Supply Chain Attack (Attaque de la Chaîne d'Approvisionnement)

Définition

Une attaque de la chaîne d'approvisionnement, ou supply chain attack, ne cible pas directement l'organisation visée en dernier ressort, mais compromet un maillon intermédiaire de confiance, fournisseur, prestataire de services managés ou composant logiciel tiers intégré, dans le but d'atteindre indirectement de multiples victimes finales à travers un vecteur unique et largement diffusé. Cette approche exploite la confiance implicite accordée aux mises à jour logicielles signées et aux dépendances tierces intégrées sans vérification systématique, un angle mort structurel des architectures de sécurité traditionnelles centrées sur le périmètre propre de l'organisation. L'incident SolarWinds, révélé fin 2020, illustre l'ampleur possible d'une telle attaque : l'injection d'un code malveillant dans le processus de build légitime du logiciel Orion a permis à un groupe étatique de compromettre plusieurs milliers d'organisations ayant simplement installé une mise à jour signée et authentique en apparence. D'autres vecteurs incluent la compromission de paquets open source publiés sur des registres comme npm ou PyPI, souvent via le typosquatting de noms de paquets légitimes, et la compromission de prestataires de services managés disposant d'accès privilégiés à de multiples clients. La défense repose sur les SBOM pour l'inventaire précis des composants, la vérification de provenance via des frameworks comme SLSA, et une segmentation stricte des accès accordés aux tiers.