Les cybercriminels parviennent de plus en plus fréquemment à infiltrer les organisations, non pas en attaquant directement leurs systèmes centraux, mais en exploitant les vulnérabilités de leurs fournisseurs. De plus, de nombreux incidents ne sont même pas rendus publics. Selon Unit 42, l’équipe spécialisée en renseignement sur les menaces et réponse aux incidents de Palo Alto Networks, plus de 25 % (environ 28 %) des cas analysés en Europe au cours de l’année dernière ont trouvé leur origine dans des failles chez des tiers.

Il est probable que ce pourcentage soit encore plus élevé, car de nombreux attaques initiées via des fournisseurs externes ne sont pas détectées ni classées comme incidents liés à la chaîne d’approvisionnement, ce qui complique l’évaluation de l’ampleur réelle du problème.

Chris George, Directeur général pour la région EMEA chez Unit 42 de Palo Alto Networks, souligne que les enquêtes ont tendance à se concentrer sur la protection de l’organisation affectée et la restauration de ses activités dans les plus brefs délais, plutôt que sur une analyse approfondie du point de départ de l’attaque. En conséquence, de nombreux incidents liés à la chaîne d’approvisionnement ne sont pas identifiés comme tels, laissant les entreprises peu conscientes du niveau de risque présent dans leur réseau de fournisseurs.

L’orage parfait : utilisation de l’IA, connectivité croissante et dépendance excessive aux tiers vulnérables

Les secteurs les plus ciblés via la chaîne d’approvisionnement comprennent la technologie et les services financiers, en raison de la valeur élevée des données qu’ils gèrent et de leur vaste réseau de fournisseurs. De même, les cabinets d’avocats et les sociétés de services professionnels deviennent des cibles fréquentes en raison de leur accès à des informations confidentielles de grandes corporations. Les marques de luxe sont également dans le viseur des cybercriminels qui cherchent à accéder aux données personnelles de clients fortunés.

Plusieurs raisons principales expliquent ces attaques :

• Écosystèmes numériques élargis : les entreprises font partie d’écosystèmes de plus en plus étendus, avec des centaines ou des milliers de fournisseurs, ce qui multiplie la surface d’attaque.
• Principe du maillon faible : les attaquants exploitent des fournisseurs plus petits et moins protégés pour profiter de la confiance que leur accorde une grande organisation.
• Asymétrie économique : compromettre des fournisseurs est généralement plus facile et plus rapide que d’attaquer directement une grande entreprise, rendant le rapport risque-bénéfice très attractif pour les cybercriminels.
• Accélération par l’IA : le ransomware en mode SaaS, les courtiers d’accès et les outils d’IA pour reconnaissance, exploitation et ingénierie sociale facilitent et abaissent le coût des attaques contre la chaîne d’approvisionnement. Selon Unit 42, une « tempête parfaite » se forme en raison de l’usage accru de l’IA, de la connectivité croissante et de la dépendance excessive à des tiers vulnérables.

Types d’attaques sur la chaîne d’approvisionnement

• Attaques d’envenimement logiciel : manipulation du cycle de développement en altérant le code, les bibliothèques ou les dépendances avant que le produit n’atteigne l’utilisateur final.
• Manipulation matérielle : modification de composants lors de la fabrication ou du transport pour y insérer des éléments malveillants.
• Attaques sur les processus opérationnels : exploitation de la relation entre une entreprise et ses fournisseurs ou partenaires pour introduire des contenus malveillants dans des activités apparemment légitimes.

L’altruisme cybernétique comme stratégie de défense

Unit 42 recommande d’adopter une série de mesures de protection, notamment : cartographier toutes les dépendances numériques, en identifiant l’ensemble des fournisseurs et des connexions ; détecter les maillons faibles, repérer et corriger les vulnérabilités avant que les attaquants ne le fassent ; et partager la sécurité en aval dans la chaîne, c’est-à-dire étendre les outils, la formation et la protection aux fournisseurs et sous-traitants plus petits. Ces mesures devraient s’intégrer dans une stratégie d’« altruïsme cybernétique », fondée sur l’idée pragmatique que les grandes organisations partagent leurs capacités de sécurité avec leurs plus petits fournisseurs, car tous ont le même niveau d’exposition au risque.