L’ANSSI hausse le ton : l’eau et l’énergie françaises dans le viseur de cyberattaques plus redoutables

Le 23 octobre 2026, l'Agence nationale de la sécurité des systèmes d'information (ANSSI) a mis à jour ses recommandations destinées aux acteurs de l'eau et de l'énergie en France. Le message a changé de ton. Derrière les attaques qui visent ces infrastructures, l'agence ne voit plus seulement des hacktivistes en quête de publicité : elle évoque désormais des acteurs soupçonnés de liens avec des États étrangers, dont la Russie et l'Iran, sans attribuer formellement l'ensemble des opérations à un pays précis.

Cette mise à jour n'arrive pas par hasard. Stations de pompage, usines de traitement de l'eau, panneaux solaires installés sur des écoles : beaucoup de ces équipements dépendent de collectivités locales ou de petites structures, qui n'ont ni les équipes ni les budgets des grands opérateurs nationaux. C'est ce décalage que l'ANSSI veut combler, en rappelant que des mesures simples suffisent à réduire nettement le risque.

Ce qui a changé entre janvier et octobre 2026

La première version de la recommandation du CERT-FR, publiée en janvier 2026, visait surtout des groupes hacktivistes. Le profil de ces attaquants était connu : peu de technique avancée, beaucoup de mise en scène médiatique. L'objectif semblait être de faire parler d'eux, par exemple en affichant un message sur une interface ou en perturbant brièvement un service, plutôt que de causer des dégâts durables.

La version actualisée du 23 octobre 2026, rapportée par plusieurs observateurs spécialisés, apporte trois éléments nouveaux. D'abord, les cibles se situent des deux côtés de l'Atlantique : plusieurs infrastructures énergétiques en Europe et en Amérique du Nord ont été visées entre la fin de l'année 2025 et l'été 2026, et certaines attaques ont abouti à des compromissions réelles. Ensuite, la nature des acteurs a évolué : l'ANSSI évoque des opérations pouvant être liées à la Russie ou à l'Iran, sans attribution formelle de l'ensemble. Enfin, les conséquences potentielles sont plus graves, car ces acteurs disposent de moyens supérieurs à ceux des hacktivistes et visent la perturbation, voire le sabotage.

Cette gradation compte. Un hacktiviste cherche souvent à être vu. Un acteur étatique ou soutenu par un État peut chercher à être efficace : rester discret, comprendre le système visé, puis frapper au moment qui maximise l'impact. Les mesures qui suffisent à décourager un opportuniste ne suffisent pas toujours face à un adversaire patient et bien équipé.

Pourquoi les communes sont en première ligne

Le point le plus concret de cette alerte concerne l'organisation du terrain. En France, l'eau potable, l'assainissement et une partie de la production d'énergie locale relèvent souvent des communes, des intercommunalités ou de leurs syndicats.

Ce modèle a des avantages évidents, mais il crée aussi des points d'entrée. Un automate accessible depuis internet sans protection adaptée, un mot de passe par défaut jamais changé, un accès distant ouvert en permanence : autant de portes que les attaquants savent repérer, souvent de façon automatisée. Dans ce contexte, la taille de la collectivité ne protège pas : une petite structure peut être visée justement parce qu'elle est moins bien défendue qu'un grand opérateur.

L'ANSSI ajoute toutefois un message rassurant : des mesures simples suffisent à réduire nettement le risque. Il ne s'agit pas de transformer chaque commune en forteresse numérique, mais d'appliquer des fondamentaux : inventorier les équipements connectés, fermer les accès inutiles, changer les mots de passe par défaut, tenir les systèmes à jour et surveiller les connexions inhabituelles.

Que recommande concrètement l'ANSSI

Sans entrer dans le détail technique, la logique est claire. D'abord, connaître son périmètre : lister les automates, les capteurs, les accès distants et les prestataires, puis vérifier lesquels sont réellement exposés sur internet. Ensuite, réduire cette exposition : un équipement qui n'a pas besoin d'être accessible depuis internet ne doit pas l'être, et un accès distant doit passer par une authentification à plusieurs facteurs. Puis durcir les bases (mots de passe uniques, comptes distincts, mises à jour), surveiller les connexions inhabituelles, et préparer la réaction : savoir qui couper, qui appeler et comment revenir à un fonctionnement manuel, avant que l'attaque ne survienne. Le CERT-FR reste le point de contact de référence pour les signalements.

Pour les élus et les directeurs de services techniques, le point de départ le plus utile est souvent un échange avec le prestataire qui entretient les installations. Trois questions simples suffisent : quels équipements sont connectés à internet, qui peut y accéder à distance, et quand les mots de passe ont-ils été changés pour la dernière fois.

Ce qu'il faut retenir

L'alerte du 23 octobre 2026 marque un tournant : les attaquants soupçonnés ne sont plus seulement des opportunistes en quête de visibilité, mais des acteurs aux moyens supérieurs, possiblement liés à des États. Les cibles, elles, restent souvent modestes : des installations gérées par des communes et des syndicats, exposées par des accès distants mal protégés. La bonne nouvelle, selon l'ANSSI elle-même, c'est que les fondamentaux suffisent à réduire nettement le risque : inventorier, fermer les accès inutiles, durcir les mots de passe, mettre à jour et surveiller. Pour une collectivité, le meilleur moment pour commencer ce travail, c'est avant l'incident, pas après. Cette mise à jour arrive d'ailleurs alors que le cadre européen se durcit pour les fabricants comme pour les exploitants, avec le règlement sur la cyber-résilience dont les échéances courent jusqu'en décembre 2027.

Frequently Asked Questions

Qu'est-ce que l'ANSSI et le CERT-FR ?

L'ANSSI est l'autorité française chargée de la cybersécurité de l'État et des opérateurs critiques. Le CERT-FR est sa cellule de veille, d'alerte et de réponse aux attaques : elle publie les recommandations et recueille les signalements d'incidents.

La mise à jour du 23 octobre 2026 attribue-t-elle formellement les attaques à la Russie ou à l'Iran ?

Non. Selon les comptes rendus de cette mise à jour, l'ANSSI évoque des opérations pouvant être liées à la Russie ou à l'Iran, sans attribution formelle de l'ensemble. Cette prudence est normale : l'attribution d'une cyberattaque repose sur des indices techniques et contextuels, et elle reste souvent partielle.

Une petite commune est-elle vraiment une cible ?

Oui, selon la logique même de l'alerte. Les attaquants repèrent souvent leurs cibles de façon automatisée, en cherchant des équipements exposés sur internet, sans se soucier de la taille de la collectivité. Une petite structure moins bien protégée peut donc être visée précisément parce qu'elle est plus facile d'accès.