7/24/2026 • 5 min de lecture
Les attaques de la chaîne d'approvisionnement, (ou supply chain attacks) n'entrent pas par effraction. Elles utilisent la porte qu'on leur a ouverte.
En compromettant un fournisseur, une bibliothèque ou un logiciel de confiance, l’attaquant peut entrer dans l’environnement cible avec des droits légitimes et un accès valide. C’est précisément ce qui rend ces attaques si difficiles à contrer : les défenses traditionnelles cherchent d’abord ce qui paraît anormal, alors que l’activité malveillante peut ici emprunter des chemins autorisés.
Plutôt que de cibler directement une organisation, l'attaquant compromet un maillon de son écosystème, un fournisseur de logiciels, un prestataire de services, une bibliothèque open source ou un mécanisme de mise à jour, pour atteindre sa cible finale via un canal qu'elle considère comme sûr.
En 2024, les violations impliquant un tiers représentaient 30 % des brèches documentées par Verizon, contre 15 % l'année précédente (DBIR 2025, plus de 22 000 incidents analysés). Cette progression illustre l'intérêt croissant des cybercriminels pour les fournisseurs, prestataires et partenaires : en compromettant un seul intermédiaire connecté à de nombreux clients, ils peuvent démultiplier l'impact d'une seule intrusion.
Ce n'est pas un nouveau type d'attaque, mais un modèle ancien devenu particulièrement rentable avec la multiplication des interconnexions entre organisations. Plus un fournisseur est intégré aux systèmes de ses clients, plus il constitue une cible stratégique.
À retenir : une supply chain attack ne compromet pas seulement un fournisseur. Elle transforme chaque relation de confiance en voie d'accès potentielle aux systèmes et aux données de l'organisation cliente.
En septembre 2019, des opérateurs du renseignement russe compromettent l'environnement de développement de SolarWinds, éditeur de la plateforme de supervision réseau Orion utilisée par des milliers d'organisations dans le monde. Pendant plusieurs mois, ils observent, comprennent l'environnement de build et injectent discrètement un backdoor baptisé SUNBURST dans les mises à jour logicielles. À partir de mars 2020, ces mises à jour sont distribuées normalement à environ 18 000 clients, qui les installent de confiance. Parmi les victimes actives confirmées : neuf agences fédérales américaines (dont le Trésor, le Département d'État et le Département de la Sécurité intérieure), Microsoft, Intel, Cisco et Deloitte (CISA). L'attaque est restée indétectée pendant plus de huit mois avant d'être découverte par FireEye en décembre 2020.
En 2013, les attaquants ne ciblent pas directement Target, mais compromettent les identifiants de Fazio Mechanical Services, un prestataire chargé de la maintenance des systèmes de climatisation. Grâce à ces accès légitimes, ils pénètrent dans le système d'information de l'enseigne, progressent jusqu'aux terminaux de paiement et y déploient le malware BlackPOS. Pendant plusieurs semaines, celui-ci collecte les données des cartes bancaires avant qu'elles ne soient exfiltrées. L'attaque conduit au vol des données de près de 40 millions de cartes de paiement et des informations personnelles d'environ 70 millions de clients.
En 2023, le groupe Cl0p exploite une vulnérabilité zero-day dans MOVEit Transfer, une solution de transfert de fichiers utilisée par des milliers d'organisations. British Airways n'est pas directement compromise : ce sont les systèmes de son prestataire de paie Zellis, utilisateur de MOVEit, qui sont attaqués. Les cybercriminels accèdent ainsi aux données de salariés de plusieurs grandes entreprises britanniques, dont British Airways, la BBC et Boots.
À retenir. L'objectif réaliste n'est pas de garantir qu'aucun fournisseur ne sera jamais compromis. C'est de faire en sorte qu'une compromission ne donne pas automatiquement accès à toutes les données sensibles de l'organisation.
Les questionnaires de sécurité, les audits contractuels, les inventaires de dépendances et les SBOM restent indispensables. Ils permettent de réduire le risque, mais pas de l’éliminer.
Les trois incidents précédents le montrent chacun à leur manière. SolarWinds était un éditeur reconnu et largement utilisé. Le prestataire de Target disposait d’un accès nécessaire à ses opérations. Zellis traitait légitimement des données de paie et utilisait MOVEit dans le cadre de cette mission.
Aucun de ces acteurs ne présentait, en apparence, le profil d’un fournisseur à écarter automatiquement lors d’un processus de qualification classique. Le problème ne résidait donc pas uniquement dans leur niveau de sécurité ou leur réputation. Il concernait aussi ce qu’ils pouvaient manipuler une fois compromis.
Les mesures de sécurisation de la supply chain agissent principalement en amont de la compromission. Les approches data-centric agissent sur un autre plan car elles limitent ce qu’un attaquant peut voir, consulter, copier ou transférer une fois qu’il dispose déjà d’un accès.
Les mesures de protection en amont visent à limiter le risque de compromission d'un fournisseur ou d'un compte tiers. Elles n'apportent toutefois qu'une visibilité partielle sur les données potentiellement exposées. Le DSPM (Data Security Posture Management) complète cette approche en permettant d'identifier où se trouvent les données sensibles, qui peut y accéder et dans quelles conditions. Cette visibilité facilite l'évaluation de l'exposition des données, aussi bien en prévention qu'après un incident.
En complément, la DLP (Data Loss Prevention) s'intéresse aux usages des données. Elle permet de détecter des transferts ou des accès inhabituels, y compris lorsqu'ils sont réalisés à partir d'un compte ou d'une application autorisés. Elle constitue ainsi une couche supplémentaire de surveillance visant à limiter les risques d'exfiltration ou d'utilisation inappropriée des données.
Voici quelques questions qui vous permettront d’évaluer ce qu’une organisation maîtrise réellement dans sa chaîne de données.
Les mesures de prévention restent indispensables, mais elles ne couvrent qu'une partie du problème. Audits, SBOM, gestion des dépendances, politique de mise à jour : ces pratiques renforcent la sécurité de la supply chain, sans pour autant supprimer le risque. Lorsque l'un de ses maillons est compromis, la capacité à conserver une visibilité et un contrôle sur les données confiées aux tiers devient un facteur déterminant pour en limiter les conséquences.
Cette évolution des menaces conduit d'ailleurs à remettre en question le principe même de confiance implicite. Les attaques de la chaîne d'approvisionnement montrent qu'un fournisseur légitime, une mise à jour signée ou une application autorisée peuvent devenir des vecteurs d'intrusion. Dans ce contexte, les approches Zero Trust reposent sur un principe simple : aucune identité, aucun équipement, aucune application ou aucun accès ne doit être considéré comme fiable par défaut. Chaque demande d'accès est vérifiée, contextualisée et limitée au strict nécessaire.
