Et si le robinet de votre ville dépendait moins d’un barrage ou d’une pompe que d’un automate industriel mal protégé, visible depuis Internet et scriptable en quelques minutes grâce à un modèle d’intelligence artificielle ? C’est précisément le tableau que dresse l’agence américaine CISA après avoir observé, en juillet, des tentatives d’intrusion contre plus de cent systèmes du secteur de l’eau et des eaux usées. Pour les fondateurs, les opérateurs de plateformes cloud, les responsables marketing d’entreprises industrielles et les investisseurs en deeptech, ce n’est pas seulement une affaire de sécurité nationale : c’est un signal brutal sur la fragilité de l’operational technology, sur le rôle nouveau de l’IA dans l’attaque, et sur le prix réel de l’exposition numérique des infrastructures physiques.

Le 26 août 2026, TechCrunch a relaté la confirmation officielle : des attaquants ont ciblé des systèmes exposés en ligne dans plusieurs États, dont le Michigan, le Minnesota et au moins cinq autres. Les effets sur l’approvisionnement des habitants sont restés limités. En revanche, les investigations ont provoqué des coupures, des bascules manuelles et une perte de confiance. Quand on vend de la confiance — que l’on soit une startup IoT, un éditeur de supervision ou une collectivité qui communique sur sa modernisation — ce type d’épisode change le récit public.

Ce Que La Cisa A Vraiment Observé En Juillet

L’agence fédérale chargée de la cybersécurité et de la protection des infrastructures critiques a publié un avis qui élargit le cadre. Il ne s’agit plus d’incidents isolés dans deux comtés ruraux. Le périmètre dépasse 100 systèmes connectés dans le secteur water and wastewater. Beaucoup se situent dans des zones isolées, où un seul site dessert une large population et où les équipes IT sont souvent réduites à une ou deux personnes polyvalentes.

Le point d’entrée n’est pas toujours un serveur Windows oublié. Ce sont surtout des automates programmables, les fameux PLC, qui pilotent vannes, pompes, dosages chimiques, alarmes et procédures d’arrêt d’urgence. Ces boîtiers, conçus pour la fiabilité industrielle plus que pour le combat numérique, se retrouvent aujourd’hui branchés à des réseaux de télémaintenance, à des VPN mal segmentés, parfois même à des interfaces web d’origine constructeur.

Les fabricants cités dans le dossier ne sont pas des acteurs marginaux. On parle de Rockwell, de Schneider Electric et, plus récemment, de Siemens. Cette diversité a une implication business claire : la vulnérabilité n’est pas le défaut d’une seule marque. Elle est structurelle. Elle touche un marché mondial d’équipements déployés pendant des décennies, souvent sans cycle de patch comparable à celui d’un smartphone.

Certaines intrusions ont permis de modifier des PLC afin de désactiver des processus d’arrêt et des alarmes, créant potentiellement des conditions dangereuses sans alerter les opérateurs.

– Synthèse de l’avis CISA, telle que rapportée par la presse spécialisée

Cette phrase doit rester gravée dans les roadmaps produit. Un attaquant qui coupe une alarme ne « pirate pas un site web ». Il brouille le signal de vérité de l’usine. Pour une startup qui construit des dashboards, des jumeaux numériques ou des alertes clients, la question n’est plus seulement « mon API est-elle chiffrée ? » mais « mon système sait-il encore distinguer une mesure réelle d’une mesure falsifiée ? ».

Pourquoi Les Plc Sont Devenus Une Cible De Choix

Un PLC n’est pas un ordinateur de bureau. Il exécute des boucles rapides, parle des protocoles industriels parfois anciens, et reste en service dix ou quinze ans. Beaucoup d’interfaces de programmation, de ports de diagnostic et de services de découverte ont été conçus à une époque où l’isolement physique tenait lieu de pare-feu. Le basculement vers la maintenance à distance, accéléré par la pénurie de techniciens et par la promesse de l’industrie 4.0, a ouvert une surface d’attaque que les équipes marketing avaient vendue comme « connectée, intelligente, prédictive ».

Les campagnes de juillet montrent une logique opportuniste. Les systèmes exposés sur Internet, mal authentifiés ou encore protégés par des identifiants par défaut, sont balayés. Ensuite vient l’adaptation au modèle d’automate. C’est là que l’IA entre en scène : la CISA a déjà indiqué que des outils s’appuyant sur de l’information publique aident à produire des scripts capables de viser des PLC Siemens vulnérables. Autrement dit, la barrière de compétence baisse. Ce qui demandait un spécialiste OT devient, pour partie, un flux de génération assistée.

Pour l’écosystème startup, ce basculement rappelle celui du phishing génératif. Le coût marginal de l’attaque diminue. La personnalisation augmente. Les petits opérateurs, précisément ceux qui n’ont pas de SOC 24/7, deviennent des cibles rationnelles. Un fonds qui investit dans des capteurs d’eau, des compteurs intelligents ou de la télégestion municipale doit désormais exiger, dès le due diligence, une cartographie des PLC, des firmware et des chemins d’accès distants.

L’Intelligence Artificielle Comme Multiplicateur Offensif

Le détail le plus stratégique de l’affaire n’est pas seulement le chiffre de « plus de 100 ». C’est l’usage, au moins partiel, d’outils d’IA nourris de documentation publique pour assembler des attaques contre des automates Siemens. Les manuels, les CVE, les extraits de forums d’intégrateurs, les captures d’interfaces constructeur : tout cela forme un corpus. Un modèle capable de relier ces sources accélère la création de payloads adaptés.

Cela ne signifie pas qu’un chatbot grand public « pirate une station d’épuration ». Cela signifie que la phase de recherche, de prototypage de script et d’adaptation à une famille d’équipements se compresse. Pour les équipes blue team, le temps de réaction se réduit. Pour les éditeurs d’outils de sécurité, une nouvelle catégorie de produits s’impose : la détection de comportements anormaux sur bus industriels, pas seulement sur logs Windows.

Les acteurs de l’IA générative, eux, se retrouvent face à un dilemme de communication. Comment vendre l’assistance au code sans alimenter, même indirectement, des chaînes offensives contre des infrastructures vitales ? Les politiques d’usage, les filtres, la traçabilité des prompts sensibles et les partenariats avec les CERTs deviennent des arguments commerciaux autant que des obligations éthiques. Dans un marché où les grands modèles sont un levier de croissance, ignorer le volet OT serait naïf.

Les directions marketing des scale-up IA auraient intérêt à traiter ce sujet de front. Un positionnement « copilote pour l’industrie » qui ne parle pas de garde-fous OT paraîtra incomplet après une séquence médiatique de ce type. À l’inverse, une offre qui documente le refus d’assister certaines classes de requêtes industrielles peut devenir un critère d’achat pour les grands comptes publics.

Impact Terrain : Peu De Coupures D’Eau, Beaucoup De Friction

Les communautés touchées n’ont pas, dans l’ensemble, perdu l’eau potable de façon massive. C’est une bonne nouvelle opérationnelle. C’est aussi un piège narratif. Le public retient souvent le scénario catastrophe — robinets à sec, contamination, chaos. Ici, le dégât visible est ailleurs : arrêts prudentiels, bascule en mode dégradé, audits d’urgence, communication municipale tendue, coût des prestataires de réponse à incident.

Dans les zones rurales, cette friction se multiplie. Un seul site dessert parfois plusieurs communes. Les astreintes sont longues. Les pièces de rechange et les intégrateurs certifiés ne sont pas à une heure de route. Une investigation qui « seulement » isole un automate peut suffire à perturber la collecte des eaux usées ou le dosage d’un réactif. Le service public continue, mais la qualité perçue chute.

Pour les entreprises qui vendent de la continuité d’activité, le message est limpide. Le KPI n’est plus uniquement la disponibilité de l’eau. C’est la capacité à investiguer sans arrêter le process, à restaurer la confiance des élus, à prouver qu’aucune alarme n’a été muselée. Les contrats de maintenance vont évoluer. Les clauses de cybersécurité, déjà présentes dans le cloud, vont descendre jusqu’à la pompe.

Géopolitique : L’Iran En Ligne De Mire, Sans Attribution Fermée

Des responsables américains, cités par plusieurs médias, estiment que Téhéran est probablement derrière cette vague largement opportuniste, dans un contexte de confrontation impliquant les États-Unis et Israël. L’attribution reste prudente. Pas de dossier public définitif dans le récit relayé. Cette prudence n’est pas un détail journalistique : elle structure la réponse diplomatique, les sanctions, et la manière dont les assureurs cyber tariferont le risque « infrastructure vitale ».

Le caractère opportuniste compte autant que le commanditaire présumé. On n’est pas forcément face à une campagne ultra-ciblée contre un barrage stratégique. On est face à une logique de harcèlement : frapper ce qui est mal fermé, créer du bruit, tester les délais de détection, occuper les équipes de réponse. Pour un État, le rendement politique d’une série d’incidents locaux peut dépasser celui d’une attaque unique spectaculaire.

Ce schéma doit intéresser les équipes comm’ des entreprises exposées à des marchés sensibles. La désinformation autour d’un incident d’eau se propage plus vite que le rapport forensique. Un communiqué flou, un silence trop long ou une promesse technique excessive peuvent transformer un événement contenu en crise de réputation nationale.

Chine, Russie, Taïwan : Le Contexte Plus Large Des Infrastructures

L’avis s’inscrit dans une séquence déjà connue des observateurs. Washington alerte depuis des années sur des implantations de malwares destructeurs attribuées à des acteurs liés à la Chine, destinés à servir de diversion en cas de crise autour de Taïwan. La Russie, de son côté, a été associée à des opérations contre des réseaux d’eau, d’électricité et d’énergie en Europe, lues comme des tests de résilience face à l’OTAN.

Ces trois théâtres — opportunisme iranien présumé, prépositionnement chinois évoqué, pressions russes en Europe — dessinent une même leçon pour le business : l’infrastructure n’est plus un décor. Elle est un champ de confrontation. Les startups qui connectent des usines, des réseaux ferrés, des hôpitaux ou des stations de traitement ne vendent plus seulement de l’efficacité. Elles vendent un maillon de souveraineté, qu’elles le veuillent ou non.

Les directions financières devraient relire leurs polices. Les exclusions « acte de guerre » et les définitions floues d’opération étatique rendent certains sinistres cyber difficiles à indemniser. Après une vague de plus de 100 cibles, les courtiers vont durcir les questionnaires sur les PLC exposés, les accès prestataires et les plans de continuité OT.

Ce Que Cela Change Pour Les Startups Et Les Éditeurs Tech

Le marché de la supervision industrielle, des jumeaux numériques et de la maintenance prédictive va devoir intégrer la sécurité comme fonction native, pas comme module optionnel. Un pitch qui promet « pilotage à distance en un clic » sans parler d’authentification forte, de segmentation et d’intégrité des consignes sonnera daté.

Les fondateurs peuvent tirer plusieurs lignes produits concrètes de cette actualité. Premièrement, l’inventaire automatisé des automates et de leur exposition Internet. Deuxièmement, la détection d’altération de logique (alarmes coupées, seuils déplacés). Troisièmement, des modes de fonctionnement « lecture seule » pour la télémaintenance. Quatrièmement, des playbooks de communication destinés aux collectivités, car l’acheteur public a autant peur du titre de presse que de la vanne forcée.

Les équipes growth ont aussi un rôle. Le vocabulaire « smart city » et « usine connectée » doit être recalibré. On peut continuer à vendre la donnée temps réel. Il faut y adjoindre la preuve de résilience. Les études de cas qui montrent une restauration rapide, une isolation propre, une absence d’impact sanitaire vaudront plus qu’une démo spectaculaire de dashboard.

Selon le récit publié par TechCrunch, la vague a surtout frappé des équipements visibles et des process de contrôle. C’est une invitation à cartographier, dans chaque vertical, ce qui est « Internet-exposed » au sens propre. Beaucoup d’entreprises découvrent encore leurs propres interfaces Shodan le jour de l’audit.

Marketing, Confiance Et Récit Public Après Un Incident OT

Une collectivité ou un opérateur privé ne communique pas comme une app grand public. Dire « nous avons été ciblés » sans dire « l’eau reste potable » crée la panique. Dire « tout va bien » pendant que les pompiers numériques isolent un automate crée le soupçon. Le bon récit est factuel, daté, limité à ce qui est vérifié, et répété sur les canaux locaux avant les réseaux nationaux.

Les agences de communication digitale qui accompagnent des acteurs de l’énergie, de l’eau ou du transport devraient constituer dès maintenant des kits de crise OT : lexique grand public, FAQ sur les alarmes, schéma simple du process, contacts régulateur, calendrier de mises à jour. L’enjeu n’est pas le storytelling créatif. C’est la clarté sous contrainte.

Les marques B2B qui équipent ces sites gagneront à publier, sans attendre d’être citées dans un avis, leurs guides de durcissement. Le content marketing technique — check-lists de ports à fermer, versions firmware, architecture de jump hosts — devient un levier d’acquisition auprès d’un public soudain très attentif.

Les Leçons Concrètes Pour Les Opérateurs

Voici une synthèse actionnable, volontairement terre à terre, destinée autant aux DSI qu’aux dirigeants non techniques.

• Dresser l’inventaire réel des PLC, marques, firmwares et chemins d’accès distant, y compris ceux ouverts « temporairement » par un prestataire.
• Retirer d’Internet tout automate qui n’a aucune raison d’y figurer ; la télémaintenance passe par un saut sécurisé, pas par un port nu.
• Séparer les réseaux IT et OT, puis micro-segmenter les îlots de process pour qu’une compromission de supervision n’atteigne pas la logique d’arrêt d’urgence.
• Surveiller l’intégrité des programmes automate et l’état des alarmes, pas seulement les logs de pare-feu.
• Tester un mode dégradé manuel avec le personnel de quart, car l’investigation cyber peut durer plus longtemps que l’astreinte habituelle.
• Exiger des clauses de notification et de durcissement chez les intégrateurs et les éditeurs de logiciels de supervision.
• Préparer une communication locale qui distingue clairement qualité de l’eau, disponibilité du service et statut de l’investigation.

Ces mesures ne sont pas révolutionnaires. Elles sont rarement toutes en place dans les plus petits réseaux. Or ce sont précisément ces réseaux que la vague de juillet a mis en lumière. Le marché de l’accompagnement — audit OT, formation des élus, outillage léger pour communes — a donc un débouché immédiat.

IA Défensive : Ce Que Les Éditeurs Peuvent Construire Maintenant

Si l’IA aide à écrire des scripts offensifs à partir de documentation publique, elle peut aussi aider à lire des configurations d’automates, à repérer des écarts par rapport à une baseline, à traduire un dump de logique ladder en langage compréhensible pour un maire ou un directeur d’usine. Le besoin n’est pas un nouveau chatbot généraliste. C’est un copilote spécialisé, auditable, hors ligne si nécessaire, capable d’expliquer pourquoi une bobine d’alarme a disparu.

Les contraintes sont fortes. Un faux positif qui arrête une station coûte cher. Un faux négatif qui laisse une alarme muselée coûte plus cher encore. Les modèles devront s’entraîner sur des traces industrielles rares, souvent propriétaires. Les partenariats avec constructeurs — Siemens, Rockwell, Schneider — deviennent un avantage compétitif autant qu’un sujet de propriété intellectuelle.

Pour les investisseurs en IA appliquée, le filtre due diligence change. On ne demande plus seulement le nombre de tokens ou le benchmark académique. On demande le régime de responsabilité, le mode air-gapped, la capacité à fonctionner sur un réseau isolé, la piste d’audit des recommandations. L’industrie de l’eau n’achètera pas un jouet génératif. Elle achètera une réduction de risque démontrable.

Souveraineté, Normes Et Argent Public

Aux États-Unis, la CISA occupe une position d’aiguilleur : avis, partage d’indicateurs, pression sur les secteurs critiques. En Europe, le même type d’événements nourrit déjà NIS2, les schémas de certification et les exigences de reporting. Les startups qui visent les marchés publics de l’eau devront documenter leur posture dès la réponse à appel d’offres, pas après la notification d’incident.

L’argent suivra les normes. Subventions à la modernisation, fonds de résilience, programmes de remplacement d’équipements en fin de vie : autant de lignes budgétaires que les équipes commerciales doivent apprendre à lire. Un automate remplacé n’est pas seulement un capex. C’est parfois le seul moyen de sortir d’un protocole indéfendable.

Attention toutefois à la fuite en avant technologique. Remplacer un PLC exposé par un objet « smart » tout aussi exposé ne résout rien. La modernisation sans architecture de confiance produit seulement une surface d’attaque plus élégante. Les intégrateurs qui oseront dire non à certaines demandes de connectivité directe auront, paradoxalement, un argument de vente plus solide.

Ce Que Les Médias Ont Mis En Avant, Et Ce Qu’Il Faut Lire Entre Les Lignes

Le reportage de Zack Whittaker pour TechCrunch insiste sur trois faits : le volume (plus de 100 systèmes), la nature des cibles (PLC de plusieurs constructeurs) et le contexte géopolitique (Iran probable, sans attribution béton). Il rappelle aussi que la Chine et la Russie occupent déjà le paysage mental des responsables américains. Cette mise en perspective évite de traiter juillet comme une anecdote locale.

Entre les lignes, on lit une autre histoire : celle d’un secteur fragmenté, composé de milliers d’opérateurs inégaux, où la transformation numérique a précédé la culture de sécurité. Les campagnes opportunistes aiment cette fragmentation. Elles n’ont pas besoin d’un chef-d’œuvre technique. Elles ont besoin d’une porte restée ouverte et d’un calendrier politique tendu.

Les lecteurs business doivent donc résister à deux caricatures. Première caricature : « l’IA a pris le contrôle des usines. » Faux. L’IA a abaissé le coût de préparation de certains scripts. Seconde caricature : « tant que l’eau coule, il ne s’est rien passé. » Faux également. La désactivation d’alarmes et d’arrêts de sécurité est déjà un événement grave, même si le verre du consommateur reste plein.

Une Grille De Lecture Pour Investisseurs Et Comités De Direction

Les boards peuvent transformer cette actualité en quatre questions de gouvernance, formulées sans jargon.

Première question : quels actifs physiques de notre chaîne de valeur dépendent d’un automate joignable à distance ? Deuxième : qui, nommément, peut modifier une logique de process et comment cette modification est-elle journalisée ? Troisième : notre assurance, nos clients et nos régulateurs recevraient-ils la même version des faits dans les six premières heures ? Quatrième : nos fournisseurs d’IA ou de télémaintenance ont-ils des clauses qui interdisent l’assistance à des scénarios d’altération d’équipements critiques ?

Ces questions valent pour une régie des eaux. Elles valent aussi pour une marketplace logistique, une usine agroalimentaire, un data center dont le refroidissement repose sur des pompes, ou une scale-up qui héberge la supervision de dizaines de sites clients. La contagion du risque OT ne s’arrête pas à la clôture de la station.

Vers Une Culture De La Preuve Plutôt Que De La Promesse Connectée

Le fil conducteur de cette séquence de juillet n’est pas la panique. C’est l’exigence de preuve. Preuve que l’alarme fonctionne. Preuve que le programme automate n’a pas été altéré. Preuve que l’accès distant est nominatif. Preuve que l’eau reste conforme pendant l’investigation. Les entreprises qui sauront industrialiser cette preuve — logs immuables, attestations, exercices filmés, indicateurs publics raisonnables — sortiront renforcées.

Celles qui continueront de vendre la connectivité comme un slogan, sans architecture, sans formation des opérateurs de quart, sans plan de parole, offriront malgré elles le prochain terrain de jeu. Le chiffre de plus de cent systèmes n’est pas une statistique froide. C’est le portrait d’un marché où le numérique a gagné plus vite que la discipline.

Pour l’audience de ce blog — marketing, startups, business, IA, technologie, communication digitale — la conclusion opérationnelle tient en une phrase : tout récit de modernisation industrielle doit désormais inclure la possibilité qu’un script, aidé par de l’information publique et par un modèle génératif, cherche à faire taire une alarme. Concevoir, vendre et raconter des produits comme si cette hypothèse était nulle n’est plus tenable.

Les semaines qui viennent diront si l’attribution se durcit, si d’autres constructeurs apparaissent dans les avis, si des régulateurs imposent des délais de correction plus courts. En attendant, le travail utile se situe dans les salles de contrôle, dans les annexes de contrats, dans les roadmaps IA responsables et dans la façon dont on explique, sans emphase, qu’une infrastructure critique n’est pas une application que l’on redémarre d’un clic. Elle est un système vivant, souvent rural, parfois sous-doté, et désormais clairement dans le viseur.