Québec et Ottawa enquêtent sur des cyberattaques contre des usines d’eau potable

Entre juillet et août 2026, plusieurs usines d’eau potable au Canada ont été victimes de cyberattaques menées par des groupes de pirates informatiques pro-russes. Deux attaques distinctes ont été confirmées : l’une à Halton, près de Toronto, le 23 juillet, et une autre à Saint-Noël, dans le Bas-Saint-Laurent (Québec), le même jour. Ces groupes, comme NoName ou Z-Alliance, ont revendiqué leurs actions en publiant des captures d’écran et des vidéos prouvant leur intrusion. Les pirates ont exploité des failles dans les systèmes informatiques pour perturber le fonctionnement des usines, notamment en désactivant des alarmes ou en modifiant les niveaux de chlore. Ces infrastructures sont considérées comme critiques par le Canada, car elles assurent l’accès à une ressource vitale : l’eau potable. Les autorités canadiennes et québécoises, dont la Gendarmerie royale du Canada (GRC) et la Sûreté du Québec (SQ), ont lancé des enquêtes pour identifier les responsables et renforcer les mesures de sécurité.

À Halton, en Ontario, une usine d’eau potable a été ciblée par le groupe NoName, qui a diffusé des preuves de son intrusion sur la plateforme Telegram. Les pirates ont ironisé sur la prétendue sécurité des infrastructures canadiennes, affirmant avoir facilement accès aux systèmes. Aucune perturbation n’a été signalée, mais l’incident a révélé des vulnérabilités. Au Québec, à Saint-Noël, le groupe Z-Alliance a réussi à se connecter à l’interface de contrôle de l’usine, désactivant les alarmes de niveau d’eau et modifiant le dosage de chlore. Cependant, une erreur des pirates a déclenché un mécanisme de protection : les pompes se sont arrêtées automatiquement, évitant une contamination de l’eau. L’usine fonctionnant par gravité plutôt que par pompage, l’impact a été limité. Le maire de Saint-Noël, Gilbert Marquis, a qualifié l’incident de chance, soulignant que la situation aurait pu être bien plus grave ailleurs.

Plusieurs acteurs ont joué un rôle clé dans la détection et la gestion de ces cyberattaques. Steve Waterhouse, ancien officier de sécurité des systèmes d’information au ministère de la Défense nationale, a alerté les autorités après avoir découvert l’attaque contre Halton. Il a souligné que personne n’avait initialement signalé l’incident, révélant un manque de vigilance. La GRC et le Centre canadien pour la cybersécurité ont confirmé enquêter sur ces événements. Au Québec, la Sûreté du Québec (SQ) a également lancé une enquête, bien qu’elle n’ait pas confirmé publiquement l’information pour ne pas nuire aux investigations en cours. Le ministère de la Cybersécurité et du Numérique du Québec a été informé et prend la situation très au sérieux. Ces réactions illustrent l’importance accordée à la protection des infrastructures essentielles, mais aussi les défis persistants en matière de détection précoce des menaces.

Les cyberattaques contre les usines d’eau potable ont mis en lumière des lacunes majeures dans la sécurité des infrastructures canadiennes. Francis Coats, expert en sécurité de l’École de technologie supérieure (ETS) à Montréal, a qualifié l’attaque contre Saint-Noël de niveau élémentaire, soulignant un laxisme inquiétant dans la gestion des accès et la sécurisation des systèmes. En 2022, la Commission municipale du Québec avait déjà identifié des risques liés à la gestion des accès et à la sécurité des systèmes de contrôle industriels, comme ceux utilisés pour traiter l’eau. Le rapport de mai 2026 cite des exemples concrets : la municipalité de Rouyn-Noranda avait appliqué toutes les recommandations de sécurité, contrairement à La Prairie, qui n’en avait mis en place que trois sur cinq. Ces retards exposent les infrastructures à des risques accrus, d’autant que les systèmes de gestion de l’eau deviennent de plus en plus connectés et automatisés.

Les cyberattaques contre les infrastructures d’eau potable s’inscrivent dans un contexte géopolitique tendu. Aux États-Unis, plus de trente attaques similaires ont été recensées cet été, notamment dans le Minnesota, où des perturbations ont entraîné des avis d’ébullition d’eau, des pertes de pression et des inondations. Le FBI a recommandé aux opérateurs d’usines de renforcer leurs systèmes et de les déconnecter d’Internet en attendant. Le Centre canadien pour la cybersécurité a pris note de ces alertes et souligne que les systèmes de gestion de l’eau sont des cibles stratégiques pour les cybermenaces, qu’elles soient étatiques ou non. Rajiv Gupta, dirigeant principal du Centre, a déclaré qu’il est très probable que des groupes non étatiques continuent de cibler ces infrastructures, surtout lors d’événements géopolitiques majeurs. Ces attaques ne se limitent pas à l’eau : le groupe Z-Alliance a également revendiqué un accès à une installation pétrolière et gazière canadienne, sans préciser laquelle.