Ottawa et Québec enquêtent sur des cyberattaques de pirates pro-russes qui ont visé des usines d'eau potable au pays dans les derniers mois, a appris Radio-Canada. Aux États-Unis, le FBI se penche sur plus d'une trentaine d'attaques similaires survenues cet été de la part de pirates pro-iraniens.

Nous avons appris qu'une usine d'eau potable de la municipalité régionale de Halton, à l'ouest de Toronto, a été la cible d'une cyberattaque de pirates pro-russes, le 23 juillet.

Cet événement, jamais rendu public, est survenu le même jour qu'une attaque semblable contre la station de traitement de l'eau de Saint-Noël, dans le Bas-Saint-Laurent, au Québec.

Dans les deux cas, les pirates pro-russes ont diffusé les preuves de leurs méfaits avec des captures d'écran et des vidéos.

Radio-Canada a pu consulter des messages échangés dans des groupes de discussion de la plateforme Telegram, où les pirates se vantent d'avoir exposé des vulnérabilités d'infrastructures essentielles au Canada.

Capture d'écran d'un groupe de discussion des pirates pro-russes à propos de l'attaque contre la station de traitement des eaux de Georgetown, à Halton Hills.

Photo : Radio-Canada

Les pompes ne démarrent pas, la pression fluctue, et pourtant ils continuent à croire en leur propre sécurité, a écrit le groupe pro-russe NoName, à propos de son action, avant d'ironiser sur un exemple classique de la "protection" canadienne des infrastructures critiques.

Pendant que les responsables parlent de fiabilité, nous sommes tranquillement à l'intérieur de leur système. [...] C'est risible. Et très canadien.

La Police régionale de Halton et la Gendarmerie royale du Canada (GRC) ont été alertées par l'expert en cybersécurité Steve Waterhouse.

C'est moi qui les ai appelés pour les réveiller, car personne n'était au courant, raconte M. Waterhouse, qui a été Officier de sécurité des systèmes d'information au ministère de la Défense nationale et sous-ministre adjoint au ministère de la Cybersécurité et du Numérique du Québec.

Steve Waterhouse, expert en cybersécurité (Photo d'archives)

Photo : Radio-Canada

La Région a immédiatement mis en œuvre son plan d'intervention en matière de cybersécurité, nous a dit le chef des services municipaux, Andre Farr, dans une déclaration écrite. Aucun système n'a été compromis, selon lui.

Le Centre canadien pour la cybersécurité a aussi averti la municipalité régionale de Halton, le 23 juillet.

Les cybermenaces continuent de gagner en ampleur et en complexité, et les adversaires ciblent de plus en plus les infrastructures essentielles et les services essentiels sur lesquels la population canadienne compte chaque jour.

La GRC confirme s'intéresser à cette situation, dans une réponse écrite à Radio-Canada : Nous sommes au courant du phénomène et nous restons à l’affût des activités de groupes qui ciblent des organisations privées ou publiques.

Les usines d'eau potable municipales sont considérées par le Canada comme des infrastructures essentielles.

Photo : CBC / John Rieti

Au Québec, ça aurait pu être pire

Notre enquête a permis d'en apprendre davantage sur la cyberattaque qui a visé l'usine d'eau potable de Saint-Noël, dans le Bas-Saint-Laurent, qui alimente 350 personnes.

Le 23 juillet, elle a été la cible du groupe pro-russe Z-Alliance, affilié avec NoName.

Dans une vidéo de 10 minutes publiée sur Telegram, on voit que les pirates sont parvenus à se connecter sur l'interface informatique. Ils ont désactivé les alarmes de niveau d'eau et changé le niveau de chlore.

Capture d'écran d'une vidéo où les pirates ont filmé leur action contre l'usine d'eau potable de Saint-Noël, au Québec.

Photo : Radio-Canada

Mais les cybercriminels ont commis une erreur qui a protégé l'eau acheminée aux citoyens, selon Francis Bélanger, l'opérateur de l'usine, avec qui nous nous sommes entretenus.

En dessous d'une certaine hauteur, les pompes arrêtent, elles tombent en protection. En mettant les sondes à zéro, les pirates ont enclenché un mécanisme qui a protégé le village, raconte-t-il.

En plus, l'usine fonctionne avec la gravité plutôt que des pompes. Ailleurs, dans d'autres usines, ça aurait pu être pire, explique M. Bélanger.

On a été chanceux, ajoute le maire de Saint-Noël, Gilbert Marquis. Ils ont fait une erreur qui a permis d'éviter que l'eau surtraitée ne soit injectée dans le réseau. Elle est restée dans l'usine.

Le maire de Saint-Noël, Gilbert Marquis, a émis un communiqué aux médias pour annoncer la cyberattaque, le 30 juillet, quelques heures après l'appel de Radio-Canada dans le cadre de cette enquête.

Photo : Radio-Canada / Jean-François Deschênes

L'accès informatique à l'usine d'eau potable est maintenant protégé par des clés cryptées, ce qui n'était pas le cas auparavant.

La Sûreté du Québec enquête

Selon trois sources, la Sûreté du Québec (SQ) a lancé une enquête sur cette cyberattaque, mais le corps policier n'a pas voulu nous le confirmer, pour ne pas nuire aux éventuelles enquêtes en cours.

Il est dans le mandat de la SQ de mener des enquêtes qui touchent les infrastructures essentielles au Québec, répond la porte-parole Renée Labonne. Ces enquêtes sont menées en partenariat avec les agences d'application de la loi au Québec et au Canada, dont la GRC.

Le ministère de la Cybersécurité et du Numérique du Québec a aussi été informé de la situation et la prend très au sérieux nous a répondu par courriel la porte-parole Caroline Lemieux.

Il y a 226 installations municipales de production d'eau potable au Québec.

Photo : Radio-Canada / Daniel Ricard

Une autre usine non identifiée a été attaquée au Québec

Saint-Noël n'est pas la première municipalité québécoise dont la station de traitement des eaux a subi une cyberattaque.

Le Centre de la sécurité des télécommunications Canada a été informé le 7 octobre dernier que le groupe de cybercriminels russe NoName avait réussi à accéder à une installation municipale de traitement de l’eau du Québec et que cet accès non autorisé lui a donné notamment la capacité de contrôler secrètement les pompes, le dosage de chlore, les réglages de pression et les systèmes de surveillance et d’alerte.

Il faut redoubler d'efforts, selon Steve Waterhouse. C'est encore lui qui avait alerté Saint-Noël, avec son confrère Francis Coats, ingénieur et expert en sécurité de l'École de technologie supérieure à Montréal (ETS).

Ce qui est nouveau, c'est qu'on a des usines de plus en plus connectées, explique M. Coats, avec de plus en plus d'automatisation.

Francis Coats, dans un laboratoire de l'ETS (Photo d'archives)

Photo : Radio-Canada / Jonathan Dupaul

Ça devient des cibles stratégiques d'une très haute importance. [...] Ce n'est plus juste de lancer des bombes, c'est de prendre le contrôle de l'électricité, de l'eau potable, des télécommunications...

Nous estimons que les systèmes de gestion des eaux représentent presque assurément une cible stratégique pour les auteurs de cybermenace parrainés par un État, confirme une note publiée, l'an dernier, par le dirigeant principal du Centre canadien pour la cybersécurité, Rajiv Gupta.

M. Gupta ajoutait que ces systèmes sont à la base de notre vie moderne, et pourtant, ils sont souvent oubliés. Quand ils fonctionnent normalement, personne ne les remarque. Toutefois, lorsqu’ils ne fonctionnent pas, tout le monde le sait.

Rajiv Gupta est le dirigeant principal du Centre canadien pour la cybersécurité.

Photo : Radio-Canada / CBC

Nous évaluons qu’il est très probable que des auteurs de cybermenace non étatiques continuent de compromettre et de perturber de façon opportuniste les technologies opérationnelles des systèmes de gestion des eaux du Canada qui sont exposés à Internet, surtout en lien avec des événements géopolitiques majeurs.

« Du laxisme »

Ce qui est arrivé à Saint-Noël n'aurait jamais dû arriver, selon Francis Coats. C'était une attaque de niveau élémentaire.

Selon l'expert, le Canada est trop vulnérable. Ce qui m'inquiète, c'est le laxisme, ajoute M. Coats.

En 2022, la Commission municipale du Québec avait identifié des enjeux de cyberattaques liés à l'efficacité du processus de gestion des accès et la sécurité des systèmes de contrôle industriels sélectionnés, dont le traitement de l’eau.

Dans un rapport bilan, publié en mai 2026, la Commission a cité en exemples le traitement de l'eau des municipalités de Rouyn-Noranda et de La Prairie.

La première avait appliqué toutes les recommandations pour renforcer sa sécurité, mais pas la seconde. La Prairie n'avait pas encore complété deux des cinq recommandations de 2022.

De nombreuses usines de traitement des eaux ont été attaquées aux États-Unis, cet été.

Photo : Radio-Canada / Alban Normandin

Des conséquences concrètes aux États-Unis

Aux États-Unis, des usines de traitement de l'eau dans une dizaine d'États ont été attaquées, dont plus de trente stations d'eau potable dans le Minnesota les 26 et 27 juillet.

Ces cyberattaques ont provoqué des perturbations dans plusieurs villes, selon les autorités, dont des avis d'ébullition d'eau, des pertes de pression et des inondations.

Une partie de ces activités a dégradé les opérations liées à l'eau, indique le FBI dans un communiqué daté du 27 juillet.

La police américaine a recommandé aux opérateurs d'usines de renforcer la sécurité de leurs systèmes et de les déconnecter de l'Internet en attendant.

Le Centre pour la cybersécurité du Canada dit avoir pris note de l'alerte récente des autorités américaines.

Dans son manifeste du 23 juillet, le groupe Z-Alliance affirme aussi avoir obtenu un accès complet au système de gestion des équipements d'une installation pétrolière et gazière canadienne, sans préciser laquelle.