Des cyberattaques ont touché les systèmes d’eau et d’assainissement d’au moins sept États américains, dont plus de 30 réseaux compromis dans le seul Minnesota. Pour Shane Barney, Chief Information Security Officer de Keeper Security, ces incidents ne révèlent pas un mode opératoire sophistiqué, mais des années de sous-investissement dans la sécurisation des environnements de technologie opérationnelle (OT) — une faille aujourd’hui activement exploitée par des attaquants qui savent que les contrôles d’accès et la gestion des identifiants restent le point faible de ces infrastructures critiques.
Un échec annoncé, pas un signe avant-coureur
« Le fait que plus de 30 réseaux d’eau aient été compromis dans un seul État — avec des attaques dans six autres — n’est pas un signe avant-coureur. C’est un échec qui s’est déjà produit », explique Shane Barney. Selon lui, les opérateurs d’infrastructures critiques accusent un retard en matière de cybersécurité depuis des années. Les contraintes budgétaires, le vieillissement des infrastructures et des priorités opérationnelles concurrentes seraient des facteurs réels, mais qui ne modifient en rien le calcul des risques.
Les environnements OT auraient été insuffisamment surveillés et protégés, pendant que le reste de l’informatique d’entreprise s’orientait vers des modèles de sécurité axés sur l’identité. Pour Keeper Security, les attaquants savent que cette faille existe et l’exploitent activement : la plupart des intrusions réussies dans les environnements OT partageraient les mêmes causes profondes — identifiants compromis, comptes privilégiés non gérés ou accès à distance mal contrôlé.
Des financements jugés insuffisants seuls
Keeper Security cite des initiatives comme le programme fédéral de subventions à la cybersécurité (State and Local Cybersecurity Grant Program) et l’engagement de 9 millions de dollars de l’État de New York en faveur de la sécurité des réseaux d’approvisionnement en eau comme des pas dans la bonne direction. Mais selon Shane Barney, les subventions seules ne suffiraient pas à combler cette lacune : « Les opérateurs ont besoin d’exigences de base contraignantes, ainsi que des ressources nécessaires pour y répondre. Sans ces deux éléments, le financement aide ceux qui sont disposés à agir et laisse tous les autres exposés aux risques. »