Attaques de la chaîne d'approvisionnement : les cybercriminels ciblent les fournisseurs de logiciels

• Auteur :
• Nom de l'auteur

  Prévision quantique
• 9 février 2023

Les attaques de la chaîne d'approvisionnement sont une préoccupation croissante pour les entreprises et les organisations du monde entier. Ces attaques se produisent lorsqu'un cybercriminel s'infiltre dans la chaîne d'approvisionnement d'une entreprise et l'utilise pour accéder aux systèmes ou aux données de l'organisation cible. Les conséquences de ces attaques peuvent être graves, notamment des pertes financières, des atteintes à la réputation d'une entreprise, la compromission d'informations sensibles et la perturbation des opérations. 

Contexte des attaques sur la chaîne d'approvisionnement

Une attaque de la chaîne d'approvisionnement est une cyberattaque qui cible les logiciels tiers, en particulier ceux qui gèrent les systèmes ou les données d'une organisation cible. Selon le rapport 2021 « Threat Landscape for Supply Chain Attacks », 66 % des attaques de la chaîne d'approvisionnement au cours des 12 derniers mois ont ciblé le code système d'un fournisseur, 20 % les données ciblées et 12 % les processus internes. Les logiciels malveillants étaient la méthode la plus couramment utilisée dans ces attaques, représentant 62 % des incidents. Cependant, les deux tiers des attaques contre les clients ont profité de la confiance dans leurs fournisseurs.

Un exemple d'attaque de la chaîne d'approvisionnement est l'attaque de 2017 contre la société de logiciels CCleaner. Les pirates ont pu compromettre la chaîne d'approvisionnement des logiciels de l'entreprise et distribuer des logiciels malveillants via les mises à jour logicielles, ce qui a affecté des millions d'utilisateurs. Cette attaque a mis en évidence les vulnérabilités potentielles liées au recours à des fournisseurs tiers et l'importance de mesures de sécurité solides pour se protéger contre ces attaques.

Le recours croissant à des fournisseurs tiers et à des réseaux de chaîne d'approvisionnement numérique complexes sont les principaux contributeurs à la croissance des crimes liés à la chaîne d'approvisionnement numérique. À mesure que les entreprises externalisent davantage leurs opérations et leurs services, le nombre de points d'entrée potentiels pour les attaquants augmente. Cette tendance est particulièrement préoccupante lorsqu'il s'agit de petits fournisseurs ou de fournisseurs moins sûrs, car ils peuvent ne pas avoir mis en place le même niveau de mesures de sécurité que la grande organisation. Un autre facteur est l'utilisation de logiciels et de systèmes obsolètes ou non corrigés. Les cybercriminels exploitent souvent les vulnérabilités connues des logiciels ou des systèmes pour accéder à la chaîne d'approvisionnement numérique d'une entreprise. 

Impact perturbateur

Les attaques de la chaîne d'approvisionnement peuvent avoir de graves dommages à long terme. Un exemple très médiatisé est la cyberattaque de décembre 2020 contre SolarWinds, qui fournit des logiciels de gestion informatique aux agences gouvernementales et aux entreprises. Les pirates ont utilisé les mises à jour logicielles pour distribuer des logiciels malveillants aux clients de l'entreprise, y compris plusieurs agences gouvernementales américaines. Cette attaque était importante en raison de l'ampleur de la compromission et du fait qu'elle est passée inaperçue pendant plusieurs mois.

Les dégâts sont encore pires lorsque l'entreprise cible fournit des services essentiels. Un autre exemple a eu lieu en mai 2021, lorsque l'entreprise alimentaire mondiale JBS a été touchée par une attaque de ransomware qui a perturbé ses opérations dans plusieurs pays, dont les États-Unis, le Canada et l'Australie. L'attaque a été menée par un groupe criminel connu sous le nom de REvil, qui a exploité une vulnérabilité dans le logiciel tiers de l'entreprise. L'incident a également touché les clients de JBS, y compris les usines de conditionnement de viande et les épiceries. Ces entreprises ont dû faire face à des pénuries de produits carnés et ont dû trouver des sources alternatives ou ajuster leurs opérations.

Pour se protéger contre les attaques de la chaîne d'approvisionnement numérique, il est essentiel que les entreprises mettent en place des mesures de sécurité résilientes et flexibles. Ces mesures comprennent l'exercice d'une diligence raisonnable approfondie sur les fournisseurs tiers, la mise à jour et la correction régulières des logiciels et des systèmes, et la mise en œuvre de politiques et de procédures de sécurité solides. Il est également important que les entreprises éduquent leurs employés sur la façon d'identifier et de prévenir les attaques potentielles, y compris les tentatives de phishing.

Implications des attaques sur la chaîne d'approvisionnement 

Les implications plus larges des attaques de la chaîne d'approvisionnement peuvent inclure :

• L'utilisation réduite de logiciels tiers et le recours accru aux solutions internes pour les données sensibles, en particulier parmi les agences gouvernementales.
• Augmentation des budgets pour les mesures de cybersécurité développées en interne, en particulier parmi les organisations qui fournissent des services essentiels tels que les services publics et les télécommunications.
• Augmentation du nombre d'incidents d'employés victimes d'attaques de phishing ou introduisant par inadvertance des logiciels malveillants dans les systèmes de leur entreprise respective.
• Les attaques du jour zéro deviennent monnaie courante à mesure que les cybercriminels profitent des développeurs de logiciels mettant en œuvre des mises à jour régulières de correctifs, qui peuvent avoir plusieurs bogues que ces pirates peuvent exploiter.
• L'utilisation croissante de pirates éthiques engagés pour rechercher des vulnérabilités dans les processus de développement de logiciels.
• De plus en plus de gouvernements adoptent des réglementations qui obligent les fournisseurs à fournir une liste complète de leurs fournisseurs tiers, ainsi que des audits potentiels des processus de développement de logiciels.

Questions à commenter

• Sur combien d'applications tierces comptez-vous pour vos activités quotidiennes et combien d'accès autorisez-vous ?
• Selon vous, quel niveau de sécurité est suffisant pour les fournisseurs tiers ?
• Le gouvernement devrait-il intervenir pour faire respecter les normes réglementaires pour les fournisseurs tiers ?