Résumé

  • L’analyse publiée par Forescout le 5 août indique qu’une requête Shodan du 3 août a trouvé 4 407 contrôleurs exposant le port EtherNet/IP 44818.
  • Les États-Unis comptaient 2 844 résultats, soit 65 %, le Canada 513, l’Espagne 146, l’Italie 109 et l’Australie 96.
  • Plus de 70 % des résultats américains se trouvaient sur de grands réseaux mobiles : c’est une surface d’exposition cellulaire, pas la preuve d’une intrusion chez un opérateur.
  • Forescout a repéré 22 hôtes dans des villes citées dans la campagne contre l’eau, sans pouvoir confirmer leur compromission.
  • Dix-neuf des 22 semblaient vulnérables par leur micrologiciel à CVE-2017-16740 ; ni l’activation requise de Modbus TCP ni l’exploitation ne sont confirmées.
  • Le FBI recense des incidents dans au moins sept États depuis le 27 juillet, tandis que Forescout en mentionne 12 ; le chiffre du FBI est l’état officiel et le conflit doit rester visible.

L’exposition est le premier dénominateur, pas le nombre d’incidents

Les 4 407 résultats proviennent d’une recherche d’appareils accessibles depuis internet avec le port EtherNet/IP 44818. Ce sont les résultats d’une requête à un instant donné. Ce ne sont ni 4 407 services d’eau, ni 4 407 organisations uniques, victimes ou automates compromis. Une entité peut posséder plusieurs hôtes et certains appareils servent d’autres processus industriels.

La distinction ne rend pas l’exposition bénigne. Un contrôleur industriel directement joignable offre un chemin de découverte et d’interaction qui devrait être supprimé ou fortement protégé. Mais convertir le nombre en bilan d’attaque empêche de mesurer correctement le risque.

Le routage cellulaire concentre la surface

Selon Forescout, plus de 70 % des résultats américains appartenaient aux réseaux de grands opérateurs mobiles. Les routeurs cellulaires sont pratiques pour relier des installations éloignées, là où une ligne fixe coûte cher. Ils peuvent aussi créer un chemin public vers un équipement que son exploitant croyait isolé.

Cette concentration ne prouve ni compromission de l’opérateur ni propriété de l’automate. Elle montre le point de rencontre entre adressage, routage, pare-feu et configuration client. La correction exige donc un inventaire et une segmentation côté exploitant, ainsi qu’une aide des fournisseurs pour repérer les terminaux et proposer adressage privé ou contrôles gérés.

Le parc révèle des équipements à longue durée de vie

MicroLogix 1400 représente 50 % des résultats, CompactLogix 1769 22 %, MicroLogix 1100 8 % et ControlLogix 5590 8 %. La présence de familles anciennes rappelle que l’industrie conserve longtemps ses équipements. Le remplacement peut imposer arrêt, revalidation et modification du procédé physique.

Cette durée renforce le rôle des protections compensatoires : retirer la route publique, placer l’accès distant derrière une passerelle authentifiée, surveiller les protocoles et conserver des sauvegardes récupérables de la logique.

Les 22 correspondances ne prouvent pas 22 compromissions

Forescout a rapproché le scan des villes mentionnées dans la campagne et trouvé 22 hôtes. Dix-neuf utilisaient le même réseau mobile. Cette intersection aide à prioriser l’enquête, mais l’entreprise dit ne pas pouvoir confirmer que ces appareils aient été compromis.

Une géographie et un opérateur communs peuvent refléter des achats et architectures similaires. Ils n’établissent ni propriétaire commun, ni attribution, ni chemin d’intrusion unique. Les 22 constituent une file de vérification urgente, pas une liste de victimes.

La vulnérabilité du micrologiciel laisse une condition manquante

Dix-neuf appareils semblaient relever, par leur version, de CVE-2017-16740. L’avis Rockwell en définit la plage. Forescout précise que l’exploitation nécessite l’activation de Modbus TCP, condition non vérifiable à distance. Rien n’établit que la faille ait servi dans la campagne.

Il faut séparer vulnérabilité théorique, possibilité d’exploitation et exploitation observée. La correction reste urgente, mais le langage ne doit pas fusionner les étapes.

Le FBI fixe les effets opérationnels confirmés

Le FBI et l’EPA déclarent que des services d’au moins sept États ont signalé des incidents depuis le 27 juillet. Des acteurs ont changé adresses IP et mots de passe, provoquant la perte de surveillance ou de contrôle ; des baisses de pression et inondations ont été rapportées, et une victime a trouvé son projet PLC modifié. Aucune attribution n’est donnée.

Forescout parle d’au moins 12 États. L’avis du FBI étant la source officielle de l’incident, sept demeure le chiffre défendable jusqu’à mise à jour. Le décalage ne doit pas être masqué et montre pourquoi un scan ne remplace pas un dossier d’incident.

Les scans indépendants ne forment pas une série homogène

Censys a compté 4 148 hôtes Rockwell ou Allen-Bradley le 30 juillet et attribué 59 % à Verizon Business, AT&T Mobility et T-Mobile USA. Shodan en a produit 4 407 le 3 août selon Forescout. Moteurs, requêtes, dates et classifications diffèrent : l’écart ne prouve pas une hausse.

Dans la série de Forescout, le nombre est passé de 7 814 en mars 2020 à 4 169 en juin 2026, avant 4 407 en août. Cela indique une réduction de long terme, mais aussi un reliquat important et un récent rebond selon la même méthode.

Sources