Les Forces de la Révolution Islamique d’Iran (CGRI) affirment avoir lancé une attaque à l’aide de plusieurs missiles de croisière contre une infrastructure d’Amazon Web Services (AWS) à Bahreïn. Selon l’organisation, le centre de données a été détruit, mais ni Amazon ni les autorités bahreïnies n’ont confirmé publiquement cette information au moment de la rédaction. Cet incident représenterait la troisième attaque contre des installations AWS dans le pays depuis mars 2026.

Les faits essentiels de l’attaque contre AWS à Bahreïn en 30 secondes

• Les CGRI assurent avoir utilisé des missiles de croisière pour cibler l’infrastructure AWS à Bahreïn.
• L’Iran présente cette opération comme une réponse à une attaque américaine contre la centrale nucléaire de Darkhovin.
• Amazon n’a pas confirmé la destruction du centre de données.
• La région de Bahreïn avait déjà subi des dommages physiques et des coupures suite aux attaques de drones de mars.
• L’incident relance le débat sur la continuité du cloud, la segmentation géographique et l’exposition physique des centres de données.

La revendication iranienne a été diffusée le 21 juillet par des médias d’État proches du CGRI. Selon ce récit, l’opération inclurait aussi des frappes contre un radar américain à Muharraq et contre une batterie du système antiaérien Patriot à Riffa.

L’Iran présente cette nouvelle vague comme une représaille au bombardement américain de Darkhovin, une centrale nucléaire en construction dans la province iranienne du Juzestán. La version du CGRI n’a pour l’instant pas été étayée par des images vérifiables permettant de confirmer l’impact, la localisation précise ou l’ampleur des dégâts.

Deux aspects méritent d’être distingués. La revendication a été faite par l’Iran et relayée par plusieurs médias internationaux, mais la destruction totale de l’installation reste une affirmation non vérifiée par une source indépendante.

Une région AWS touchée à plusieurs reprises depuis mars

La région Middle East (Bahreïn), désignée techniquement sous le nom de me-south-1, fonctionne depuis juillet 2019. Ce fut la première région AWS au Moyen-Orient, déployée initialement avec trois zones de disponibilité, chacune équipée de systèmes autonomes d’alimentation, de refroidissement et de connectivité.

Cette segmentation protège contre des pannes techniques ou locales, mais n’élimine pas le risque dès qu’une même zone géographique se retrouve exposée à une campagne militaire persistante, comme le montrait déjà la menace de la Garde révolutionnaire iranienne contre 18 entreprises tech du Golfe en avril.

Dès mars, AWS avait confirmé que des centres de données à Bahreïn et aux Émirats arabes unis avaient subi des impacts physiques dus à des attaques de drones. La société avait alors signalé des dommages structurels, des incendies, des coupures électriques et des problèmes sur les systèmes d’extinction, un épisode qui avait déjà exposé le talon d’Achille physique du cloud dans la région.

Une partie des services régionaux avait été mise hors ligne, et AWS avait prévenu que la récupération prendrait du temps. Fin avril, la société reconnaissait que le rétablissement complet pourrait durer plusieurs mois, conseillant aux clients de migrer leurs ressources ou de récupérer leurs données à partir de copies externalisées dans d’autres régions.

L’attaque revendiquée aujourd’hui aurait eu lieu alors que la région était encore en phase de récupération. Data Center Dynamics signale qu’il s’agit d’une nouvelle attaque contre ce même environnement, même si aucune confirmation indépendante n’a pu établir si les missiles ont réellement détruit l’installation.

Le cloud aussi dépend de bâtiments, d’énergie et de connectivité

Cet incident bouscule une réalité souvent masquée par des notions comme la haute disponibilité ou la résilience cloud : tous les services numériques reposent sur une infrastructure physique.

Les centres de données nécessitent des bâtiments, des raccordements électriques, des générateurs, des systèmes de refroidissement, de la fibre optique, du personnel et des chaînes d’approvisionnement. Une architecture distribuée résiste à la panne d’un serveur, parfois même à la perte d’un centre en particulier, mais une guerre change complètement la nature des risques à anticiper.

Les zones de disponibilité d’une même région sont physiquement séparées, mais assez proches pour assurer des communications à faible latence. Cette proximité, utile pour répliquer les données rapidement, peut devenir une faiblesse dès que plusieurs installations se retrouvent dans le périmètre des mêmes drones ou missiles.

La redondance régionale ne se déclenche pas automatiquement pour tous les services. Reproduire une application dans un autre pays demande de la concevoir pour fonctionner entre régions, gérer des copies externes, synchroniser des bases de données, contrôler les latences et absorber des coûts supplémentaires.

Les contraintes réglementaires s’ajoutent à l’équation. Les institutions financières, les administrations et les entreprises qui manipulent des données sensibles ne peuvent pas toujours transférer leurs informations sans examiner la juridiction, les certifications et les contrats applicables.

Le Golfe voit son attrait comme localisation unique diminuer

Les pays du Golfe ont attiré ces dernières années d’importants investissements dans le cloud et l’intelligence artificielle, grâce à leur disponibilité énergétique, leurs plans de numérisation et la demande de services à faible latence dans la région.

L’escalade militaire introduit désormais une variable que les projets doivent prendre en compte avec un poids accru : le risque géopolitique.

Cela ne veut pas dire que les entreprises vont abandonner en masse Bahreïn, les Émirats ou l’Arabie saoudite. Mais ça pourrait accélérer l’adoption d’architectures capables de maintenir une seconde copie opérationnelle hors zone de conflit.

L’Inde apparaît comme une alternative relativement proche pour certains workloads asiatiques. L’Allemagne et les Pays-Bas disposent d’une forte concentration de centres de données, d’une connectivité internationale et de régions des principaux fournisseurs cloud. D’autres marchés européens, notamment certains pays de l’Est comme la Roumanie, cherchent aussi à attirer des projets grâce à leur disponibilité en terrains, énergie et réseaux de fibre.

Déplacer une infrastructure critique ne se limite pas à louer de l’espace dans un autre pays. Il faut compter avec la latence, la souveraineté des données, l’alimentation électrique, les routes réseau, la fiscalité et les accords de niveau de service.

Les déclarations sur un déplacement massif de contrats depuis le Moyen-Orient vers ces régions viennent encore surtout d’observations commerciales ou de contacts sectoriels. Les données publiques manquent pour mesurer un tel mouvement de façon fiable.

Les centres de données deviennent des cibles militaires potentielles

La conséquence la plus préoccupante, c’est la possibilité que l’infrastructure numérique commerciale soit désormais considérée comme une cible militaire potentielle.

Lors des attaques de mars, l’Iran expliquait que certains fournisseurs technologiques américains offraient des services liés à des opérations militaires et de renseignement, brouillant la frontière entre une installation commerciale utilisée par des milliers d’entreprises et une infrastructure strictement défensive.

Le CGRI a aussi mentionné publiquement des installations ou des projets liés à Microsoft, Oracle, Google et d’autres sociétés américaines, dont le projet Stargate annoncé aux Émirats arabes unis, même si une menace publique ne prouve pas une opération imminente contre ce site.

Ce risque ne se limite pas à la perte d’équipements. Une interruption régionale peut toucher banques, plateformes de paiement, transports, administrations et applications d’entreprises qui partagent le même fournisseur ou le même territoire.

La continuité d’activité doit donc intégrer des scénarios plus graves qu’une simple panne. Les organisations qui gèrent des charges critiques doivent savoir ce qui se passerait si une région entière devenait inaccessible pendant plusieurs semaines ou mois, pas seulement quelques heures.

Maintenir des copies hors de la région affectée, tester régulièrement leur restauration et réduire les dépendances qui empêchent de basculer sur d’autres fournisseurs ou territoires, tout ça devient prioritaire. Il faut aussi documenter quelles applications supportent une interruption et lesquelles exigent une réplication active.

La revendication iranienne doit encore être confirmée par des sources indépendantes, mais même sans preuve d’une destruction totale, les attaques de mars montrent déjà que l’infrastructure cloud n’est plus un élément secondaire dans le conflit et peut devenir une cible directe d’opération militaire.

Questions fréquentes

Amazon a-t-il confirmé la destruction de son centre de données à Bahreïn ?

Non. Le CGRI affirme que l’infrastructure a été détruite, mais AWS n’a pas encore confirmé publiquement cette version au moment de l’écriture.

La région AWS de Bahreïn avait-elle déjà été ciblée auparavant ?

Oui. Amazon avait confirmé des dommages physiques à ses infrastructures bahreïnies lors des attaques de mars 2026 et avait averti qu’une récupération complète pourrait durer plusieurs mois.

Une application peut-elle continuer à fonctionner si une région AWS tombe ?

Ça dépend de sa conception. Pour rester opérationnelle, elle a besoin de réplicas, de copies récupérables et de procédures testées dans une autre région ou chez un autre fournisseur. La haute disponibilité dans une seule région ne protège pas contre une perte prolongée de cette localisation.

D’autres centres de données dans le Golfe sont-ils menacés ?

L’Iran a publiquement indiqué viser aussi des infrastructures américaines dans plusieurs pays de la région. Cela n’annonce pas forcément de nouvelles attaques, mais ça augmente le risque géopolitique pour les opérateurs et leurs clients.

Source : House of Saud