avertissement fait suite à un avis CISA mis à jour publié en juillet, qui a élargi la liste des dispositifs de contrôle industriels supposés être ciblés dans les campagnes récentes. En plus des contrôleurs Unitronics précédemment identifiés, l’agence a indiqué que les attaquants ont également manifesté de l’intérêt pour des équipements fabriqués par Rockwell Automation, Schneider Electric et Siemens. La CISA a déclaré que les intrusions observées exploitent principalement des dispositifs exposés à Internet et des configurations de sécurité faibles, plutôt que des vulnérabilités logicielles nouvellement découvertes.
Le FBI a indiqué que l’enquête sur cette campagne multi-États se poursuit alors que les autorités fédérales continuent de collaborer avec les services publics concernés pour évaluer l’ampleur complète des attaques et renforcer la protection des infrastructures hydriques critiques.