Plus de 4 400 automates Rockwell exposés mettent en danger les systèmes d'eau américains

Des milliers de contrôleurs de systèmes d'eau exposés sur Internet

Un nouveau scan des équipements industriels connectés à Internet a révélé plus de 4 400 automates programmables Rockwell Automation exposés, ces petits ordinateurs qui gèrent les processus physiques comme le traitement de l'eau, le pompage et le dosage chimique. Les chercheurs en sécurité de Forescout ont identifié environ 4 407 de ces appareils accessibles directement depuis l'Internet public, et 22 d'entre eux se trouvaient dans des villes ayant déjà subi des cyberattaques sur leurs systèmes d'eau. Fait notable, 19 de ces 22 contrôleurs exposés fonctionnaient avec la même configuration sous-jacente, suggérant un schéma de vulnérabilité partagé plutôt que des erreurs de configuration isolées.

Cette découverte survient dans un contexte d'augmentation documentée des attaques contre les services d'eau et d'assainissement américains. Des agences fédérales, dont le FBI et la CISA, ont émis des alertes avertissant que des acteurs malveillants ciblent activement les automates exposés sur Internet pour modifier à distance leurs paramètres, parfois sans même avoir besoin d'exploiter une vulnérabilité logicielle. Parce que ces contrôleurs sont directement exposés, des attaquants peuvent potentiellement se connecter et modifier les paramètres opérationnels simplement en trouvant l'appareil et en devinant ou forçant les identifiants.

Pourquoi l'exposition directe est le vrai problème

Contrairement à une violation de données classique impliquant des enregistrements volés, il s'agit ici d'infrastructures physiques accessibles de la même manière qu'un site Web. Les automates Rockwell sont conçus pour être gérés sur des réseaux industriels isolés, et non pour être exposés sur Internet. Lorsqu'ils sont exposés, un attaquant n'a pas nécessairement besoin d'un exploit sophistiqué ou d'une vulnérabilité zero-day. Des mots de passe faibles ou par défaut, des logiciels d'accès à distance non corrigés, ou de simples erreurs de configuration peuvent suffire pour permettre à quelqu'un d'accéder à l'appareil et de modifier les paramètres qui contrôlent des processus réels comme le dosage du chlore ou le fonctionnement des pompes.

Cette distinction est importante car elle déplace le débat sur la sécurité de « ce système a-t-il été piraté » vers « pourquoi ce système est-il accessible tout court ». Des rapports indiquent qu'au moins neuf États ont signalé des cyberattaques liées à ce modèle d'équipements de systèmes d'eau exposés, soulignant qu'il ne s'agit pas d'un risque hypothétique limité à un service public ou une région. C'est un problème structurel dans tout le secteur : les équipements industriels anciens n'ont jamais été conçus pour être exposés à Internet, et à mesure que les services publics modernisaient la surveillance et la gestion à distance, de nombreux contrôleurs se sont retrouvés directement accessibles sans segmentation adéquate ni couches d'authentification intermédiaires.

Le chevauchement entre vie privée et sécurité

Bien que cette actualité se concentre sur la technologie opérationnelle plutôt que sur les données personnelles, elle met en lumière un thème qui s'applique largement à la cybersécurité : l'exposition est souvent la cause première, pas la sophistication. Le même principe explique en grande partie les données sur les ransomwares du T2 2026 montrant une augmentation du nombre de victimes et des activités d'extorsion, où les attaquants prennent souvent pied via des points d'accès à distance exposés plutôt que par des exploits avancés. Que la cible soit un hôpital, un assureur ou une station d'épuration, le schéma se répète : des systèmes qui devraient être isolés de l'Internet public se retrouvent accessibles, et les attaquants en profitent.

Pour les organisations qui gèrent l'accès à distance à des systèmes sensibles, une segmentation réseau appropriée et des tunnels chiffrés constituent des défenses fondamentales. Les technologies telles que les VPN, lorsqu'ils sont correctement configurés, sont conçues pour se placer entre les administrateurs distants et les équipements qu'ils gèrent, plutôt que de laisser ces équipements directement exposés. Des ressources comme une description des protocoles VPN ou une explication de la manière dont le chiffrement VPN protège réellement le trafic en transit sont des points de départ utiles pour les équipes informatiques qui évaluent si leur configuration d'accès à distance fait correctement son travail. Des options plus anciennes mais toujours pertinentes comme L2TP/IPSec illustrent comment le tunneling combiné au chiffrement est depuis longtemps une brique de base pour sécuriser les connexions à distance vers des systèmes critiques, industriels ou non.

Ce que cela signifie pour vous

Si vous n'êtes pas opérateur de services d'eau, cette actualité peut sembler lointaine, mais elle reflète une vérité plus large sur la façon dont l'infrastructure moderne échoue. Les automates Rockwell exposés n'ont pas eu besoin d'une violation ou d'une liste d'identifiants divulguée pour devenir un risque ; il suffisait qu'ils soient accessibles. Cette même logique s'applique aux réseaux domestiques, aux systèmes des petites entreprises et à tout panneau de gestion d'appareil laissé ouvert sans authentification appropriée. La leçon n'est pas que les systèmes industriels sont particulièrement vulnérables, mais que tout système exposé sans segmentation, authentification forte ou accès chiffré finit par devenir une cible.

Pour les consommateurs ordinaires, ce qu'il faut retenir concerne moins les services d'eau en particulier que l'importance de comprendre comment l'accès à distance devrait fonctionner. Si votre routeur domestique, vos appareils intelligents ou votre configuration de télétravail reposent sur une exposition directe à Internet plutôt que sur des connexions chiffrées et authentifiées, vous suivez le même schéma risqué qui a conduit à ces automates exposés.

Points clés à retenir

• Plus de 4 400 automates Rockwell ont été trouvés directement exposés sur l'Internet public, dont au moins 22 dans des villes ayant déjà subi des attaques contre leurs systèmes d'eau.
• Les agences fédérales ont averti que des attaquants exploitent cette exposition directement, parfois sans avoir besoin d'une vulnérabilité logicielle.
• Le problème central est l'exposition et la faible segmentation, pas seulement les techniques de piratage sophistiquées.
• Toute personne gérant l'accès à distance à des systèmes sensibles, industriels ou personnels, doit privilégier les connexions chiffrées et authentifiées plutôt que l'exposition directe à Internet.
• Comprendre les outils de base comme les protocoles VPN et les normes de chiffrement aide à clarifier ce à quoi devrait ressembler une sécurité d'accès à distance appropriée.