Attaque de la chaîne d’approvisionnement
supply chain attack · attaque par rebond · attaque indirecte · compromission de fournisseur · chaîne d’approvisionnement logicielle · software supply chain
Attaque qui compromet un fournisseur, un prestataire ou un composant logiciel de confiance pour atteindre, par ricochet, tous ses clients.
En pratique
Plutôt que d’attaquer mille entreprises, l’attaquant en compromet une seule : l’éditeur d’un logiciel, un infogérant, une bibliothèque open source. La mise à jour ou l’accès légitime devient alors le cheval de Troie. Ces attaques sont redoutables car elles exploitent la confiance accordée aux partenaires. La directive NIS2 (en cours de transposition en France) et le Cyber Resilience Act européen font de la sécurité des fournisseurs et des composants une exigence explicite.
En décembre 2020, on a découvert que des mises à jour du logiciel de supervision SolarWinds Orion contenaient une porte dérobée insérée lors de leur fabrication. La CISA a ordonné aux agences fédérales américaines de déconnecter immédiatement les serveurs concernés ; les États-Unis ont attribué l’attaque au renseignement extérieur russe (SVR).
Comment s’en protéger
- Inventorier vos fournisseurs critiques et leurs accès, et réduire ces accès au strict nécessaire.
- Exiger une SBOM et suivre les vulnérabilités de vos dépendances (analyse de composition logicielle).
- Contrôler l’intégrité des mises à jour et des paquets : signatures, sources officielles, versions épinglées.
- Prévoir dans les contrats des clauses de sécurité et de notification des incidents.
