Des recherches révèlent plus de 4 000 contrôleurs de systèmes d’eau exposés

Des milliers de contrôleurs de systèmes d’eau toujours visibles en ligne

Une nouvelle étude a identifié plus de 4 000 contrôleurs industriels Rockwell Automation connectés directement à Internet, dont beaucoup sont liés à des services d’eau américains. Parmi les dispositifs exposés, 22 ont été rattachés à des villes ayant déjà subi des cyberattaques visant leurs infrastructures hydrauliques. Ces résultats soulèvent une question gênante pour le secteur de l’eau : pourquoi, après des années d’alertes fédérales, tant de systèmes critiques restent-ils visibles par quiconque scrute le réseau ?

Les équipements exposés comprennent des contrôleurs logiques programmables (PLC), ces petits ordinateurs industriels qui gèrent des processus physiques comme la pression de l’eau, le dosage des produits chimiques et le fonctionnement des pompes. Il ne s’agit pas d’appareils grand public installés derrière un routeur domestique. Ils sont censés être isolés sur des réseaux internes protégés, accessibles uniquement aux opérateurs autorisés. Lorsqu’un PLC est accessible depuis l’Internet ouvert, il devient un point d’entrée potentiel pour toute personne disposant des outils et de la motivation nécessaires, qu’il s’agisse de simples scanners opportunistes ou d’acteurs malveillants liés à des États.

Pourquoi les contrôleurs industriels exposés posent un problème de vie privée et de sécurité

Il serait tentant de classer cela dans la case « cybersécurité industrielle » et de passer à autre chose, mais les contrôleurs industriels exposés ont des conséquences qui dépassent largement les départements informatiques. Les services d’eau détiennent des données opérationnelles, des informations sur les comptes clients et des détails d’infrastructure qui, s’ils sont exposés ou manipulés, affectent des communautés entières. Un contrôleur compromis ne représente pas seulement un risque pour la confidentialité des données ; c’est un risque pour la sécurité publique, puisque des attaquants qui accèdent à un PLC peuvent, en théorie, modifier les processus de traitement ou interrompre le service.

C’est aussi, fondamentalement, une histoire de vie privée au sens large. Les clients d’un service public n’ont aucune visibilité sur la sécurité de l’infrastructure qui leur fournit l’eau, et aucun moyen réel de s’en extraire si elle ne l’est pas. Contrairement à un commerce en ligne ou à une plateforme de médias sociaux victime d’une fuite, on ne peut pas changer de fournisseur quand c’est le réseau municipal d’eau qui exploite des équipements exposés. La charge de la protection de la vie privée et de la sécurité repose entièrement sur des opérateurs qui, d’après cette étude, n’ont pas systématiquement suivi les recommandations fédérales les invitant à déconnecter ces systèmes de l’Internet public ou à bien les isoler.

Une série d’alertes qui n’a pas comblé le fossé

Les agences fédérales ont exhorté à plusieurs reprises les services d’eau et les autres opérateurs d’infrastructures critiques à supprimer les systèmes de contrôle industriels exposés sur Internet, à imposer une authentification forte et à segmenter les réseaux de technologie opérationnelle par rapport au réseau informatique de l’entreprise. Malgré ces consignes, l’analyse à l’origine de cette étude montre que le problème persiste à grande échelle, avec des milliers de contrôleurs toujours repérables à l’aide d’outils de scan Internet basiques qui ne nécessitent ni accès privilégié ni compétences avancées.

Il est particulièrement frappant que 22 des dispositifs exposés se trouvent dans des villes ayant déjà été la cible d’attaques contre leurs systèmes d’eau. Cela suggère que même lorsqu’un incident braque les projecteurs sur un service ou une région, l’exposition sous-jacente n’est pas nécessairement corrigée. La prise de conscience, à elle seule, ne se traduit pas en actions, que ce soit à cause de contraintes budgétaires, d’un manque de personnel ou de la complexité inhérente à la sécurisation a posteriori d’une infrastructure qui n’a jamais été conçue pour être connectée à Internet.

On retrouve là un schéma plus large, observé dans tous les secteurs sous tension face aux cybermenaces. Dans le domaine de la santé, par exemple, les agences ont dû activement exhorter les organisations à partager les données sur les menaces de ransomware parce que les opérateurs étaient historiquement réticents à signaler les incidents, ce qui ralentissait les efforts de défense collective. Les services d’eau semblent confrontés à un écart similaire entre les recommandations émises et les recommandations suivies, et dans les deux cas, les vulnérabilités persistent plus longtemps qu’elles ne le devraient.

Ce que cela signifie pour vous

La plupart des lecteurs ne sont pas exploitants de réseaux d’eau, mais cette étude concerne toute personne dépendant des infrastructures municipales, c’est-à-dire presque tout le monde. Les contrôleurs industriels exposés représentent un risque systémique que les consommateurs individuels ne peuvent pas corriger directement par des habitudes personnelles de sécurité comme l’utilisation d’un VPN ou de mots de passe robustes. Cela dit, en prendre conscience a de la valeur. Comprendre que des failles existent dans la sécurité des infrastructures critiques peut orienter votre façon de dialoguer avec les élus locaux, les régies des eaux et lors des périodes de consultation publique où se décident les investissements dans les infrastructures.

Si vous travaillez dans ou autour des services municipaux, du traitement de l’eau ou de tout environnement de technologie opérationnelle, cette étude est un appel direct à l’action. Les avertissements fédéraux concernant les PLC et les systèmes de contrôle exposés ne sont pas théoriques ; ils décrivent une exposition documentée et persistante que des attaquants peuvent exploiter, et exploitent effectivement.

Points à retenir pour le grand public et les opérateurs

Pour les exploitants de services publics et les équipes OT, les priorités immédiates sont claires : auditer quels équipements sont accessibles depuis l’Internet public, supprimer les expositions inutiles et mettre en place une segmentation réseau entre les systèmes de contrôle et tout le reste. Pour les citoyens, les meilleures actions sont d’ordre civique : interroger les autorités locales de l’eau sur leur posture de cybersécurité, soutenir le financement des mises à niveau de sécurité des infrastructures et se tenir informé à mesure que de nouvelles recherches de ce type continuent d’émerger. L’exposition de milliers de contrôleurs industriels ne se résorbera pas d’elle-même, et y mettre fin exige une pression soutenue à la fois des régulateurs et des communautés que ces systèmes desservent.