62 % des entreprises de services publics aux États-Unis et au Royaume-Uni ont été attaquées au cours de l’année dernière ; 81 % des violations ont compromis des systèmes d’identité tels qu’Active Directory, Entra ID et Okta

Hoboken (États-Unis), le 3 avril 2025 – Les infrastructures critiques sont sous pression. C’est ce que révèle une nouvelle étude publiée par Semperis, une entreprise spécialisée dans la cybersécurité et l’identité numérique, qui analyse l’augmentation des cyberattaques ciblant les opérateurs d’eau et d’électricité aux États-Unis et au Royaume-Uni. Le rapport fait état d’une situation alarmante : 62 % des opérateurs ont subi des attaques au cours de l’année écoulée, et parmi eux, 8 sur 10 ont été visés par des attaques multiples.

Plus inquiétant encore, 54 % de ces intrusions ont causé des décès permanents aux systèmes ou une perte de données, soulignant la vulnérabilité des services essentiels tels que l’approvisionnement en électricité ou en eau potable.

La Chine et les attaques invisibles

Un des cas les plus marquants est l’attaque récente d’une entreprise publique à Littleton (Massachusetts), attribuée au groupe Volt Typhoon, qui est lié au gouvernement chinois. De plus, American Water Works, le plus grand fournisseur d’eau et d’assainissement aux États-Unis, a signalé des activités non autorisées sur son réseau, affectant la facturation et le service à la clientèle.

Chris Inglis, premier directeur national de la cybersécurité aux États-Unis et conseiller stratégique de Semperis, avertit : “De nombreuses infrastructures publiques ne réalisent pas que des acteurs étatiques comme la Chine se sont déjà infiltrés.” Ces groupes ont tendance à recourir à des attaques discrètes – connues sous le nom de Living off the Land – qui évitent de déclencher des alertes et peuvent rester cachées pendant des mois, voire des années avant de déployer leurs charges malveillantes.

81 % des attaques visent des systèmes d’identité

Selon l’étude intitulée The State of Critical Infrastructure Resilience, 81 % des cyberattaques contre les services publics ont compromis des systèmes d’identité, tels qu’Active Directory, Entra ID et Okta, éléments clés pour l’authentification et le contrôle d’accès. De plus, 60 % des attaques proviennent de groupes soutenus par des États.

Ce qui est encore plus préoccupant, soulignent les experts, c’est que 38 % des opérateurs estiment ne pas avoir été attaqués, un chiffre qui témoigne d’une grande mécompréhension de l’exposition réelle aux menaces cybernétiques.

Une menace réelle pour la santé publique

“Le risque n’est pas seulement numérique : être privé d’électricité, de chauffage ou d’eau potable pendant des heures peut avoir des conséquences graves pour la population,” explique Mickey Bresman, PDG de Semperis. “Les entreprises doivent prendre conscience que des violations se produiront et se préparer à répondre rapidement et en toute sécurité.”

Le manque de résilience opérationnelle transforme ces secteurs en cibles de grande valeur pour des acteurs malveillants, capables de provoquer des impacts allant au-delà des préoccupations économiques : de la perturbation de l’ordre public aux risques sanitaires.

Recommandations clés de l’étude

Le rapport de Semperis propose une série de mesures pour renforcer la résilience opérationnelle face aux cyberattaques :

• Identifier les composants critiques (Tier 0) indispensables pour la récupération après une attaque.
• Prioriser la réponse et la récupération de ces systèmes avant ceux secondaires ou liés aux affaires.
• Documenter et pratiquer des plans de réponse par le biais d’exercices réels, impliquant tout le personnel concerné, et pas seulement le domaine informatique.
• Assurer une récupération rapide et sécurisée, évitant que les attaquants ne s’infiltrent dans les systèmes de sauvegarde pour maintenir leur présence même après un redémarrage.

Un appel urgent à l’action

“L’infrastructure qui garantit notre électricité et notre eau est la base de tout ce que nous faisons,” souligne Inglis. “Et pourtant, nous continuons à croire que d’autres s’occupent de sa protection. Mais personne d’autre ne le fera pour nous. Nous devons agir maintenant.”

L’étude complète, qui analyse les réponses de 350 professionnels de la sécurité dans les entreprises de services publics, est disponible en téléchargement gratuit sur le site officiel de Semperis : https://www.semperis.com/the-state-of-critical-infrastructure-resilience.

Avec ce rapport, Semperis renforce sa mission de protection des services d’identité des organisations les plus critiques du monde, une tâche devenue une priorité de sécurité nationale face au risque croissant de cyberattaques à grande échelle.

Source : Étude Semperis