Qu’est-ce qu’une attaque de la chaîne d’approvisionnement ?

Attaques de chaîne d'approvisionnement 

Supply Chian Attack est un type de cyberattaque qui cible des éléments moins sécurisés dans la chaîne d'approvisionnement d'une organisation plutôt que d'attaquer directement l'organisation. L’objectif est d’infiltrer le réseau ou les systèmes d’une organisation en compromettant un fournisseur tiers ou un partenaire qui a accès à ses données, logiciels ou infrastructures réseau. 

Principales caractéristiques des attaques de la chaîne d'approvisionnement  

Approche indirecte 

Au lieu d'attaquer directement l'organisation cible, les attaquants compromettent un tiers de confiance, tel qu'un fournisseur de logiciels, un fournisseur de matériel ou un prestataire de services. Ce tiers devient ensuite un canal pour fournir la charge utile malveillante à la cible finale. 

Complexité et échelle 

Les attaques de la chaîne d'approvisionnement peuvent être complexes, impliquer plusieurs étapes et affecter un grand nombre d'organisations. Les attaquants peuvent insérer du code ou du matériel malveillant à différentes étapes de la chaîne d'approvisionnement, ce qui rend la détection difficile. 

Exploitation de la confiance 

Ces attaques exploitent les relations de confiance entre une organisation et ses fournisseurs. Étant donné que les fournisseurs tiers ont souvent un accès privilégié aux systèmes d’une organisation ou aux données sensibles, ils deviennent une cible attrayante pour les attaquants. 

Impact étendu 

L'impact d'une attaque de la chaîne d'approvisionnement peut être important, affectant non seulement la cible principale, mais potentiellement des milliers d'autres organisations qui comptent sur le tiers compromis. 

Catégories d'attaques de la chaîne d'approvisionnement  

  • Mises à jour logicielles compromises : Les attaquants injectent du code malveillant dans les mises à jour logicielles qui sont distribuées à un grand nombre d’utilisateurs.
  • Bibliothèques de logiciels tiers compromis : Insertion de code malveillant dans des bibliothèques tierces ou des dépendances intégrées à des produits logiciels légitimes.
  • Matériel ou firmware compromis : Insertion de composants matériels malveillants ou de firmware dans des produits pendant le processus de fabrication ou de distribution.
  • Piratage des outils de développement : Compromettre les outils utilisés par les développeurs, tels que les IDE (Integrated Development Environments) ou les pipelines CI/CD (Continuous Integration/Continuous Deployment).
  • Dépendances logicielles compromises : Injecter du code malveillant dans des dépendances logicielles légitimes largement utilisées.
  • Exfiltration de données via des protocoles exploités : Exploiter les vulnérabilités dans des protocoles tels que SMB, TLS, SSH ou cibler directement les bases de données via des méthodes telles que l'injection SQL pour exfiltrer les données.
  • Ciblage des projets open source : Attaquant des projets open source largement utilisés, en insérant un code malveillant qui peut affecter de nombreux projets en aval.

Exemples d'attaques de la chaîne d'approvisionnement  

Attaque SolarWinds (2020) 

Les attaquants ont infiltré le mécanisme de mise à jour du logiciel Orion de SolarWinds, fournissant des mises à jour malveillantes à plus de 18 000 clients, y compris des agences gouvernementales et des grandes entreprises. 

Ressources : Alerte CISA sur SolarWinds

RockYou2024 (2024)

La fuite de mot de passe « RockYou2024 », où près de 10 milliards d’informations d’identification précédemment compromises ont été compilées et publiées sur un forum de piratage, souligne le risque important posé par l’agrégation, la réutilisation et l’exposition publique des informations d’identification violées sur plusieurs plateformes et services. 

Ressources : Près de 10 milliards de mots de passe ont fui lors de la plus grande compilation de tous les temps

Modèles grand langage (LLM) et chatbots publics (2024) 

Les chatbots publics alimentés par les LLM peuvent exposer par inadvertance des informations internes sensibles partagées pendant les interactions, en exploitant la confiance que les entreprises placent dans ces services d’IA, ce qui souligne les risques de s’appuyer sur des plateformes d’IA externes qui peuvent involontairement divulguer des données confidentielles via leurs processus d’apprentissage et d’interaction. 

Ressources : Les chatbots personnalisés d'OpenAI fuient leurs secrets

PHP Git Server Compromise (2021)

Les attaquants ont compromis le serveur Git de PHP, tentant d'insérer une porte dérobée dans le code source du langage de script Web populaire. 

Ressources : ZDNet sur PHP Git Server Hack

Compromis IoT et OT 

Le mouvement latéral d’un vecteur d’attaque initial, comme le spear phishing, vers des appareils IoT ou OT comme des caméras et des imprimantes, peut également être considéré comme un saut d’îlot. 

Ressources : Krebs sur le rapport de sécurité

Données publiques nationales américaines (2024) 

Données publiques nationales américaines (2024) : La violation a été activée par des vulnérabilités dans une propriété sœur, RecordsCheck, qui a permis aux attaquants d’exploiter les relations de confiance entre les services connexes pour accéder à des données sensibles. 

Ressources : Violation nationale des données publiques : Seuls 134 millions d'emails uniques ont été divulgués et la société reconnaît l'incident

Chaîne d’approvisionnement

Recherches associées