Attaques v1.0

Attaque de la chaîne d’approvisionnement

Attaque qui passe par un prestataire, un fournisseur ou un logiciel de confiance pour atteindre ses clients.

Définition complète

Une attaque de la chaîne d’approvisionnement (en anglais supply chain attack) consiste à compromettre un maillon de confiance pour atteindre sa véritable cible : un prestataire informatique qui dispose d’accès chez ses clients, un éditeur de logiciel dont la mise à jour est piégée, une bibliothèque de code open source, un fournisseur connecté au réseau.

Le CERT-FR a documenté des attaquants cherchant à prendre position sur les réseaux de prestataires pour récupérer les données de leurs clients, voire accéder à leurs réseaux. La compromission initiale exploitait des services exposés sur Internet mal sécurisés, des identifiants trouvés en ligne ou des courriels piégés, puis des comptes VPN légitimes dérobés.

Ce risque progresse avec l’externalisation : selon le rapport DBIR 2026 de Verizon, un tiers (prestataire, fournisseur, partenaire) est impliqué dans 48 % des violations de données étudiées, en hausse de 60 % par rapport à l’édition précédente. Une PME peut être à la fois victime et vecteur, lorsqu’elle est elle-même fournisseur d’un grand compte.

Source : CERT-FR, Supply chain attacks : menaces sur les prestataires de service et les bureaux d’études, Verizon, Data Breach Investigations Report 2026

Exemple concret

Une PME de 30 salariés confie la gestion de son parc à un infogérant local, qui accède aux serveurs grâce à un outil de prise en main à distance. L’infogérant est piraté : les attaquants utilisent cet outil pour se connecter simultanément chez une vingtaine de ses clients et y déployer un rançongiciel en une nuit. La PME n’a commis aucune erreur directe, mais l’accès du prestataire était permanent et sans double authentification.

Comment se protéger

  • Tenir un inventaire des prestataires ayant un accès au système d’information et des interconnexions associées.
  • Appliquer le moindre privilège : accès limités dans le temps et au strict nécessaire, avec double authentification.
  • Superviser les connexions des prestataires et journaliser leurs actions.
  • Intégrer des exigences de sécurité dans les contrats (notification d’incident, mesures minimales, droit d’audit).
  • Vérifier la provenance et l’intégrité des logiciels et des mises à jour installés.
  • Prévoir dans le plan de réponse à incident le cas d’un fournisseur compromis.

Questions fréquentes

Termes liés

ISO 27001

Norme internationale de gestion de la sécurité de l'information.

NIS2

Directive européenne renforçant la cybersécurité des organisations.

Ransomware

Logiciel malveillant qui chiffre vos données et exige une rançon.

Vulnérabilité zero-day

Faille de sécurité exploitée avant d’avoir été rendue publique ou avant qu’un correctif soit disponible.
Trouver un prestataire spécialisé
Tester ma maturité cyber

Vous avez besoin d'un expert en Attaque de la chaîne d’approvisionnement ?

Créez votre compte pour recevoir des réponses de prestataires qualifiés.

Créer un compte gratuit Déjà inscrit ? Se connecter
Retour au lexique