Attaque de la Supply Chain

Par Damian Gozdz

Les attaques de la supply chain visent les maillons de la chaîne logistique d’une entreprise.
Les cybercriminels s’attaquent aux fournisseurs, partenaires ou prestataires pour exploiter leurs failles.
Ils s’infiltrent dans les systèmes en passant par des tiers de confiance.

Ces attaques entraînent :

des vols de données,
des interruptions de service ,
ou la diffusion de logiciels malveillants.

Contexte et évolution des attaques de la supply chain

Avec le développement des services numériques et du cloud, ces attaques deviennent plus courantes.
Les entreprises s’appuient de plus en plus sur des logiciels tiers et des services externalisés.
Cette dépendance crée plus de points d’entrée pour les attaquants.

Au départ, les menaces se limitaient à des accès non autorisés via des fournisseurs. Maintenant, elles sont bien plus sophistiquées. Elles incluent des techniques comme l’injection de malwares dans des logiciels utilisés par des milliers d’entreprises.

La directive NIS2 de l’Union Européenne oblige les entreprises critiques à mieux gérer les risques de cybersécurité. Elles doivent sécuriser leurs propres systèmes et ceux de leurs fournisseurs. Le but est de prévenir les attaques et d’améliorer la résilience des infrastructures.

Comment fonctionnent les attaques de la supply chain ?

Ces attaques exploitent les failles dans les liens entre entreprises et fournisseurs.

Voici les méthodes les plus fréquentes :

Logiciels tiers compromis : Les cybercriminels infiltrent le code source de logiciels légitimes et y ajoutent des logiciels malveillants. Ces logiciels infectés sont ensuite livrés aux clients sous forme de mises à jour. Un exemple bien connu est l’attaque SolarWinds Orion. Les attaquants ont caché du code malveillant dans une mise à jour, ce qui a touché des milliers d’organisations à travers le monde.
Compromission des services cloud : Les cybercriminels ciblent aussi les services cloud pour accéder aux réseaux de leurs clients. Lors de l’attaque d’Okta en 2023, ils ont utilisé des identifiants volés pour s’introduire dans les systèmes de gestion des services clients.
Failles dans les composants open-source : Les attaquants insèrent des failles dans des bibliothèques open-source. Tous les produits qui utilisent ces composants deviennent vulnérables. Ces failles peuvent rester cachées, être intégrées dans des logiciels populaires et ne sont découvertes que bien plus tard.

Quelques attaques marquantes de la supply chain

Les attaques de la supply chain se sont multipliées ces dernières années. Voici des exemples marquants :

NotPetya (2017) : Tout a commencé par un logiciel de comptabilité ukrainien, MeDoc. Les attaquants ont compromis une mise à jour logicielle de cette société, largement utilisée en Ukraine. Le malware NotPetya a infecté des milliers de machines. Il a paralysé des multinationales et des infrastructures critiques. Parmi les victimes, on compte des entreprises comme Maersk, Saint-Gobain, Merck, Rosneft et WPP. L’impact économique global est estimé à plus de 10 milliards de dollars. Contrairement à un ransomware classique, NotPetya ne cherchait pas vraiment à obtenir des rançons. Sa principale mission était de causer des dégâts. Il se propageait rapidement en interne, bloquait les fichiers système et rendait les machines inutilisables.

CCleaner (2017) : Des cybercriminels ont intégré du code malveillant dans la version officielle de CCleaner. Ce logiciel était développé par Avast. Plus de 2 millions de personnes ont téléchargé la version infectée avant que le problème soit détecté. Le malware visait à voler des données sensibles et à infecter d’autres systèmes.
SolarWinds Orion (2020): En 2020, des hackers ont infiltré le processus de mise à jour du logiciel Orion, créé par SolarWinds. En insérant du code malveillant dans les mises à jour, ils ont pu accéder aux réseaux de plus de 18 000 clients. Des agences gouvernementales américaines et des entreprises comme Microsoft ont été touchées. Cette attaque a montré combien il est risqué de dépendre de fournisseurs clés sans mesures de sécurité renforcées.

Kaseya VSA (2021) : En juillet 2021, une faille dans le système VSA de Kaseya a été exploitée par des attaquants. Des centaines de PME ont été affectées par un ransomware. Les cybercriminels ont exigé une rançon de 70 millions de dollars. Cet incident a prouvé qu’en attaquant un seul fournisseur, on peut paralyser des centaines de cibles en même temps.
Log4j (2021): Une faille critique, baptisée Log4Shell, a été découverte dans Log4j, une bibliothèque Java très utilisée. Cette vulnérabilité permettait aux hackers d’exécuter du code à distance. Elle a été exploitée à grande échelle et a touché des millions d’applications à travers le monde. Cet incident a rappelé l’importance de surveiller les composants open-source intégrés dans les logiciels.

Les impacts des attaques de la supply chain

Les attaques de la supply chain ont des conséquences sérieuses pour les entreprises.

Voici quelques impacts :

Pertes financières : Restaurer les systèmes, récupérer les données et renforcer la sécurité coûte cher. L’attaque NotPetya a causé des pertes mondiales de plus de 10 milliards de dollars. Par exemple, Maersk a dû réinstaller 4 000 serveurs, 45 000 ordinateurs et 2 500 applications. Cette opération a coûté environ 300 millions de dollars. Saint-Gobain a estimé que l’attaque avait réduit son chiffre d’affaires de 250 millions d’euros en 2017. Son résultat d’exploitation a également baissé de 80 millions d’euros.
Atteinte à la réputation : Une entreprise victime d’attaques perd souvent la confiance de ses clients et partenaires. Cela peut conduire à une perte de contrats et une baisse de revenus. L’attaque de CCleaner a terni l’image d’Avast, ce qui a réduit la confiance des utilisateurs.
Interruption des opérations : Les attaques peuvent paralyser les opérations d’une entreprise pendant des jours, voire des semaines. L’attaque NotPetya a bloqué les activités de Maersk pendant presque deux semaines. Cela a créé des retards dans les chaînes logistiques et perturbé les clients. D’autres infrastructures critiques, comme les ports de Bombay et d’Amsterdam, ont également été touchées. Cela démontre la portée mondiale de ce type d’attaque.
Risques pour la sécurité nationale : Certaines attaques, comme celle de SolarWinds, ont visé des infrastructures sensibles. Elles ont compromis des agences gouvernementales américaines, exposant des systèmes critiques. Cela met en lumière les dangers pour la sécurité nationale.
Conséquences juridiques : Les entreprises victimes peuvent être poursuivies en justice et subir des amendes. Le RGPD en Europe impose des sanctions sévères en cas de violation de la confidentialité des données. Les entreprises touchées par l’incident Log4j ont dû rendre des comptes sur les failles de leurs services tiers.

Comment se protéger contre les attaques de la supply chain ?

Pour éviter ces attaques, il faut adopter des mesures de sécurité solides. Voici quelques méthodes simples et efficaces :

Gestion des risques fournisseurs : Évaluer régulièrement les risques des fournisseurs. Faire des audits de sécurité fréquents et inclure des clauses strictes dans les contrats.

Contrôle des mises à jour : Toujours tester les mises à jour avant de les installer. Utiliser des outils de gestion des correctifs pour détecter rapidement les failles et les corriger.
Intégrer la sécurité dès le début du développement (DevSecOps) : Ajouter la sécurité dès le début du développement logiciel. Utiliser des outils automatiques pour repérer les vulnérabilités avant qu’elles ne deviennent un problème.
Surveillance continue : Installer des systèmes de surveillance capables de détecter des anomalies en temps réel. Les technologies basées sur l’intelligence artificielle aident à repérer les comportements suspects.
Formation des équipes : Les employés doivent connaître les bonnes pratiques en matière de sécurité. Apprenez-leur à gérer les accès et à détecter les tentatives de phishing. Organisez des simulations pour que les équipes sachent comment réagir en cas d’incident.
Segmentation du réseau : Limiter les mouvements des cybercriminels en séparant les réseaux critiques des autres. Appliquer le principe du moindre privilège pour réduire la surface d’attaque.
Respect des standards de cybersécurité : Suivre les normes comme NIS2 et le RGPD. Protéger les systèmes et les données, et signaler rapidement les incidents aux autorités compétentes.

Conclusion

Les attaques de la supply chain représentent une menace de taille pour les entreprises d’aujourd’hui. Elles peuvent toucher divers secteurs et avoir des impacts dévastateurs.
Pour s’en protéger, il faut de la vigilance et de la coopération avec les fournisseurs. Il est crucial d’adopter des pratiques comme DevSecOps et de gérer les risques fournisseurs de manière proactive. Respecter les régulations aide également à réduire les risques.

Les régulations européennes, comme NIS2 et le RGPD, imposent des normes plus strictes. Elles obligent les entreprises à surveiller de près leurs infrastructures et à évaluer leurs fournisseurs. Elles imposent aussi de signaler rapidement les incidents. Ces règles poussent les entreprises à mettre en place des stratégies de cybersécurité efficaces et à être toujours prêtes à réagir.

Liens à consulter