C'est quoi une supply chain attack ?
Définition, mécanisme, cas célèbres (SolarWinds, MOVEit, 3CX, Kaseya), statistiques 2024 et 5 réflexes de protection. Tout sur l'attaque par compromission de la chaîne d'approvisionnement — la menace qui démultiplie l'impact d'une seule intrusion à des milliers d'organisations.
C'est quoi une supply chain attack ?
Une attaque supply chain (ou attaque par compromission de la chaîne d'approvisionnement) consiste à compromettre un fournisseur logiciel, un prestataire ou un sous-traitant pour atteindre ses clients via la relation de confiance. Particulièrement difficile à détecter — elle utilise des canaux légitimes (mises à jour signées, accès délégués, infogérance).
La supply chain attack démultiplie l'impact d'une seule intrusion à des milliers d'organisations. Compromettre un fournisseur unique permet d'atteindre potentiellement l'ensemble de sa base clients — d'où sa valeur stratégique pour les attaquants étatiques (cas SolarWinds 2020) ou les groupes de ransomware (cas Kaseya 2021, MOVEit 2023). NIS2 et DORA imposent désormais des obligations strictes de gestion du risque fournisseur. Pour la dimension organisationnelle complète, voir crise cyber.
Comment fonctionne une attaque supply chain
3 vecteurs principaux
- Compromission de l'éditeur logiciel. L'attaquant infiltre l'environnement de développement et insère du code malveillant dans une mise à jour officielle, signée légitimement (cas SolarWinds Orion).
- Compromission d'un prestataire MSP / infogérant. L'attaquant compromet un fournisseur d'infogérance qui dispose d'accès à dizaines ou centaines de clients (cas Kaseya).
- Exploitation d'un produit utilisé par de nombreuses organisations. Découverte d'une vulnérabilité zero-day dans un logiciel répandu, exploitation avant patch (cas MOVEit Transfer).
Pourquoi c'est dévastateur
Une seule intrusion peut toucher des centaines à des milliers d'organisations. MOVEit a compromis 2 600+ organisations, SolarWinds 18 000 clients dont des agences fédérales américaines. Aucune solution de défense côté client ne protège complètement contre un fournisseur compromis.
La supply chain attack en chiffres
Les supply chain attacks marquantes
SolarWinds Orion
Compromission de l'outil de monitoring SolarWinds. 18 000 clients touchés dont Microsoft, Cisco, agences fédérales US. Attribué à APT29 (SVR russe).
Kaseya VSA
Compromission d'un outil MSP. 1 500 entreprises chiffrées simultanément par REvil. Rançon globale demandée : 70 M$.
MOVEit Transfer
Exploitation d'un zero-day par Cl0p. Plus de 2 600 organisations victimes via leur fournisseur de transfert de fichiers, dont plusieurs administrations françaises.
3CX
Client de communication unifié installé dans des dizaines de milliers d'entreprises. Compromission via une attaque supply chain en cascade (X_Trader compromis avant 3CX).
XZ Utils backdoor
Tentative de backdoor dans une bibliothèque utilisée massivement sur Linux. Découverte fortuite par un développeur Microsoft. A failli compromettre l'écosystème Linux mondial.
Snowflake
Vol de credentials de clients Snowflake (sans MFA). Plus de 165 organisations victimes dont Ticketmaster, AT&T, Santander.
5 réflexes pour se protéger contre les supply chain attacks
Cartographie des dépendances
Identifier ses fournisseurs critiques et le périmètre d'accès de chacun. Mise à jour annuelle minimum.
Audits fournisseurs
Clauses de sécurité contractuelles, exigence de certifications (ISO 27001, SOC 2), audits annuels des fournisseurs critiques.
Segmentation réseau
Un fournisseur compromis ne doit pas pouvoir accéder à tout le SI. Principe du moindre privilège strictement appliqué.
Veille CVE active
Abonnement CERT-FR, monitoring des CVE des produits utilisés, patch management discipliné particulièrement sur les outils tiers.
Plan de crise « fournisseur compromis »
Scénario spécifique testé en exercice — quoi faire si un de vos prestataires critiques est compromis et a accès à votre SI.
L'approche Twist face aux supply chain attacks
Twist intervient sur la dimension organisationnelle et contractuelle de la gestion du risque fournisseur cyber.
- Cartographie des dépendances numériques : ateliers avec achats, DSI et métiers pour identifier les points de fragilité.
- Clauses contractuelles type : modèle de clauses cyber-sécurité à intégrer aux contrats fournisseurs (notification d'incident, droit d'audit, conformité ISO 27001).
- Exercice « fournisseur compromis » : simulation d'un cas où un prestataire critique annonce une compromission. Test de la chaîne notification → impact → décision.
FAQ Supply chain attack
C'est quoi une supply chain attack ?
Une attaque supply chain compromet un fournisseur (éditeur logiciel, infogérant, prestataire) pour atteindre ses clients via la relation de confiance. L'attaquant utilise des canaux légitimes — mises à jour signées, accès délégués — ce qui rend la détection particulièrement difficile. Croissance forte depuis 2020 (cas SolarWinds, Kaseya, MOVEit, 3CX).
Pourquoi les supply chain attacks sont si dangereuses ?
Trois raisons. (1) Démultiplication : compromettre un fournisseur permet d'atteindre des centaines à milliers de clients en une seule attaque (MOVEit a touché plus de 2 600 organisations). (2) Détection difficile : utilisation de canaux légitimes, signatures valides. (3) Périmètre incontrôlable : la victime ne maîtrise pas la sécurité du fournisseur compromis.
Comment se protéger contre une supply chain attack ?
Cinq leviers : cartographie de la dépendance numérique, audits de sécurité fournisseurs (clauses contractuelles, certifications ISO 27001), segmentation réseau, veille CVE active, plan de gestion de crise spécifique au scénario fournisseur compromis.
Quels sont les cas célèbres de supply chain attack ?
SolarWinds (2020) — 18 000 organisations touchées. Kaseya (2021) — 1 500 entreprises chiffrées par REvil. MOVEit Transfer (2023) — 2 600+ organisations victimes via Cl0p. 3CX (2023). XZ Utils (2024) — backdoor déjouée in extremis. Snowflake (2024) — vol de credentials clients.
Quelles obligations réglementaires couvrent les fournisseurs ?
NIS2 (entrée en application 17 octobre 2024) impose aux entités essentielles et importantes d'évaluer et de gérer les risques liés à leurs fournisseurs critiques. DORA pour la finance impose un cadre encore plus strict avec un registre des prestataires TIC critiques et leur supervision directe.
Sécuriser votre chaîne fournisseurs cyber ?
30 minutes pour cadrer vos enjeux et dessiner une trajectoire réaliste. Gratuit, sans engagement.
Discuter avec un consultant