9 septembre 2026
Une centrale électrique britannique hors ligne pendant quatre jours. Les systèmes de traitement des eaux usées sont perturbés dans une douzaine d’États américains. Lors d’incidents consécutifs cet été, des pirates informatiques liés à l’Iran ont montré au monde à quelle vitesse la rhétorique en ligne se transforme en perturbation physique et à quel point la frontière est devenue mince entre la technologie opérationnelle qui maintient les lumières allumées et les systèmes de contrôle industriels qui font couler l’eau. Ce n’était pas de l’espionnage. C’était une démonstration.
Ce qui s’est passé
Lors d’incidents consécutifs cet été (2026), des pirates informatiques liés à l’Iran ont détruit une petite centrale électrique au Royaume-Uni et perturbé les installations de traitement des eaux usées dans une douzaine d’États américains. L’usine britannique a été fermée pendant quatre jours en juillet 2026 avant que le personnel ne puisse reprendre le contrôle ; l’identité de l’installation n’a pas été divulguée pour des raisons de sécurité et l’alimentation électrique du Royaume-Uni dans son ensemble n’a pas été affectée. Les responsables américains affirment que les attaquants ont eu accès aux contrôleurs logiques programmables (PLC) en utilisant des techniques simples et non sophistiquées : en scannant Internet à la recherche d’appareils exposés et en exploitant les informations d’identification par défaut qui n’ont jamais été modifiées.
Le même mois, des dizaines d’usines de traitement des eaux usées dans douze États américains, dont le New Jersey, le Minnesota, la Géorgie et le Dakota du Sud, ont été touchées lors d’une vague d’intrusions. Le résultat a été tangible et physique : perte de pression de l’eau et inondations sur plusieurs sites, et non des fichiers volés ou des serveurs cryptés. Le FBI a attribué cette activité à des cyberacteurs malveillants, des sources gouvernementales américaines désignant l’Iran comme étant l’origine probable.
Qui est derrière
Aucun groupe n’a officiellement revendiqué la responsabilité de l’un ou l’autre incident, mais la tendance indique que des acteurs liés à l’Iran seraient affiliés à CyberAv3ngers et au CGRI, un groupe avec un historique documenté de ciblage de technologies opérationnelles sur les services publics occidentaux. L’incident britannique a été signalé au National Cyber Security Centre (NCSC), qui ne l’a ni confirmé ni démenti publiquement. Les experts en sécurité notent que la faible sophistication de l’intrusion, les informations d’identification par défaut et les appareils exposés plutôt que des exploits personnalisés suggèrent qu’il peut s’agir de tentatives de validation de principe, de tests peu coûteux de ce qui est accessible avant qu’un acteur ne s’engage dans quelque chose de plus perturbateur contre des cibles de plus grande valeur.
L’attribution complète des deux incidents a pris des semaines. Ce décalage est important. C’est l’écart entre le moment où une attaque se produit et le moment où les défenseurs peuvent dire avec confiance qui l’a fait et pourquoi, et c’est exactement de cette fenêtre dont parle cette pièce.
Pas d’espionnage. Une démonstration.
Il ne semble pas s’agir d’un vol de données ou d’un espionnage à long terme ; c’était une démonstration de capacité contre les infrastructures physiques, et il a atterri dans deux pays différents à quelques jours d’intervalle. Les intrusions confirmées d’États-nations dans les environnements occidentaux OT (technologie opérationnelle) et ICS (systèmes de contrôle industriel), des systèmes qui contrôlent la production d’électricité et le traitement de l’eau plutôt que les réseaux informatiques qui les entourent, restent rares. Lorsqu’ils se produisent à proximité comme celle-ci, ils ressemblent moins à une coïncidence qu’à un signal envoyé délibérément, tant aux adversaires qu’aux chercheurs observateurs.
Ce signal correspond à un modèle plus large. L’Iran a multiplié les cyberattaques contre les pays occidentaux depuis février 2026, avec des opérations signalées dans plusieurs pays européens. Abaisser la barre technique pour ce type d’attaque, grâce à des outils plus accessibles et, de plus en plus, à la reconnaissance assistée par l’IA, signifie que des démonstrations de capacités comme celle-ci continueront probablement à apparaître, et à continuer à apparaître dans des endroits, de l’électricité, de l’eau et d’autres infrastructures critiques, qui étaient en grande partie des cibles théoriques jusqu’à récemment.
Le signal avant le coup
Pour les opérateurs d’infrastructures critiques, la leçon pratique ne concerne pas vraiment le renforcement des automates programmables, même si cela compte également. C’est une question de timing. Les discussions sur le Dark Web, l’activité des forums hacktivistes et les publications sur les chaînes liées au CGRI sont, le plus souvent, les premiers signaux disponibles indiquant qu’une attaque opérationnelle est imminente. Dans ce cas, l’attribution formelle a mis des semaines à se produire. Les organisations qui surveillaient activement les propres canaux, forums et infrastructures connues des acteurs avaient une réelle chance de voir les bases être posées bien avant que le FBI et le NCSC n’y mettent un nom publiquement.
C’est l’écart que l’intelligence du dark web est censé combler : non pas en remplaçant la réponse aux incidents, mais en réduisant la distance entre le premier message et la première alerte, de sorte que les opérateurs agissent sur signal au lieu d’attendre la confirmation.
Les groupes liés à l’Iran continuent de publier des menaces. La capture d’écran ci-dessous du 30 août 2026 montre un groupe nommé APT Iran menaçant les États-Unis via sa chaîne Telegram.
Messages traduits comme suit :
30/08/2026 13:09) APT IRAN : 🔴 « Bientôt, les États-Unis seront témoins d’incidents inattendus et critiques dans les secteurs de l’énergie, de l’eau et des télécommunications. »
(30/08/2026 13:17) APT IRAN : 🔴 « Nous avons déjà prévenu que quiconque mettrait la main sur cette terre et menacerait notre bien-aimé Iran paierait cette erreur de sa vie. Vous n’avez pas tenu compte de nos avertissements, et nous vous avons de nouveau prévenu au Minnesota. Vous nous avez encore ignorés, mais cette fois, nous ferons taire le peuple américain. »
Ce que les opérateurs devraient faire maintenant
Traitez les intrusions de type preuve de concept, celles qui semblent peu sophistiquées ou opportunistes, comme des indicateurs avancés plutôt que comme des curiosités ; les acteurs qui testent aujourd’hui les informations d’identification par défaut pourraient être ceux qui provoqueront de véritables perturbations demain.
Auditez les API et les composants ICS connectés à Internet pour détecter les informations d’identification par défaut ou réutilisées et les expositions inutiles, car il s’agissait là du point d’entrée complet dans le cas du Royaume-Uni.
Assurez-vous d’avoir une surveillance continue des forums du darknet, des chaînes hacktivistes et des activités connues des groupes affiliés au CGRI, afin que le délai d’attribution de plusieurs semaines observé dans ce cas devienne une fenêtre plus petite la prochaine fois.
Une centrale électrique britannique hors ligne pendant quatre jours. Les systèmes de traitement des eaux usées sont perturbés dans 12 États américains. Les acteurs liés à l’Iran viennent de montrer à quelle vitesse la rhétorique se transforme en perturbation du monde réel, et à quel point cette voie est visible à l’avance pour quiconque surveille les bons coins du dark web.
