Longtemps, les cyberattaques visaient des données ou des rançons. Aujourd'hui, elles franchissent une frontière : celle du monde physique. En s'attaquant à l'eau, ressource vitale et symbole de confiance, les agresseurs ne cherchent plus seulement le profit. Ils cherchent à démontrer une capacité de nuisance. La cyberattaque change alors de dimension : elle devient un instrument potentiel de sabotage, de déstabilisation et de pression géopolitique.
De l'écran au robinet
Les installations de production et de traitement de l'eau reposent aujourd'hui sur une combinaison d'équipements physiques et de systèmes numériques. Pompes, vannes, capteurs, systèmes de dosage, niveaux des réservoirs ou pression du réseau sont surveillés et pilotés par des systèmes industriels. Cette transformation numérique améliore considérablement l'exploitation, mais elle crée aussi des dépendances.
Une attaque ne doit donc plus être envisagée uniquement sous l'angle de la perte de données :
elle peut affecter la capacité à surveiller, contrôler ou maintenir un processus physique essentiel.
Et c'est précisément là que la cyberattaque change de nature.
Une menace qui n'a plus rien de théorique
En février 2021, à Oldsmar, en Floride, un opérateur voit son curseur bouger seul sur son écran. Un intrus vient de prendre le contrôle à distance du système et fait grimper le taux d'hydroxyde de sodium de l'eau de 100 à 11 100 parties par million. L'opérateur réagit rapidement et rétablit le réglage. La catastrophe est évitée.
À l'époque, l'incident paraît isolé. Il ne l'est plus.
En novembre 2023, CyberAv3ngers compromet des automates Unitronics de fabrication israélienne exposés sur Internet³. Aux États-Unis, la Municipal Water Authority of Aliquippa, en Pennsylvanie, doit notamment basculer certains équipements en fonctionnement manuel. Parmi les faiblesses observées : l'utilisation du mot de passe par défaut « 1111 » ⁴.
Puis les incidents se rapprochent.
En juillet 2026, des pirates pro-russes ciblent une installation de traitement de l'eau à Saint-Noël, au Bas-Saint-Laurent, prennent le contrôle à distance d'une partie du procédé et diffusent les images de leur intrusion sur Telegram. Les mécanismes de sécurité permettent d'éviter une contamination de l'eau².
Quelques jours plus tard, plus de 30 réseaux d'eau du Minnesota sont visés en deux jours. Des perturbations opérationnelles, notamment des pertes de pression et des débordements, sont observées, tandis que d'autres incidents sont signalés dans plusieurs États américains¹ ⁵.
Pris séparément, chacun de ces événements pourrait sembler anecdotique. Mis bout à bout, ils dessinent une tendance : les systèmes industriels qui permettent de produire et de distribuer l'eau potable sont désormais directement exposés aux confrontations du cyberespace.
Pourquoi l'eau est une cible de choix ?
Le secteur cumule des fragilités : des installations souvent petites et sous-financées, directement exposées à Internet, avec une mauvaise séparation entre réseaux bureautiques (TI) et réseaux industriels (OT). En France, l'ANSSI a recensé 46 entités du secteur de l'eau touchées par un incident entre janvier 2021 et août 2024, pointant des protocoles industriels vieillissants et la généralisation de la télégestion⁶ ⁷. Ajoutez la multiplication des capteurs connectés, et la surface d'attaque explose pour des organisations qui, bien souvent, n'ont ni les moyens ni les ressources de la défendre.
L'effet domino
La véritable portée d'une attaque contre une station du traitement de l'eau ne se mesure pas à l'installation touchée, mais aux conséquences qu'elle provoque. Le jour où elle s'arrête, c'est toute la chaîne des services et des citoyens qui dépendent de l'eau qui entre en crise.
Au premier rang, le citoyen : privé d'une eau sûre au robinet, il ne peut plus boire, cuisiner ni assurer son hygiène de base. Autour de lui, tout un écosystème vacille.
Sans eau potable, un hôpital voit ses capacités de soins se dégrader rapidement : hygiène, stérilisation et dialyse deviennent impossibles à maintenir normalement. Faute d'alternative, la seule issue peut être l'évacuation des patients, comme cet hôpital texan contraint de transférer 193 personnes, dont des nouveau-nés⁸ ⁹.
Écoles et garderies ferment, faute de respecter les normes sanitaires. Restaurants et agroalimentaire doivent cesser tout usage de l'eau pour la préparation des aliments¹⁰.
Et si des eaux non traitées s'infiltrent dans les canalisations, c'est un avis d'ébullition qui frappe toute une population¹¹.
Une seule cyberattaque provoque ainsi, en cascade, une crise opérationnelle, une crise de continuité pour des dizaines d'organisations, une crise de communication et, presque toujours, une crise de confiance.
Car même lorsque la qualité de l'eau n'est pas compromise, l'incertitude suffit à déclencher l'inquiétude.
« Peut-on boire l'eau ? »
« Combien de temps ça va durer ? »
Dans une infrastructure aussi sensible, l'absence d'information laisse vite place à la rumeur.
Qui attaque, et pourquoi ?
Longtemps, la question « qui attaque ? » appelait une réponse simple : des cybercriminels en quête d'argent.
Le cybercriminel revendique lui aussi ses attaques, mais pour réclamer une rançon. Un autre type d'attaquant a émergé, dont le mobile n'est plus l'appât du gain, mais la volonté de semer la terreur, le chaos et de déstabiliser un pays, souvent par rejet de ses positions politiques.
C'est ce déplacement du profit vers la terreur qui fait basculer la cyberattaque dans le cyberterrorisme.
Ce mobile se traduit de deux façons :
- Semer la peur maintenant;
- Installer une menace qui pèsera plus tard.
Trois exemples récents en dessinent toute l'étendue.
Faire peur, ouvertement.
En avril 2025, en Norvège, un groupe pro-russe ouvre à distance la vanne d'un barrage à Bremanger, libérant des millions de litres d'eau : une action que les renseignements norvégiens interpréteront comme un épisode de guerre hybride destiné à semer la peur et le chaos¹² ¹³.
Faire peur, sous couvert d'une cause.
En 2023, le groupe CyberAv3ngers, affilié aux Gardiens de la révolution iraniens, s'en prend à des stations d'eau américaines au nom d'une idéologie tout en servant les intérêts géopolitiques de Téhéran³ ⁴.
Déstabiliser, en silence.
En février 2024, la CISA, le FBI et la NSA révèlent que le groupe chinois Volt Typhoon cible des organisations à Guam et ailleurs aux États-Unis. Il s'est infiltré dans les secteurs stratégiques tel que l’énergie, et des systèmes d'eau et d'assainissement. Loin de l'espionnage classique, ces acteurs installent des accès dormants pour saboter au moment de leur choix, en cas de conflit. Certaines intrusions sont restées invisibles plusieurs années¹⁴ ¹⁵.
Peur affichée ou menace en sommeil, le but est le même : la véritable cible n'est jamais la machine, c'est la population et la stabilité d'un pays. L'eau n'est plus seulement piratée : elle devient une arme.
Les attaques contre l'eau marquent un tournant : certaines cyberattaques franchissent désormais la frontière entre le numérique et le monde physique, et basculent d'une logique d'argent vers une logique de terreur et de sabotage stratégique.
Protéger les systèmes reste indispensable. Mais la véritable résilience se joue ailleurs :
- Dans la capacité à continuer d'exploiter;
- À décider dans l'incertitude;
- À communiquer quand le numérique ne répond plus.
Car derrière chaque installation se cache une responsabilité qui dépasse la technique : maintenir un service vital et préserver la confiance de toute une population.
5 réflexes pour garder le contrôle quand l’eau est attaquée
Cartographier la dépendance à l'eau, pas seulement les systèmes qui la contrôlent
Identifiez toutes les activités qui s'arrêtent sans eau potable pas uniquement l'usine elle-même, mais l'hôpital, l'école, le service d'incendie, le restaurant du coin. Cette cartographie révèle qui doit être alerté en priorité et dans quel délai, avant même qu'une attaque ne survienne.
Préparer un mode dégradé manuel et l'exercer réellement
Les incidents qui ont été maîtrisés (Oldsmar, Saint-Noël) l'ont été grâce à un opérateur humain capable de reprendre le contrôle ou à un mécanisme physique de sécurité indépendant du numérique. Un plan qui suppose que les systèmes automatisés fonctionneront toujours n'est pas un plan de continuité, il faut savoir opérer en manuel, et le pratiquer en exercice, pas seulement sur papier.
Préparer la communication avant la question « peut-on boire l'eau ? »
Le doute se propage plus vite que la contamination elle-même. Ayez des messages-clés pré-rédigés pour la population, les médias et les organisations partenaires (hôpitaux, écoles, services d'urgence), et un porte-parole identifié capable de parler dans l'heure suivant la détection d'un incident, même pour dire « nous enquêtons encore ».
Segmenter et surveiller la frontière TI/OT
La majorité des incidents recensés exploitent une mauvaise séparation entre réseaux bureautiques et réseaux industriels, ou des accès laissés par défaut (mots de passe, télégestion non protégée). Un audit de cette frontière et la suppression des accès à distance non essentiels reste la mesure la plus simple avec le meilleur rapport impact/coût.
Activer une cellule de crise inter organisationnelle, pas seulement technique
Une attaque sur l'eau n'est pas qu'un incident informatique : c'est simultanément une crise opérationnelle, sanitaire, de continuité et de confiance. La cellule de crise doit donc réunir dès le départ les TI, les opérations, les communications et les partenaires externes concernés (santé publique, sécurité incendie) pas seulement l'équipe cyber.
Pour préserver la fluidité de lecture, les sources ne sont pas citées dans le corps du texte. Les chiffres en exposant renvoient à la liste complète des références, disponible en fin d'article
Les numéros ci-dessous correspondent aux appels de notes (chiffres en exposant) figurant dans l'article. Une même source peut être citée à plusieurs reprises et conserve alors le même numéro. 1-The Guardian — US cyber attacks on water (Minnesota) : https://www.theguardian.com/technology/2026/aug/04/us-cyber-attacks-water-minnesota-iran 2-CBC — Hacking water treatment plants, cyberattack (Québec / Saint-Noël) : https://www.cbc.ca/news/canada/montreal/hacking-water-treatment-plants-cyberattack-quebec-9.7294526 3-The Hacker News — Iranian hackers exploit PLCs (CyberAv3ngers / Unitronics) : https://thehackernews.com/2023/11/iranian-hackers-exploit-plcs-in-attack.html 4-CISA — Avis AA23-335A (Aliquippa, mot de passe « 1111 ») : https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-335a 5-FBI — Alerte 2026, secteur eau et eaux usées (automates exposés) : https://www.fbi.gov/investigate/cyber/alerts/2026/malicious-cyber-actors-targeting-water-and-wastewater-sector-internet--facing-programmable-logic-controllers-causing-operational-disruptions 6-Banque des Territoires — Services d'eau et d'assainissement très vulnérables (ANSSI) : https://www.banquedesterritoires.fr/des-services-deau-et-dassainissement-tres-vulnerables-face-aux-cyberattaques 7-GuideIT — Cybersécurité dans le secteur de l'eau : un état des lieux inquiétant : https://www.guideit.fr/cybersecurite-dans-le-secteur-de-leau-un-etat-des-lieux-inquietant/ 8-CDC — Water Emergency Toolkit (établissements de santé) : https://www.cdc.gov/water-emergency/hcp/toolkit/index.html 9-MECO — Health Care Water Crisis (évacuation hospitalière) : https://www.meco.com/fr/health-care-water-crisis/ 10-Québec.ca — Avis sur l'eau potable, établissements alimentaires : https://www.quebec.ca/sante/alimentation/salubrite-aliments-prevention-risques/etablissements-alimentaires/avis-eau-potable 11-Québec.ca — Avis d'ébullition / avis de non-consommation : https://www.quebec.ca/agriculture-environnement-et-ressources-naturelles/eau-potable/qualite-eau-potable/avis-ebullition-avis-non-consommation 12-Daily Security Review — Norway attributes dam cyberattack to Russian hackers : https://dailysecurityreview.com/cyber-security/norway-attributes-dam-cyberattack-to-russian-hackers/ 13-Cybernews — Norway blames Russian hackers, dam cyberattack (Bremanger) : https://cybernews.com/cybercrime/norway-blames-russian-hackers-dam-cyberattack-bremanger/ 14-Cyberwarzone — Volt Typhoon : China's critical infrastructure pre-positioning campaign : https://cyberwarzone.com/2026/03/09/volt-typhoon-chinas-critical-infrastructure-pre-positioning-campaign/ 15-CISA — Avis AA24-038A, PRC State-Sponsored Actors Compromise and Maintain Persistent Access to U.S. Critical Infrastructure (7 février 2024) : https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-038a
