Attaque supply chain : ce que les grands incidents nous apprennent

Une attaque supply chain, ou attaque par la chaîne d'approvisionnement, consiste à compromettre un fournisseur (éditeur de logiciel, infogérant, prestataire de services, composant open source) pour atteindre ses clients. L'attaquant emprunte un canal de confiance, une mise à jour officielle ou un accès d'administration, et touche d'un coup des dizaines ou des milliers d'organisations. Neuf incidents documentés, de NotPetya à Shai-Hulud, montrent comment ces attaques fonctionnent et comment en réduire la portée. Elles sont l'une des raisons d'être de la gestion des risques tiers.

L'ENISA, l'agence de l'Union européenne pour la cybersécurité, définit l'attaque par la chaîne d'approvisionnement comme une opération en deux temps : l'attaquant compromet d'abord un ou plusieurs fournisseurs, puis utilise cet accès pour atteindre la cible finale, le client. Le fournisseur n'est pas la cible : c'est le tremplin.

Trois raisons expliquent l'efficacité de cette approche :

• Le levier : compromettre un éditeur ou un infogérant donne accès à tous ses clients à la fois.
• La confiance : une mise à jour signée par l'éditeur, une connexion depuis l'outil de l'infogérant ou un échange avec un prestataire habituel ne déclenchent aucune alerte.
• L'angle mort : la plupart des organisations ne savent pas précisément quels fournisseurs accèdent à quoi, et encore moins qui sont les fournisseurs de leurs fournisseurs.

Dans son étude de 2021 sur 24 attaques, l'ENISA relevait que 66 % visaient le code du fournisseur et que, dans 58 % des cas, l'objectif final était d'accéder aux données des clients, notamment personnelles ou de propriété intellectuelle. Elle anticipait alors un quadruplement de ces attaques en un an.

Le calcul est simple pour un attaquant : plutôt que de forcer les défenses de mille entreprises, il en contourne une seule, moins protégée, qui dispose déjà d'un accès légitime à toutes les autres. Les éditeurs de logiciels de gestion, les infogérants de PME et les plateformes qui mutualisent des données pour tout un secteur sont donc des cibles de choix.

Les données plus récentes confirment la tendance. Le rapport DBIR 2025 de Verizon constate que l'implication d'un tiers dans les violations de données a doublé, à 30 %. En France, l'ANSSI note dans son panorama de la cybermenace 2025 que certaines exfiltrations de données sont « consécutives à la compromission d'un prestataire », consacre une partie de son analyse au ciblage des sous-traitants comme vecteur de compromission, et cite l'attaque contre Collins Aerospace qui a perturbé plusieurs aéroports européens. Elle évoque même une forme nouvelle : la compromission d'un système d'intelligence artificielle qui génère du code.

Les attaques sur le matériel sont plus difficiles à documenter publiquement que les autres, mais le guide SP 800-161 du NIST sur la gestion des risques de la chaîne d'approvisionnement les traite au même titre : provenance des composants, intégrité à la livraison, maintenance par des tiers.

Des éditeurs piégés : NotPetya, SolarWinds, 3CX

Le 27 juin 2017, NotPetya se diffuse par une mise à jour piégée de M.E.Doc, un logiciel de comptabilité ukrainien dont ESET a analysé la porte dérobée. Ce logiciel local suffit à paralyser des groupes mondiaux : Saint-Gobain estimait l'impact à environ 220 millions d'euros de chiffre d'affaires et 65 millions de résultat d'exploitation sur le seul premier semestre 2017. En décembre 2020, SolarWinds révèle que les mises à jour de son logiciel Orion publiées entre mars et juin 2020 contenaient un code malveillant ; l'éditeur estime à moins de 18 000 le nombre de clients concernés. En mars 2023, l'application de téléphonie 3CX est piégée à son tour, et Mandiant découvre que l'éditeur avait lui-même été compromis par un autre logiciel piégé, X_Trader : la première attaque « en cascade » observée.

Un outil d'infogérance : Kaseya

Le 2 juillet 2021, le groupe REvil exploite une vulnérabilité de Kaseya VSA, l'outil de télé-administration utilisé par de nombreux infogérants. Selon l'éditeur, moins de 60 clients directs et moins de 1 500 entreprises en aval sont chiffrés, et une rançon de 70 millions de dollars est exigée pour un déchiffreur universel.

Des prestataires qui concentrent les données : MOVEit, Viamedis et Almerys, Collins Aerospace

À partir du 27 mai 2023, le groupe Cl0p exploite une faille inconnue du logiciel de transfert de fichiers MOVEit Transfer. Emsisoft recense 2 773 organisations et près de 96 millions de personnes touchées, souvent à travers un prestataire de paie ou d'assurance qui utilisait le logiciel. En France, fin janvier 2024, deux opérateurs de tiers payant pour les complémentaires santé, Viamedis et Almerys, sont attaqués : plus de 33 millions de personnes sont concernées selon la CNIL. Le 19 septembre 2025, un rançongiciel chez Collins Aerospace, fournisseur du logiciel d'enregistrement MUSE, perturbe Heathrow, Bruxelles et Berlin.

L'open source : XZ Utils, Shai-Hulud

Le 29 mars 2024, une porte dérobée est découverte dans la bibliothèque de compression XZ Utils à partir de la version 5.6.0 : elle visait le service SSH de nombreuses distributions Linux, avec un score de gravité de 10 sur 10, et a été repérée avant d'atteindre la plupart des versions stables. En septembre 2025, le ver Shai-Hulud vole les jetons des développeurs et republie des paquets npm piégés : plus de 500 paquets compromis selon la CISA.

La frise ci-dessous reprend chaque incident, avec son vecteur, son impact et sa leçon.

• La signature ne protège pas de l'éditeur lui-même. SolarWinds et 3CX distribuaient des versions signées : seule la surveillance du comportement des logiciels permet de repérer l'anomalie.
• Les outils d'administration sont des cibles prioritaires. Kaseya l'a montré : l'outil qui pilote tous les postes doit avoir des droits limités et être surveillé comme un compte d'administrateur.
• Vos données vivent chez vos prestataires. MOVEit et Viamedis-Almerys rappellent qu'une fuite peut survenir sans que votre propre système soit touché.
• Le rang 2 compte. 3CX a été compromis par le logiciel d'un autre éditeur ; MOVEit a atteint des organisations via leurs prestataires.
• La concentration crée du risque systémique. Quelques opérateurs de tiers payant ou un seul logiciel d'enregistrement suffisent à toucher tout un secteur.
• La continuité fait la différence. Les aéroports qui ont pu basculer vers un enregistrement manuel ont limité l'arrêt : c'est le rôle d'un plan de continuité d'activité.

Aucune organisation ne peut auditer tous ses fournisseurs. L'objectif est de réduire la probabilité d'une compromission et, surtout, sa portée.

Connaître et évaluer ses fournisseurs

Inventoriez vos fournisseurs, les accès et les données que vous leur confiez, classez-les par criticité, et évaluez les plus critiques avec un questionnaire de sécurité fournisseur appuyé sur des preuves. Intégrez ces scénarios à votre analyse de risques : la méthode EBIOS Risk Manager consacre justement un atelier à l'écosystème et aux parties prenantes par lesquelles un attaquant peut passer.

Encadrer les accès des prestataires

Le guide de l'ANSSI sur l'externalisation insiste sur les interventions à distance : authentification multifacteur, comptes nominatifs, passage par une passerelle ou un bastion maîtrisé par vos équipes, droits limités au besoin, journalisation et revue régulière. Ces exigences s'inscrivent au contrat, idéalement dans un plan d'assurance sécurité.

Maîtriser les mises à jour et les composants

• Déployez les mises à jour par vagues, en commençant par un environnement de test.
• Figez les versions de vos dépendances, comme l'a recommandé la CISA après Shai-Hulud, et tenez l'inventaire de vos composants logiciels (SBOM).
• Protégez les comptes de vos développeurs et de vos chaînes de publication par une authentification résistante à l'hameçonnage.

Détecter, contenir, continuer

Segmentez le réseau pour qu'un outil compromis ne voie pas tout, filtrez les flux sortants, surveillez les comportements anormaux des logiciels d'administration. Associez vos fournisseurs critiques à votre plan de réponse aux incidents et à vos exercices, et prévoyez pour chaque service essentiel un mode dégradé. Le schéma ci-dessous montre comment ces mesures réduisent la portée d'une même compromission.

Réagir quand un fournisseur annonce une compromission

Le jour où un éditeur ou un prestataire publie un avis de sécurité, chaque heure compte. Préparez la séquence à l'avance :

1. Qualifier l'exposition : utilisez-vous le produit ou le service, quelle version, sur quels systèmes, avec quelles données ? Un inventaire à jour répond en minutes au lieu de jours.
2. Couper ou restreindre les accès du fournisseur concerné, suspendre ses mises à jour automatiques et isoler les serveurs qui hébergent son outil.
3. Rechercher les traces d'exploitation à partir des indicateurs publiés par l'éditeur, le CERT-FR ou l'ENISA, sur toute la période d'exposition et pas seulement depuis l'annonce.
4. Notifier si nécessaire : CNIL sous 72 heures en cas de violation de données personnelles, ANSSI ou autorité sectorielle selon vos obligations.
5. Revoir la relation : exiger du fournisseur un rapport d'incident, réévaluer sa criticité et ses engagements, et décider de poursuivre, d'encadrer davantage ou de sortir.