Failles
Attaque de la chaîne d'approvisionnement
- attaque contre la chaîne logistique français
- supply chain attack anglais
Une attaque de la chaîne d'approvisionnement cible un fournisseur ou un prestataire informatique pour compromettre indirectement les systèmes de ses clients.
Pour comprendre
Pour tout le monde
Plutôt que d'attaquer directement une organisation bien protégée, l'attaquant s'en prend à l'un de ses partenaires techniques. Il peut s'agir d'un éditeur de logiciel, d'un prestataire de maintenance ou d'un fournisseur de services informatiques. En compromettant ce maillon de confiance, le cybercriminel accède aux systèmes des utilisateurs finaux.
Cette méthode exploite une Faille de sécurité ou un accès légitime chez le tiers pour insérer un Logiciel malveillant lors d'une Mise à jour automatique. Comme le logiciel provient d'une source habituelle et reconnue, les outils de sécurité du client final ne détectent pas immédiatement l'intrusion.
Ce type d'attaque ne touche pas seulement les grandes entreprises. Un commerce, un cabinet médical ou une collectivité locale peuvent être victimes si l'un de leurs logiciels de gestion habituels est altéré à la source. La vigilance concerne donc aussi le choix et le suivi de ses prestataires informatiques.
Un exemple
À Papeete, une entreprise d'importation utilise un logiciel de gestion édité par une société locale. Un cybercriminel s'infiltre chez cet éditeur et modifie le programme pour y intégrer un piège. Lors de la mise à jour automatique du logiciel, l'entreprise de Tahiti télécharge sans le savoir le code piégé, ce qui permet à l'attaquant d'accéder à son réseau.
Les bons réflexes
Exigez de vos prestataires informatiques des garanties claires sur la sécurité de leurs accès et de leurs mises à jour.
Appliquez le principe du moindre privilège en limitant les accès réseau et administrateur accordés aux outils tiers.
Surveillez les comportements anormaux de vos logiciels, même ceux qui proviennent de fournisseurs de confiance.
Termes voisins
- Faille de sécuritéUne faille de sécurité (en anglais, security vulnerability) est un défaut de conception, de programmation ou de réglage qui peut permettre de contourner une protection ou de perturber un appareil.
- Mise à jourUne mise à jour (en anglais, update) modifie un logiciel pour corriger des défauts, réparer des failles de sécurité ou apporter de nouvelles fonctions.
- Logiciel malveillantUn logiciel malveillant (en anglais, malware) est un programme conçu pour nuire : voler des informations, bloquer des fichiers ou détourner un appareil.