Cyberattaque Z-Pentest soutenue par le GRU contre l'usine hydraulique de Tureby Alkestrup : ruptures de canalisations et pannes d'eau à Køge, au Danemark

Fin 2024, le groupe de hackers pro-russe Z-Pentest a accédé à l'interface homme-machine de Tureby Alkestrup Waterworks à Køge, au Danemark via un service VNC exposé sur Internet et protégé par un mot de passe faible ou par défaut. À l’aide d’outils d’analyse open source pour identifier l’appareil exposé et d’un mot de passe brutal pour l’authentification, les attaquants ont manipulé les contrôles de pression d’eau via l’IHM, provoquant l’éclatement de trois conduites d’eau. Environ 50 foyers de Køge ont perdu le service d'eau pendant sept heures ; environ 450 foyers supplémentaires ont perdu leur approvisionnement pendant une heure. Jan Hansen, responsable de l'aqueduc, a confirmé l'attaque et a reconnu que le service public avait opté pour une configuration de cybersécurité moins chère et moins sécurisée au cours de la période précédant l'intrusion. Le service danois de renseignement de défense (DDIS) a publiquement attribué l'attaque à Z-Pentest le 19 décembre 2025. C'était la première fois que les autorités danoises attribuaient officiellement une cyberattaque causant des dommages aux infrastructures physiques à un acteur lié à la Russie. L'avis CISA AA25-343A (9 décembre 2025), publié conjointement avec le FBI, la NSA et des agences partenaires internationales, documente la méthodologie de fonctionnement de Z-Pentest : analyse des services VNC accessibles sur Internet sur les ports par défaut 5900 à 5910, force brute des mots de passe faibles ou par défaut et émission de commandes directement via l'IHM sans déployer de malware. L'avis identifie les systèmes d'approvisionnement en eau et de traitement des eaux usées comme un secteur cible principal. Le ministère américain de la Justice a confirmé le 10 décembre 2025 que CyberArmyofRussia_Reborn (CARR), l'organisation dont les membres fondateurs de Z-Pentest se sont séparés en septembre 2024, était « fondée, financée et dirigée » par le renseignement militaire russe (GRU).

Trois conduites d'eau ont éclaté à Køge, au Danemark. Environ 50 ménages ont perdu leur approvisionnement en eau pendant sept heures ; environ 450 foyers supplémentaires ont connu des pannes d'environ une heure. Aucun blessé n'a été signalé et aucun problème de qualité de l'eau n'a été identifié. Le coût financier pour le service public n’a pas été divulgué publiquement.