23 juillet 2026, une personne non autorisée s'introduit et prend le contrôle d'une station d'eau potable desservant 350 personnes. Pourtant, cette attaque était non ciblée.
Le groupe pro-russe Z-Alliance entre dans le système de la station d'eau potable, désactive les alarmes de niveau d'eau et modifie le dosage de chlore, puis publie une vidéo de dix minutes sur Telegram. L'employé responsable détecte l'intrusion peu après 8 h. L'eau est restée potable, mais ce n'est pas une défense qui a protégé le village : selon Radio-Canada, en mettant les sondes de niveau à zéro, les pirates ont déclenché sans le vouloir l'arrêt automatique des pompes.
Radio-Canada, 30 juillet 2026 · Le Soleil et Noovo, 31 juillet 2026. Enquête de la Sûreté du Québec.
Le groupe NoName revendique l'accès à la station de traitement de l'eau de Georgetown et publie des captures de son écran de supervision. Le 27 juillet, il écrit : « Pendant que les responsables parlent de fiabilité, nous sommes tranquillement à l'intérieur de leur système. » Ce sont un expert en cybersécurité, puis la presse, qui ont prévenu la municipalité.
Radio-Canada · revendication publiée par le groupe.
Pertes de pression, avis d'ébullition, retours en opération manuelle. Le 30 juillet, le FBI compte au moins sept États touchés ; le décompte atteindra douze début août, et l'attribution n'est toujours pas tranchée. Le même jour, l'agence américaine de cybersécurité parle d'une escalade significative des attaques contre les équipements de contrôle accessibles depuis Internet.
Tenable · ABC News, 4 août 2026 · alerte du FBI et alerte sectorielle de la CISA du 30 juillet 2026.
Vingt-deux mois avant le 23 juillet, le gouvernement du Canada avait écrit ce qui allait se produire.
« Nous estimons que des parties prenantes non étatiques pro-Russie tenteront probablement de perturber les systèmes de TO vulnérables branchés à Internet au sein des infrastructures essentielles canadiennes lorsque l'occasion se présentera. »
« Cette activité cible de façon opportuniste les appareils accessibles par Internet et exploite les vulnérabilités de base, comme les logiciels d'accès à distance non sécurisés ou l'utilisation de mots de passe par défaut. »
Le mot important n'est pas « Russie ». C'est « opportuniste » et « accessibles par Internet ».
Personne, dans un bureau à l'étranger, n'a choisi Saint-Noël. Personne n'a évalué son budget ni son importance stratégique. Un balayage automatisé lancé sur Internet a permis de trouver un service sensible ouvert, et a simplement interagi avec celui-ci. Un village de 387 habitants, une ville de 63 000, aucune importance : la taille n'a jamais fait partie de l'équation. Par ailleurs, ce n'était pas les premiers.
Neuf mois plus tôt, le même Centre signalait trois incidents canadiens en quelques semaines : une installation d'eau, une entreprise pétrolière, une exploitation agricole. Alerte AL25-016, 29 octobre 2025.
La phrase qui résume tout le problème ne vient pas des attaquants, mais d'un expert en cybersécurité cité par Radio-Canada, qui a prévenu les corps policiers dans le cas ontarien : « C'est moi qui les ai appelés pour les réveiller, car personne n'était au courant. ». Une municipalité peut être à l'intérieur d'un système revendiqué publiquement sur Telegram, et l'apprendre par un tiers.
Ce n'est pas une hypothèse. C'est un constat d'auditeur public, posé au Québec, puis revérifié trois ans et demi plus tard.
En 2022, les trois possédaient des données sur ces équipements, mais aucune ne les avait classés selon leur criticité. La première recommandation était d'inventorier et classifier les actifs : tout commence là. Au suivi de mai 2026, deux villes affichaient 100 % de recommandations appliquées ou ayant donné lieu à des progrès jugés satisfaisants. La troisième était à 43 %, et la Commission poursuit ses travaux auprès d'elle.
Ce n'est pas de la mauvaise volonté, c'est une question de bras. Une municipalité de 1 200 habitants n'a pas de responsable de la sécurité de l'information : elle a une direction générale qui fait tout, et un fournisseur informatique payé pour que ça fonctionne, pas pour surveiller ce qui est visible de l'extérieur. Chez les entreprises canadiennes, la part ayant du personnel spécialisé en cybersécurité est passée de 61 % à 50 % en deux ans ; l'enquête ne couvre pas les administrations publiques.
Commission municipale du Québec, audit du 1er novembre 2022 et rapport de suivi du 21 mai 2026. Les villes ne sont pas nommées ici à dessein : le point n'est pas laquelle a pris du retard, c'est que trois ans et demi ne suffisent pas. Effectifs : Statistique Canada, ECCC 2023 (12 462 entreprises).
Le gouvernement du Canada le dit en une phrase. Dans son évaluation consacrée aux systèmes d'eau, le Centre canadien pour la cybersécurité juge qu'il y a presque certainement, au Canada, des exploitants de systèmes d'eau dont des appareils sont exposés sur Internet. La question qu'il laisse ouverte, c'est lesquels. Centre canadien pour la cybersécurité, Les cybermenaces visant les systèmes de gestion des eaux au Canada, information arrêtée au 31 mai 2025.
Sous-domaines, adresses IP, services et fournisseurs rattachés à la municipalité, à partir d'un seul nom de domaine.
Bureau à distance, portails d'accès et pare-feu périmétriques, interfaces de gestion d'équipement joignables publiquement.
Qui peut écrire au nom du domaine de la ville, et quels services envoient réellement en son nom.
Stockage infonuagique laissé public, fichiers de configuration et journaux accessibles de l'extérieur.
Certificats qui approchent de l'expiration, adresses pointant encore vers un service abandonné.
Un document daté pour le conseil municipal, la MRC, ou votre assureur.
L'analyse est entièrement externe : aucun logiciel sur vos serveurs, aucun accès à vos systèmes, aucune interruption. Elle démarre d'un nom de domaine et regarde votre municipalité comme le ferait quelqu'un qui cherche une porte.
Ce que ce n'est pas, et il faut le dire : nous ne sécurisons pas votre usine de traitement d'eau. Nous ne parlons pas aux automates, nous n'entrons pas dans votre réseau, et nous ne remplaçons pas un audit sur place. Nous vous disons ce que le monde voit de votre municipalité depuis Internet, et nous vous le redisons quand ça change. On ne peut pas protéger ce qu'on ne sait pas qu'on possède : c'est ce premier pas que personne n'a le temps de faire.
Elles ne demandent aucune connaissance technique. Elles se posent à votre responsable informatique, à votre fournisseur de services, ou aux deux dans la même rencontre.
Si les réponses vous inquiètent, le premier geste ne coûte rien et ne nous concerne pas : demandez cette liste par écrit, avec une date. Beaucoup de municipalités découvrent à ce moment-là que personne ne la tient.
Deux façons de commencer, sans parler à personne.
Qui peut écrire au nom de votre municipalité ? Vérification gratuite de ce que votre domaine publie en SPF, DKIM et DMARC. Aucun compte, aucune carte, résultat immédiat.