Une cyberattaque coordonnée perturbe les contrôles opérationnels de plus de 30 compagnies des eaux du Minnesota

Plus de 30 systèmes d'eau communautaires dans le Minnesota ont été touchés par une cyberattaque coordonnée les 26 et 27 juillet, qui a ciblé la technologie opérationnelle contrôlant les pompes, vannes et processus de traitement, déclenchant une réponse de cybersécurité à l'échelle de l'État de la part de Minnesota IT Services (MNIT). L'attaque a mis hors ligne au moins une usine de traitement et forcé plusieurs services publics à passer du fonctionnement automatisé au fonctionnement manuel pendant que les enquêteurs travaillaient à contenir l'intrusion.

Ce qui s'est passé sur le terrain

L'usine d'eau de la ville de Braham est complètement tombée hors ligne, les responsables citant initialement une « raison inconnue » avant de confirmer quelques heures plus tard que les équipes avaient identifié une cyberattaque malveillante contre les systèmes d'exploitation informatisés de l'usine. Braham a demandé aux résidents de minimiser leur consommation d'eau jusqu'à la reprise du traitement ; l'usine était de nouveau en ligne et filtrait l'eau « comme prévu » en environ trois heures.

Plymouth a signalé des pannes de communications cellulaires à deux châteaux d'eau et à plusieurs stations de relevage des eaux usées, mais a maintenu les services en fonctionnement manuel. South St. Paul et Maple Plain ont tous deux vu leurs contrôles automatisés des services publics affectés ; Maple Plain a déclaré un état d'urgence local pour soutenir sa réponse, bien que le service d'eau dans les deux villes se soit poursuivi sans interruption. MNIT a déclaré n'avoir connaissance d'aucun service public demandant aux résidents de modifier leur consommation d'eau potable à la suite de l'incident, et les responsables ont affirmé que l'attaque n'avait pas affecté la qualité de l'eau.

Pourquoi « coordonnée » est le terme clé

Seuls quatre des quelque 30 systèmes touchés — Braham, Plymouth, South St. Paul et Maple Plain — ont été nommés publiquement ; les autres restent classés comme non publics pendant que l'enquête se poursuit. MNIT a déclaré aux journalistes que les incidents partageaient des caractéristiques communes dans leur calendrier, leur méthode d'accès et le type d'infrastructure ciblée, ce qui a amené l'État à qualifier l'activité de coordonnée plutôt que d'une série d'incidents indépendants. Les enquêteurs ont identifié des similitudes dans la manière dont les systèmes ont été accédés mais n'ont pas divulgué publiquement les détails techniques, et l'attribution n'a pas été finalisée — MNIT a indiqué que le schéma est cohérent avec l'activité que les partenaires fédéraux ont observée dans d'autres États et secteurs, bien qu'il ne soit pas encore confirmé qu'un seul acteur soit responsable de chaque incident.

Une réponse conçue pour les infrastructures critiques, pas pour un seul service public

MNIT coordonne le confinement, l'enquête et le rétablissement avec la Cybersecurity and Infrastructure Security Agency (CISA), l'Agence de protection de l'environnement, le FBI et les services publics concernés. « Les cyberattaques contre les infrastructures critiques nécessitent une réponse coordonnée à l'échelle du gouvernement », a déclaré John Israel, commissaire adjoint de MNIT et responsable principal de la sécurité de l'information du Minnesota.

Le calendrier correspond aux directives fédérales plus larges : la CISA, l'Australian Cyber Security Centre, le FBI et des partenaires internationaux ont publié des conseils communs la même semaine sur l'isolement des systèmes de technologie opérationnelle vitaux pendant les cyberattaques, visant spécifiquement à aider les opérateurs d'infrastructures critiques à maintenir la continuité du service lorsque leurs systèmes de contrôle sont compromis.

Le schéma derrière l'incident

Les services d'eau sont devenus une cible de plus en plus courante pour cette catégorie d'attaques précisément parce que beaucoup d'entre eux fonctionnent sur une infrastructure OT vieillissante avec des budgets de sécurité limités et de petites équipes informatiques par rapport à leur responsabilité. Une seule usine d'eau municipale dispose rarement des ressources d'une équipe de sécurité d'entreprise, mais elle contrôle une infrastructure qui, si elle est suffisamment perturbée, a des conséquences directes sur la santé publique. Ce décalage — conséquence élevée, faible capacité défensive — est ce qui fait d'une attaque coordonnée et multi-services comme celle-ci une menace significativement différente d'une brèche chez une seule entreprise : la même méthode d'accès ou la même vulnérabilité, reproduite sur des douzaines de systèmes gérés indépendamment mais configurés de manière similaire, peut provoquer une perturbation simultanée à une échelle qu'aucun service public individuel n'aurait pu anticiper ou contrer par ses propres moyens. Alors que l'enquête se poursuit, c'est probablement la leçon centrale que les responsables étatiques et fédéraux tireront de la réponse du Minnesota, comme rapporté par The Hacker News et BleepingComputer.