Attaques supply chain : quand vos fournisseurs deviennent la menace

Une attaque supply chain (ou attaque par chaîne d'approvisionnement) consiste à compromettre un fournisseur de confiance — un éditeur de logiciel, un prestataire IT ou une dépendance open source — pour atteindre ses clients en cascade. On n'attaque plus la cible directement : on attaque ce qu'elle installe.

---

🔹 Le principe : la confiance comme vecteur d'attaque

Chaque organisation dépend d'un écosystème de fournisseurs : logiciels métiers, mises à jour automatiques, bibliothèques open source, prestataires d'infogérance. En compromettant un seul maillon de cette chaîne, un attaquant peut toucher des centaines, voire des milliers de victimes d'un coup. C'est une attaque par rebond à très grande échelle.

---

🚨 Les Cas Emblématiques 🚨

- SolarWinds (2020) : Une mise à jour piégée du logiciel Orion a touché environ 18 000 organisations, dont des agences fédérales américaines.
- Kaseya (2021) : Un ransomware diffusé via un outil d'administration MSP a frappé environ 1 500 entreprises.
- 3CX (2023) : Un client VoIP trojanisé distribué aux utilisateurs de l'éditeur.
- XZ Utils (2024) : Une backdoor quasi introduite dans une bibliothèque de compression au cœur de Linux, découverte in extremis par un ingénieur.

---

🔹 Les Vecteurs d'Attaque

- Mises à jour logicielles compromises : L'attaquant infiltre le processus de build ou de distribution de l'éditeur.
- Dépendances open source : Paquets malveillants sur npm ou PyPI, typosquatting, comptes de mainteneurs piratés.
- Prestataires IT avec accès distant (MSP) : Un infogérant compromis donne accès à tous ses clients.
- Matériel : Composants ou firmwares altérés avant livraison.

---

🚨 Pourquoi C'est Redoutable 🚨

La victime fait confiance au canal compromis : les signatures sont valides, la mise à jour est officielle, le prestataire est légitime. L'attaque contourne ainsi les défenses périmétriques — pare-feu, antivirus, filtrage — puisqu'elle arrive par la porte d'entrée, invitée.

C'est d'ailleurs pour cette raison que la directive NIS2 impose explicitement la sécurité de la chaîne d'approvisionnement : la conformité passe désormais par la maîtrise de vos fournisseurs.

---

✅ Comment Se Protéger ? ✅

- Inventaire des fournisseurs et dépendances : Établir un SBOM (Software Bill of Materials) pour savoir exactement ce qui tourne chez vous.
- Évaluation sécurité des prestataires : Questionnaires, clauses contractuelles, audits réguliers.
- Principe du moindre privilège : Limiter strictement les accès accordés aux tiers.
- Surveillance des dépendances : Outils comme Dependabot, alertes CVE sur vos bibliothèques.
- Verrouillage de versions et vérification d'intégrité : Pinner les versions, vérifier les empreintes des paquets.
- Segmentation réseau : Isoler les systèmes critiques pour limiter la propagation.
- Plan de réponse à incident : Inclure explicitement le scénario "fournisseur compromis".

---

🔎 Conclusion 🔎

Les attaques supply chain exploitent ce que vous avez de plus précieux : la confiance. On ne peut pas se passer de fournisseurs, mais on peut les connaître, les évaluer et limiter leur pouvoir de nuisance. Inventaire, moindre privilège et surveillance continue sont vos meilleures armes — et une exigence de conformité avec NIS2.