Les États-Unis enquêtent sur un lien avec l’Iran après une cyberattaque visant plus de 30 réseaux d’eau du Minnesota

Les attaques ont commencé plus tôt dans la semaine du 27 juillet 2026 — elles auraient débuté lundi — et ont été publiquement décrites par des responsables de l’État et des autorités fédérales le jeudi 30 juillet⁠2⁠10. Les pirates se sont attaqués aux technologies opérationnelles, c’est-à-dire aux équipements et logiciels qui permettent à un petit service public de gérer à distance les pompes, la pression, les vannes et le traitement de l’eau, plutôt que de demander à quelqu’un de tourner chaque commande sur place⁠2⁠10. Dans certains cas, les intrusions ont entraîné une perte de pression et des inondations ; dans d’autres, des avis de faire bouillir l’eau et le passage à un fonctionnement manuel⁠2⁠3⁠4. Les responsables ont insisté sur le fait que l’eau potable restait salubre, une précision cruciale qu’ils ont répétée à mesure que l’ampleur de l’attaque se révélait⁠2.

Le Minnesota était au cœur de l’affaire, mais celle-ci ne s’est pas limitée à cet État. Le FBI a ensuite indiqué que des services publics d’eau et d’assainissement d’au moins sept États, dont le Minnesota et le Michigan, avaient signalé des incidents cette semaine-là⁠2⁠3⁠10. CBS News a rapporté que les enquêteurs fédéraux cherchaient à déterminer si l’Iran avait orchestré l’attaque, tandis qu’ABC News a indiqué que, selon des responsables américains, des systèmes du Minnesota pourraient avoir été ciblés par des groupes iraniens⁠2⁠6. CNN a décrit une vaste cyberattaque visant des réseaux d’eau dans plusieurs États et ayant inquiété les responsables américains, les avis de faire bouillir l’eau et le fonctionnement manuel illustrant à quelle vitesse une intrusion à distance peut devenir une urgence locale⁠4.

Sur le terrain, les conséquences étaient concrètes et variaient d’un endroit à l’autre, comme c’est toujours le cas lorsque de petits réseaux sont touchés. Des responsables de l’État ont déclaré que l’attaque avait ciblé les technologies opérationnelles de plus de 30 réseaux, dont celui de Plymouth, dans le Minnesota, plus tôt cette semaine-là⁠10. Fortune a rapporté que des pirates avaient mis à l’arrêt l’usine de traitement de l’eau d’une ville du Minnesota, qui n’a été sauvée que par son château d’eau — rappelant à quel point la sécurité de l’approvisionnement en eau aux États-Unis repose encore sur la gravité et les réserves stockées lorsque les ordinateurs tombent en panne⁠11. La tendance générale — perte de pression, inondations, avis de faire bouillir l’eau, consignes d’économie — a montré que les attaquants pouvaient perturber les opérations sans empoisonner qui que ce soit⁠2⁠3⁠4.

Dès le début, la question n’était pas seulement de savoir ce qui avait été endommagé, mais aussi qui l’avait fait. Le Washington Post a rapporté que les services de renseignement américains estimaient que Téhéran était probablement à l’origine d’une attaque coordonnée visant plus de 30 réseaux municipaux d’eau de l’État⁠5. WIRED a publié une note du groupe de partage d’informations du secteur de l’eau, WaterISAC, établissant un lien entre des dizaines d’attaques contre des services publics du Minnesota et Téhéran⁠8. WIRED a précisé que ces attaques s’inscrivaient dans le contexte d’une guerre menée par les États-Unis contre l’Iran, lancée fin février, après que des pirates iraniens eurent riposté par des intrusions, notamment contre Stryker, une entreprise de fournitures médicales⁠8.

Cet historique est important, car cette méthode semblait familière. CBS News a indiqué qu’un groupe lié au Corps des gardiens de la révolution islamique iranien avait utilisé une méthode similaire pour s’introduire dans des installations hydrauliques en 2023⁠2. Ce parallèle a donné aux enquêteurs une première hypothèse : un acteur qui avait déjà pratiqué l’infiltration d’infrastructures critiques affinait désormais son ciblage des logiciels permettant aux villes de gérer à distance leurs réseaux d’eau. Mais la familiarité n’est pas une preuve, et les sources ne s’accordent pas sur la portée des conclusions à tirer dans cette affaire.

Après examen de la note sectorielle obtenue par ses soins, Nextgov/FCW a rapporté que la CISA avait demandé aux services publics de déconnecter les systèmes exposés, et que la note mentionnait l’Iran sans présenter directement d’éléments attribuant au pays le dernier incident au Minnesota⁠9. CBS a également rapporté que les enquêteurs n’écartaient pas la possibilité que quelqu’un ait voulu faire croire à une origine iranienne, en exploitant le conflit à l’étranger⁠2. Autrement dit, les informations publiques font apparaître simultanément deux éléments : l’évaluation rapportée par le Post selon laquelle Téhéran serait probablement impliqué, et l’absence explicite de preuves directes d’attribution dans la note opérationnelle effectivement reçue par les services publics⁠5⁠9.

La réponse fédérale reflétait ce tiraillement entre urgence et incertitude. Le FBI et l’EPA ont lancé une alerte nationale à l’intention des services publics le jeudi 30 juillet 2026, avertissant que des pirates tentaient de perturber des infrastructures critiques de l’eau⁠3. La CISA a transmis le même message pratique — déconnecter les systèmes exposés d’Internet — sans trancher la question de l’identité des auteurs⁠9⁠7. Pour les opérateurs, l’attribution peut attendre ; l’isolement, non. Pour le public, cette incertitude est plus difficile à supporter, car la peur se propage plus vite qu’une chute de pression quand personne ne veut désigner l’intrus avec certitude.

Ce qui manque au dossier est aussi révélateur que ce qu’il contient. Aucun des textes sources fournis ne comprend de citation officielle verbatim pouvant être reproduite, et la liste complète des sept États touchés, au-delà du Minnesota et du Michigan, n’est pas confirmée par les éléments disponibles. Les conclusions définitives de l’enquête et l’attribution de l’attaque ne sont pas non plus établies dans ces sources. C’est normal dans les premiers jours d’un incident visant des infrastructures critiques, quand les alertes sont diffusées avant que les analyses forensiques ne soient terminées ; mais cela signifie que toute affirmation catégorique sur les motivations doit être considérée comme provisoire.

Le plus prudent est de voir les événements de cette semaine comme un avertissement qui a fonctionné, de justesse. Une attaque coordonnée a trouvé la même porte d’accès à distance dans des dizaines d’endroits, provoqué des dégâts matériels réels mais limités, et contraint les opérateurs à recourir à des solutions de repli manuelles que les anciennes conceptions — châteaux d’eau, vannes, opérateurs humains — pouvaient encore assurer⁠2⁠3⁠11. La prochaine question est de savoir si les services publics en première ligne recevront l’aide nécessaire pour rester déconnectés là où c’est important, et si les enquêteurs pourront combler le fossé de l’attribution sans exagérer ce que les premières notes ont réellement établi⁠9⁠5⁠2.