Cyberattaque : faut-il craindre pour la sécurité de l’eau potable ?

Site sensible s’il en est, une unité de traitement des eaux n’est pas une forteresse inviolable, comme l’a prouvé la récente cyberattaque en Floride. Quelles leçons faut-il en tirer ?

Bien que la cyberattaque d’une unité de traitement des eaux en Floride n’ait pas atteint son objectif, elle soulève un certain nombre d’interrogations sur la sécurité des infrastructures critiques et stratégiques. À commencer par les conséquences que cette attaque informatique aurait pu avoir si elle n’avait pas été stoppée.

Une opération test, plutôt qu’une attaque ciblée

L’incident entraîne une autre question : quel était le but de l’attaque ? Car selon un spécialiste en menaces hybrides interrogé par notre rédaction, la situation laisse plutôt penser à un test. Il ne s’agirait donc pas d’une action ciblée, mais d’une expérimentation visant à évaluer les conséquences en cascade qu’elle pourrait avoir. En outre, l’expert explique que les menaces sont rarement uniformes. Elles combinent souvent des mesures technologiques, politico-institutionnelles et militaires.

Un risque moindre pour le réseau d’eau français

Vient alors la question de la sécurité des sites français. Au vu, par exemple, de la multiplication des cyberattaques d’hôpitaux sur le territoire hexagonal, peut-on craindre pour la sécurité des installations sensibles, comme les centrales hydrauliques ?

A priori, la menace est moindre. Tout ce qui concerne l’énergie serait ainsi bien verrouillé. Et pour l’eau ? « C’est plutôt une question de taille et donc de moyens, explique le spécialiste. Les grandes agences sont bien protégées. Et si les petites stations ne sont pas équipées de la même façon, les conséquences sont moins importantes ».

L’expert se veut d’ailleurs rassurant pour une autre raison : en ce qui concerne l’eau, les flux s’avèrent moins interconnectés que les réseaux d’électricité, par exemple. Les dommages seraient donc moins importants. « Le plus embêtant serait le traitement de l’eau. On pourrait craindre d’une cyberattaque que le réseau d’eau soit court-circuité ou encore que les déchets soient vidés dans la rivière, ce qui rendrait l’eau non potable ». Mais alors, pour que l’attaque porte concrètement atteinte à la sécurité des consommateurs, il faudrait qu’elle touche également le réseau de distribution.

S’entraîner pour savoir réagir face à la menace

Enfin, il convient de souligner qu’en France, un certain nombre de normes s’appliquent en matière de sécurité des installations liées au réseau d’eau, comme de toutes les infrastructures stratégiques et critiques.

Les différents opérateurs se trouvent d’ailleurs dans l’obligation de réaliser des scénarios de crise et de s’entraîner à réagir en cas de menace d’origine cyber. À cet effet, les entreprises peuvent s’appuyer sur le guide de l’Anssi (Agence nationale de la sécurité des systèmes d’information) pour organiser de tels exercices, publié en octobre dernier.

En plus de quoi, les infrastructures sont tenues de participer régulièrement à des journées d’entraînement à grande échelle orchestrées par l’État.

©Adobe Stock