L’avis rassemble les agences de sécurité du pays, aux côtés de celles qui pilotent l’énergie et les systèmes critiques américains.

La source de ce signal d’alarme ? Une activité de reconnaissance contre des installations Siemens S7 basées aux États-Unis, ces automates industriels qui pilotent vannes, moteurs et systèmes de sécurité dans les usines, stations d’eau et centrales du pays.

Si l’avis n’attribue l’activité à aucun groupe ou État précis, il survient dans une série d’attaques attribuées à des acteurs liés à l’Iran contre des systèmes d’eau dans au moins 12 États américains, dont une intrusion ayant perturbé plus de 30 réseaux d’eau du Minnesota fin juillet.

Faux logiciels de supervision

Toute la gamme est concernée, des anciens S7-200 aux S7-1500 les plus récents.

Selon les agences américaines, les hackers s’appuient sur des bibliothèques open source d’automatisation industrielle pour bricoler de faux logiciels de supervision. Ces outils, une fois en place, obtiennent un accès en lecture et en écriture à la mémoire des automates, à leurs données de configuration et à leur logique de fonctionnement.

Avant cette étape d’intrusion, les autorités précisent que les pirates passent d’abord internet au crible pour dénicher les PLC exposés, mal protégés ou restés sur d’anciennes versions. C’est ensuite l’IA qui changerait la donne, permettant selon les agences de « mobiliser rapidement des vecteurs d’attaque supplémentaires et de s’adapter aux mesures défensives ». Les scripts générés par IA permettraient ainsi aux attaquants d’agir directement sur les vulnérabilités identifiées, sans avoir à développer eux-mêmes une expertise technique poussée.

Une menace encore en phase préparatoire ?

Pour l’heure, les agences estiment que cette activité relève d’une reconnaissance persistante : les attaquants testent et affinent leurs techniques en vue d’opérations futures capables de causer des effets concrets.

Un accès non autorisé pourrait entraîner la perturbation de processus industriels, des incidents de sécurité via la manipulation des dispositifs d’arrêt d’urgence, des dommages matériels ou des fuites de données opérationnelles sensibles.

En réponse, les agences recommandent un inventaire immédiat de tous les automates S7, l’application des correctifs disponibles, et une isolation stricte vis-à-vis d’internet.

Un édito exclusif, un guide, une reco de lecture et l’agenda de la rédaction : c’est ce que vous trouverez tous les jeudis dans ToujoursPlus, la newsletter tech écrite par Julien Cadot. Inscrivez-vous gratuitement ici !