Le terrain de jeu des attaquants étatiques

Les infrastructures hydrauliques ne sont plus de simples services de proximité : elles sont devenues des cibles de haute précision pour les acteurs malveillants. La CISA a récemment lancé une alerte majeure signalant une augmentation significative du nombre d'acteurs ciblant les automates programmables (PLC). Ce n'est pas une simple theoretical threat, mais une réalité tactique illustrée par des attaques attribuées à des groupes liés à l'Iran dans le Minnesota. L'objectif ? Provoquer une perte de pression et une potentielle contamination de l'approvisionnement en eau. Dans ce scénario, l'attaquant agit comme un counterattack dévastateur, visant à paralyser le système avant même que la défense ne réalise l'intrusion.

Ces manœuvres rappellent des incidents passés où la vulnérabilité des contrôleurs industriels a été exposée. Fin 2023, le groupe iranien CyberAv3ngers avait déjà revendiqué le piratage de contrôleurs de marque Unitronics. Plus tôt, en 2021, l'attaque contre une usine en Floride montrait comment un pirate pouvait modifier le dosage d'hydroxyde de sodium, posant un risque sanitaire direct. Ici, nous ne parlons plus de simple vol de données, mais d'une tentative de prise de contrôle de la matière même qui alimente nos populations.

Une défense-in-depth défaillante par design

Aujourd'hui, le secteur souffre d'une fragilité structurelle. L'Agence américaine de protection de l'environnement (EPA) estime que environ 70% des services d'eau inspectés aux États-Unis présentent des vulnérabilités critiques en matière de cybersécurité. La modernisation des installations a créé un environnement hybride où la facilité de maintenance à distance est devenue le talon d'Achille des exploitants.

Le risque provient de plusieurs failles dans l'architecture de défense :

• L'exposition directe de technologies opérationnelles (OT) sur Internet, sans passerelle sécurisée.
• La multiplication de connexions externes non documentées, comme des modems cellulaires installés par des tiers.
• Une gestion des accès défaillante, incluant l'utilisation d'identifiants par défaut ou de mots de passe trop simples dans les petites régies municipales.

Pour contrer cela, la recommandation technique est claire : retirer dès que possible d'Internet les PLC et autres technologies exposées au public. Un environnement où chaque couche agit comme un joueur de défense en équipe nécessite une isolation stricte des systèmes critiques par rapport au réseau public.

Le vide réglementaire : un red flag pour les Maritimes

Si le constat américain est alarmant, la situation dans les Maritimes révèle une faille de coordination tout aussi préoccupante. Bien que certaines municipalités comme Halifax Water considèrent les cyberattaques comme un risque permanent et renforcent leurs systèmes, l'absence de réglementation provinciale obligeant la sécurisation des systèmes informatiques laisse de nombreuses usines de traitement d'eau potable dans une zone grise de vulnérabilité.

Dans ce contexte, les normes de certification actuelles sont jugées insuffisantes pour protéger efficacement ces infrastructures critiques. L'absence de cadre législatif contraignant crée un déséquilibre entre la gestion des risques et les moyens déployés. Contrairement aux secteurs de l'énergie ou de la finance qui disposent de protocoles rigoureux, de nombreuses infrastructures locales opèrent avec des moyens humains et financiers limités face à des groupes organisés.

Vers une stratégie de défense proactive

Aujourd'hui, la réponse doit passer par une approche de prévention active. Le Nouveau-Brunswick a pris une avance notable en adoptant des mesures de prévention pour aider ses municipalités, un exemple de gestion qui pourrait servir de modèle si les autres provinces s'alignaient sur cette vigilance.

La cybersécurité des infrastructures hydrauliques ne peut plus reposer uniquement sur la détection après coup. Elle doit intégrer :

• Des protocoles de sécurisation systématiques pour tout équipement connecté.
• Une formation accrue des élus et employés municipaux sur les vulnérabilités informatiques.
• Une surveillance rigoureuse des connexions externes, incluant celles installées par des fournisseurs ou intégrateurs.

La cyberdéfense de nos services essentiels doit cesser d'être réactive. Si les opérateurs ne renforcent pas leur defense-in-depth dès maintenant, ils continueront à jouer une partition où l'attaquant a déjà pris l'initiative du premier mouvement.