L'eau et l'énergie attaquées : décembre 2025, la répétition générale du dommage matériel

Archives : reconstitution rédigée en novembre 2026

Thème du mois de décembre 2025 · par cybercoverinsurance

En décembre 2025, trois épisodes ont montré, en quelques semaines, ce qui se passe quand les attaques atteignent les installations. Le 18 décembre, le Danemark a attribué à la Russie une attaque de 2024 contre une station d'eau qui avait fait éclater des canalisations et privé d'eau des logements. À la fin du mois, un ransomware a chiffré environ 1 000 systèmes de l'autorité nationale de l'eau en Roumanie. Le 29 décembre, une attaque destructrice a touché plus de 30 parcs éoliens et photovoltaïques et une grande centrale de cogénération en Pologne.

Pour qui porte le risque cyber, les trois cas sont un banc d'essai pour trois thèmes : le dommage matériel causé par une cyberattaque, les exclusions pour acteurs étatiques et le cumul sur les infrastructures critiques. Aucun des trois n'a causé de dommage grave, et c'est justement pour cela qu'il faut les lire comme des répétitions générales.

Ce que l'on sait

Danemark, la station d'eau. Fin 2024, le groupe prorusse Z-Pentest a modifié la pression de l'eau à la station de Tureby Alkestrup, à Køge, à 35 km au sud de Copenhague. Au moins trois canalisations ont éclaté, environ 50 foyers ont été privés d'eau pendant sept heures et 450 pendant une heure. Le 18 décembre 2025, le service de renseignement de la défense danois a attribué l'attaque à des groupes liés à l'État russe, la première attribution publique de ce type par Copenhague. Le responsable de la station, Jan Hansen, a conseillé aux autres entreprises de ne pas rogner sur la cybersécurité et de souscrire une assurance cyber (Euronews). Le même service a désigné le groupe NoName057(16) pour les attaques par saturation contre des sites danois avant les élections locales de 2025 (Security Affairs).

Roumanie, l'autorité de l'eau. Fin décembre 2025, une attaque a compromis environ 1 000 systèmes informatiques de l'autorité nationale Apele Române et de 10 de ses 11 administrations de bassin. Les attaquants ont utilisé BitLocker, l'outil de chiffrement intégré à Windows, plutôt qu'un ransomware propre. Serveurs d'applications, bases de données, messagerie, sites web et DNS ont été touchés. Selon la direction nationale de la cybersécurité, les systèmes opérationnels qui pilotent les installations hydrauliques n'ont pas été atteints et la gestion de l'eau s'est poursuivie (eSecurity Planet).

Pologne, le réseau énergétique. Le 29 décembre 2025, un attaquant a touché plus de 30 parcs éoliens et photovoltaïques à leurs points de raccordement au réseau, une grande centrale de cogénération qui fournit de la chaleur à près d'un demi-million de clients et une entreprise industrielle. Dans les parcs renouvelables, des automates de télécontrôle, des relais de protection et des équipements de communication ont été endommagés : les postes ont perdu la liaison avec le gestionnaire du réseau de distribution, mais la production d'électricité s'est poursuivie. Dans la centrale, un logiciel de détection a bloqué un programme d'effacement des données. CERT Polska a relié l'infrastructure utilisée à un groupe connu sous les noms de Berserk Bear ou Dragonfly, associé à la Russie, et a parlé de la première activité destructrice publiquement décrite de ce groupe (CERT Polska).

Comment ils sont entrés en Pologne. Selon CERT Polska, dans tous les cas les attaquants sont entrés par des équipements périmétriques exposés à internet, configurés comme VPN et pare-feu, avec des connexions sans authentification multifacteur. Pour l'entreprise industrielle, une configuration volée auparavant et publiée sur un forum criminel a été utilisée (Help Net Security). Un rapport ultérieur, d'août 2026, a décrit une quatrième attaque le même jour contre une centrale plus petite, avec une turbine à vapeur brièvement arrêtée, et un accès par un réseau mobile privé mal configuré (CERT Polska).

Ce que l'on ne sait pas. Les coûts des trois épisodes, l'existence éventuelle de couvertures d'assurance et, pour la Roumanie, l'auteur et le point d'entrée n'ont pas été rendus publics.

De la donnée au dommage matériel

Le risque change de nature. Un vol de données produit des coûts de notification et de la responsabilité. Une pression modifiée dans une station d'eau produit des canalisations rompues et des usagers sans eau. Quand l'attaque atteint l'installation, le sinistre passe de la police cyber aux polices dommages et responsabilité civile, et la question devient de savoir laquelle répond.

Le cyber silencieux revient en jeu. De nombreuses polices dommages ont exclu ou clarifié le risque cyber ces dernières années. Un dommage matériel causé par une attaque peut tomber entre les deux couvertures : exclu de la police dommages, non prévu par la police cyber. Les cas danois et polonais montrent que le scénario n'est pas théorique.

La séparation entre informatique de bureau et installations compte. En Roumanie, le chiffrement s'est arrêté aux systèmes de bureau et l'eau a continué de couler (eSecurity Planet). En Pologne, les attaquants ont atteint les équipements de terrain. Pour qui porte le risque, la séparation entre les deux réseaux est la donnée qui distingue un sinistre d'interruption d'un sinistre avec dommages matériels.

Acteurs étatiques et exclusions

Trois épisodes, trois attributions différentes. Au Danemark, l'attribution est officielle, par un service de renseignement. En Pologne, elle vient de CERT Polska, l'organisme technique national. En Roumanie, il n'y a pas d'attribution. Les exclusions pour attaques étatiques qui exigent une attribution par un gouvernement s'appliqueraient différemment dans les trois cas.

Infrastructures critiques, le point le plus sensible. Les exclusions introduites ces dernières années visent souvent les attaques qui altèrent le fonctionnement d'un service essentiel d'un État. L'eau et l'énergie sont le cas type. Une attaque comme celle de Pologne, si elle avait arrêté la production, aurait été proche du seuil de ces clauses.

L'assuré ne choisit pas l'attaquant. Un gestionnaire d'eau ou un producteur d'énergie ne peut pas prévoir s'il sera touché par des criminels ou par un groupe étatique. Le libellé doit préciser à l'avance comment est traitée une attaque attribuée après le sinistre, même des mois plus tard, comme au Danemark.

Le cumul sur les infrastructures

Plus de 30 installations le même jour. En Pologne, le même attaquant a touché des dizaines d'installations de propriétaires différents avec la même technique (CERT Polska). Pour un portefeuille de producteurs d'énergie renouvelable, souvent petits et nombreux, c'est un scénario de cumul concret.

La même faiblesse partout. Des équipements périmétriques exposés sans authentification multifacteur, et des configurations de réseaux mobiles privés que CERT Polska dit fréquentes hors de Pologne aussi. Une faiblesse commune à de nombreux assurés est le point de départ d'un événement de cumul.

Le petit exploitant est le plus exposé. Une station d'eau locale comme Tureby Alkestrup dispose de ressources limitées pour la sécurité. Le conseil de son responsable de s'assurer (Euronews) révèle une demande de couverture qui arrive précisément là où les contrôles sont les plus faibles.

Ce qu'il faut apporter aux renouvellements

Impact pour les assureursÉlevé

En un mois, des attaques attribuées ou liées à la Russie ont touché des installations d'eau et d'énergie au Danemark et en Pologne, avec des canalisations éclatées et des dizaines d'installations endommagées, tandis qu'un ransomware arrêtait l'autorité roumaine de l'eau.

Côté portefeuille, les cas de décembre invitent à compter combien d'assurés des secteurs de l'énergie et de l'eau utilisent les mêmes équipements périmétriques et les mêmes réseaux de communication. Une attaque étatique coordonnée contre des dizaines de petites installations est un scénario de cumul à tester avec les exclusions, car c'est là que la limite du portefeuille et le libellé se rencontrent.

Sources

• Euronews – l'attribution danoise et l'attaque contre la station de Tureby Alkestrup
• Security Affairs – les groupes désignés par le renseignement danois
• eSecurity Planet – l'attaque contre Apele Române
• CERT Polska – rapport sur l'attaque contre le secteur de l'énergie
• Help Net Security – le point d'entrée en Pologne
• CERT Polska – rapport de suivi, août 2026