L'attaque SolarWinds de 2020 a marqué un tournant : 18 000 organisations compromises via une mise à jour logicielle piégée d'un seul fournisseur. Depuis, les attaques par la chaîne d'approvisionnement (supply chain) n'ont cessé de se multiplier. En 2025, l'ENISA estime que 62 % des cyberattaques exploitent la relation de confiance entre une entreprise et ses fournisseurs. Votre sécurité n'est plus seulement votre affaire — elle dépend de l'ensemble de votre écosystème.
Anatomie d'une attaque supply chain
Une attaque supply chain cible un maillon faible de la chaîne de confiance pour atteindre la cible finale. L'attaquant ne s'en prend pas directement à l'entreprise visée mais compromet un fournisseur, un prestataire ou un composant logiciel tiers. L'évaluation des fournisseurs et la sécurité logicielle sont des étapes clés pour prévenir les attaques sur la chaîne d'approvisionnement. L'évaluation fournisseurs sous l'angle de la sécurité logicielle doit faire partie intégrante de votre processus d'achat.
Les vecteurs d'attaque principaux
- Compromission logicielle : injection de code malveillant dans une mise à jour légitime (SolarWinds, Codecov, 3CX). L'entreprise installe la mise à jour en confiance et se retrouve compromise.
- Dépendances open source : les bibliothèques tierces intégrées dans les projets de développement peuvent contenir des vulnérabilités ou être piégées par un attaquant (typosquatting sur npm/PyPI, maintainer takeover).
- Accès fournisseurs privilégiés : un prestataire de maintenance informatique disposant d'un accès VPN permanent au réseau constitue une porte d'entrée idéale.
- Matériel compromis : des équipements réseau ou IoT livrés avec des firmwares piégés (cas documentés avec certaines caméras IP et routeurs).
Exemples marquants récents
Outre SolarWinds, l'attaque Kaseya (juillet 2021) a touché 1 500 entreprises via un outil de gestion IT. L'attaque MOVEit (2023) a exploité une faille dans un logiciel de transfert de fichiers utilisé par des milliers d'organisations. En 2024, la compromission du package XZ Utils a failli introduire une backdoor dans la quasi-totalité des serveurs Linux mondiaux.
Évaluer le risque fournisseur
La première ligne de défense consiste à cartographier vos dépendances et à évaluer le niveau de sécurité de chaque fournisseur critique.
Cartographie des fournisseurs IT
Dressez un inventaire exhaustif de tous les prestataires ayant un accès à votre système d'information ou à vos données : hébergeur, infogérant, éditeur de logiciel métier, prestataire de paie, cabinet comptable, agence web, fournisseur de téléphonie IP. Pour chaque fournisseur, documentez le périmètre d'accès, les données exposées et le niveau de criticité.
Questionnaire de sécurité fournisseur
Soumettez à vos fournisseurs critiques un questionnaire couvrant les points essentiels :
- Certifications et audits : ISO 27001, SOC 2, HDS (Hébergeur de Données de Santé) ?
- Gestion des accès : MFA obligatoire, principe de moindre privilège, traçabilité des connexions ?
- Gestion des vulnérabilités : délai moyen de correction des failles critiques, programme de bug bounty ?
- Plan de réponse à incident : procédure de notification en cas de compromission, délai de communication ?
L'application des principes du Zero Trust aux accès fournisseurs est fondamentale : chaque connexion tierce doit être vérifiée, limitée dans le temps et supervisée.
Sécuriser la chaîne logicielle
Pour les entreprises qui développent des applications, la sécurité de la chaîne logicielle est un enjeu majeur.
SBOM : l'inventaire logiciel
Un SBOM (Software Bill of Materials) liste toutes les dépendances d'un logiciel — y compris les bibliothèques transitives. Des outils comme Syft, Trivy ou Dependency-Track génèrent et analysent automatiquement les SBOM pour identifier les composants vulnérables. La directive NIS 2 et le Cyber Resilience Act européen rendent le SBOM progressivement obligatoire.
Vérification de l'intégrité
- Signature des artefacts : vérifiez les signatures cryptographiques des logiciels et mises à jour avant installation (GPG, Sigstore).
- Hashes de vérification : comparez les empreintes SHA-256 des fichiers téléchargés avec celles publiées par l'éditeur.
- Registres de transparence : des initiatives comme Sigstore/Rekor permettent de vérifier la provenance et l'intégrité de chaque artefact logiciel.
Checklist essentielle pour sécuriser votre chaîne d'approvisionnement
Protéger votre organisation contre les attaques supply chain exige une démarche structurée qui dépasse le simple audit ponctuel. Voici les actions concrètes à mettre en œuvre sans attendre.
- Inventoriez chaque fournisseur ayant un accès logique ou physique à vos systèmes et classez-les par niveau de criticité.
- Exigez contractuellement des clauses de sécurité : chiffrement des échanges, notification sous 24 h en cas d'incident, droit d'audit annuel.
- Segmentez les accès : aucun prestataire ne doit disposer de privilèges administrateur sur l'ensemble du SI. Appliquez le principe du moindre privilège et révisez les droits chaque trimestre.
- Surveillez les flux réseau en provenance de vos partenaires avec un SIEM ou un NDR capable de détecter les comportements anormaux.
- Validez l'intégrité des mises à jour logicielles en vérifiant les signatures numériques et les hash avant tout déploiement en production.
En complément, réalisez au moins un exercice de crise annuel simulant la compromission d'un fournisseur stratégique. Cet exercice révèle les angles morts de votre plan de réponse et renforce la coordination entre vos équipes IT, juridique et direction générale. Une supply chain sécurisée n'est pas un état figé : c'est un processus d'amélioration continue qui s'adapte à chaque évolution de votre écosystème.
ACME intègre la sécurité supply chain dans l'ensemble de ses prestations : évaluation systématique des fournisseurs tiers, audit des dépendances logicielles, supervision des accès prestataires et accompagnement à la conformité NIS 2. Nos clients bénéficient d'une visibilité complète sur leur chaîne de confiance numérique.
Mesures de protection concrètes pour les PME
Même sans budget dédié conséquent, des mesures pragmatiques réduisent significativement le risque supply chain : limitez les accès fournisseurs au strict nécessaire et dans le temps (accès JIT — Just In Time), segmentez le réseau pour isoler les zones accessibles aux prestataires, surveillez les connexions tierces via des alertes automatisées, et intégrez des clauses de sécurité dans vos contrats fournisseurs (obligation de notification sous 24 heures en cas d'incident, droit d'audit, pénalités).
FAQ
Comment savoir si l'un de mes fournisseurs a été compromis ?
Surveillez les sources d'information spécialisées : alertes CERT-FR, bulletins ANSSI, flux de threat intelligence. Abonnez-vous aux notifications de sécurité de vos fournisseurs critiques. Des services comme SecurityScorecard ou BitSight fournissent une notation de sécurité externe de vos fournisseurs, mise à jour en continu. En cas de doute, n'hésitez pas à contacter directement votre fournisseur pour obtenir un statut de sécurité.
Les petites entreprises sont-elles concernées par les attaques supply chain ?
Oui, doublement. D'une part, les PME utilisent des logiciels et services cloud qui peuvent être compromis (MOVEit, 3CX touchaient des entreprises de toutes tailles). D'autre part, les PME peuvent elles-mêmes être le vecteur d'attaque : un attaquant compromet un petit sous-traitant pour atteindre un grand donneur d'ordres. La directive NIS 2 impose d'ailleurs aux grandes entreprises de vérifier la sécurité de leurs fournisseurs — y compris les PME.
Faut-il exiger la certification ISO 27001 de tous ses fournisseurs ?
L'ISO 27001 est un indicateur fiable mais ne peut pas être exigée de tous les fournisseurs, notamment les plus petits. Adaptez vos exigences au niveau de criticité : ISO 27001 ou SOC 2 pour les fournisseurs ayant accès à des données sensibles ou à votre infrastructure ; un questionnaire de sécurité et des clauses contractuelles pour les fournisseurs à risque modéré ; des vérifications minimales (HTTPS, politique de confidentialité) pour les fournisseurs à faible risque.