Le FBI enquête sur une brèche ransomware chez Micro-Comm dans le secteur de l'eau

Ce qui s'est passé chez Micro-Comm et pourquoi c'est important

Les autorités fédérales chargées de l'application de la loi et de la cybersécurité enquêtent sur une attaque ransomware et un incident d'exfiltration de données chez Micro-Comm, un fabricant basé à Olathe, au Kansas, de contrôleurs logiques programmables (PLC) et de technologies d'automatisation industrielle utilisées par les installations d'eau et d'eaux usées. Le FBI a ouvert une enquête sur la brèche, qui impliquait des attaquants ayant non seulement chiffré des systèmes, mais aussi volé des données du réseau de l'entreprise.

L'implication des enquêteurs fédéraux montre à quel point les responsables traitent sérieusement tout incident touchant la chaîne d'approvisionnement du secteur de l'eau. Micro-Comm n'exploite pas elle-même des stations de traitement ou des réseaux de distribution, mais ses PLC et ses produits d'automatisation sont intégrés dans les technologies opérationnelles (OT) sur lesquelles les services publics d'eau s'appuient pour gérer les pompes, les vannes et les processus de traitement. Une attaque ransomware contre un fournisseur comme celui-ci soulève la question de savoir si des données volées, des identifiants ou des informations produit pourraient être utilisés pour cibler les services publics qui dépendent de ces équipements.

C'est précisément pour cela qu'une attaque ransomware dans le secteur de l'eau contre un fournisseur peut avoir autant d'importance, voire plus, qu'une attaque contre un service public lui-même. Un fournisseur compromis se situe en amont de potentiellement des dizaines, voire des centaines de clients en aval.

Comment les fournisseurs tiers ICS/SCADA deviennent des vecteurs d'attaque pour les infrastructures critiques

Les fournisseurs de systèmes de contrôle industriels (ICS) et SCADA occupent une position particulièrement sensible dans l'écosystème des infrastructures critiques. Ces entreprises maintiennent souvent des outils d'accès à distance, des fichiers de configuration, des schémas de réseau et des identifiants de support liés aux systèmes opérationnels de leurs clients. Lorsque l'environnement informatique d'un fournisseur est lui-même compromis, ce trésor d'informations peut devenir une feuille de route pour les attaquants cherchant à se déplacer latéralement dans les réseaux des clients.

Le cas Micro-Comm s'inscrit dans un schéma plus large que les chercheurs en sécurité et des agences comme la CISA ont signalé à plusieurs reprises : les systèmes d'eau et d'eaux usées sont souvent des services publics plus petits, aux ressources limitées, qui s'appuient fortement sur des fournisseurs tiers pour l'ingénierie, la maintenance et le support à distance. Cette dépendance est pratique et souvent nécessaire, mais elle signifie aussi que la posture de sécurité du service public n'est aussi solide que le maillon le plus faible de sa chaîne d'approvisionnement. Un groupe ransomware n'a pas besoin de s'introduire directement dans une station de traitement de l'eau s'il peut plutôt compromettre l'entreprise qui a construit ou maintient les contrôleurs de la station.

Le schéma de la chaîne d'approvisionnement ransomware : des cabinets d'avocats aux services publics d'eau

Micro-Comm n'est pas un exemple isolé d'attaquants ciblant l'infrastructure de soutien d'un secteur plutôt que ses acteurs les plus visibles. Les groupes de ransomware et d'extorsion se sont de plus en plus concentrés sur les organisations qui détiennent des données sensibles ou un accès privilégié pour le compte d'autrui, précisément parce que compromettre une telle entité peut offrir un effet de levier sur de nombreuses victimes en aval à la fois. Dans le secteur juridique, par exemple, plus de 200 attaques par extorsion silencieuse ont frappé des cabinets d'avocats en 2025 et début 2026, une tendance alimentée par le fait que les cabinets d'avocats détiennent souvent des données clients confidentielles qui sont précieuses à voler et faciles à monétiser par l'extorsion.

La même logique sous-jacente s'applique aux fournisseurs industriels desservant les infrastructures critiques. Que la cible soit un cabinet d'avocats détenant des dossiers clients ou un fabricant de PLC détenant des configurations réseau pour des services publics d'eau, le calcul de l'attaquant est le même : trouver l'organisation dont la compromission crée le plus large rayon d'explosion possible. En considérant l'incident Micro-Comm sous cet angle, il devient clair qu'il fait partie d'un schéma systémique de ciblage de la chaîne d'approvisionnement, et non d'un événement isolé confiné au secteur de l'eau.

Leçons de sécurité : accès à distance, VPN et segmentation réseau pour les systèmes industriels

Pour les services publics d'eau et les autres opérateurs d'infrastructures critiques, des incidents comme celui-ci renforcent quelques pratiques de sécurité fondamentales. L'accès à distance aux environnements OT doit être strictement contrôlé, idéalement par des connexions dédiées et surveillées plutôt que par des outils d'accès à distance partagés ou génériques qu'un fournisseur pourrait également utiliser avec d'autres clients. La segmentation réseau entre les systèmes informatiques et OT reste l'un des moyens les plus efficaces de contenir une brèche, garantissant qu'une infection ransomware sur un réseau d'entreprise ne puisse pas facilement atteindre les contrôleurs qui gèrent les processus physiques.

Les services publics devraient également traiter la gestion des risques liés aux fournisseurs comme une responsabilité continue plutôt que comme un exercice de vérification ponctuel. Cela signifie comprendre quelles données un fournisseur détient sur vos systèmes, comment ce fournisseur sécurise son propre réseau, et quelles obligations de notification d'incident existent dans vos contrats. Les VPN et les canaux d'accès à distance chiffrés sont des outils utiles dans ce contexte, mais ils ne sont aussi solides que l'hygiène des identifiants et la segmentation réseau qui les entourent.

Ce que cela signifie pour vous

Si votre organisation dépend des produits Micro-Comm ou travaille avec des fournisseurs de la chaîne d'approvisionnement de l'eau et des eaux usées, la priorité immédiate est de déterminer si certains de vos identifiants, détails réseau ou données de configuration ont pu être exposés. Contactez directement le fournisseur pour obtenir des précisions sur l'étendue de la brèche et suivez les orientations des autorités fédérales de cybersécurité à mesure que l'enquête progresse. Pour les opérateurs de services publics plus généralement, c'est le bon moment pour auditer quels fournisseurs tiers ont un accès à distance aux systèmes OT et confirmer que les contrôles de segmentation et de surveillance sont réellement appliqués, et non seulement documentés sur le papier.

Même pour les lecteurs en dehors du secteur de l'eau, la brèche Micro-Comm rappelle qu'une attaque ransomware dans le secteur de l'eau reste rarement confinée à une seule entreprise. Les chaînes d'approvisionnement relient les fournisseurs, les services publics et, finalement, le public qui dépend d'un service d'eau fiable, ce qui explique pourquoi la sécurité des fournisseurs mérite la même attention que l'infrastructure qu'elle soutient.

Restez informé à mesure que cette enquête se déroule, examinez les politiques d'accès tiers de votre organisation et traitez les brèches chez les fournisseurs comme un signal pour réévaluer votre propre segmentation réseau plutôt que comme un problème qui ne vous concerne pas.