SolarWinds, Kaseya, 3CX, XZ Utils. Ces noms résonnent comme autant de rappels douloureux : certaines des cyberattaques les plus dévastatrices de ces dernières années n’ont pas franchi vos défenses de front, elles sont passées par la porte dérobée laissée ouverte par un prestataire de confiance. Les attaques par supply chain (ou attaques de la chaîne d’approvisionnement logicielle) sont aujourd’hui l’une des menaces les plus redoutées en cybersécurité. Et les PME en sont les premières victimes collatérales.
Qu’est-ce qu’une attaque par supply chain ?
Une attaque supply chain (ou attaque de la chaîne d’approvisionnement) consiste à compromettre un fournisseur, un prestataire ou un logiciel tiers pour atteindre les clients finaux. Plutôt que d’attaquer directement votre entreprise, souvent bien protégée, les hackers s’en prennent à un maillon moins sécurisé de votre écosystème : votre éditeur logiciel, votre prestataire informatique, votre fournisseur de services cloud, voire votre cabinet comptable.
Une fois ce maillon compromis, les attaquants disposent d’un accès légitime à des centaines ou des milliers d’entreprises clientes simultanément. C’est le principe même qui rend ces attaques si redoutables : la menace vient d’un acteur en qui vous avez confiance.
Les cas emblématiques qui ont tout changé
SolarWinds (2020) : l’attaque qui a éveillé le monde
Des hackers russes (groupe APT29/Cozy Bear) ont injecté un code malveillant dans une mise à jour légitime du logiciel Orion de SolarWinds, utilisé par 18 000 organisations dont des agences gouvernementales américaines. La backdoor est restée active pendant 9 mois avant d’être découverte. Cette attaque a fondamentalement changé la perception de la supply chain comme vecteur d’attaque.
Kaseya (2021) : 1 500 PME touchées en une nuit
Le groupe REvil a exploité une vulnérabilité dans le logiciel VSA de Kaseya, utilisé par des prestataires MSP pour gérer les systèmes informatiques de leurs clients PME. En exploitant cette faille, les attaquants ont déployé un ransomware sur les réseaux de 1 500 entreprises en une seule nuit. La rançon demandée s’élevait à 70 millions de dollars.
3CX (2023) : quand votre logiciel téléphonique devient une arme
L’application de téléphonie d’entreprise 3CX, installée sur 600 000 entreprises dans le monde, a été compromise par un groupe nord-coréen. La version malveillante a été distribuée via le système de mise à jour automatique de l’éditeur, touchant des milliers d’entreprises sans qu’elles le sachent pendant des semaines.
Pourquoi les PME sont particulièrement vulnérables
Les PME sont les cibles privilégiées des attaques supply chain pour plusieurs raisons :
- Moins de ressources pour auditer leurs prestataires : contrairement aux grandes entreprises, les PME n’ont généralement pas de processus formalisé d’évaluation des risques fournisseurs.
- Dépendance forte aux MSP : beaucoup externalisent intégralement leur informatique à un seul prestataire, si ce dernier est compromis, c’est toute l’infrastructure qui tombe.
- Mise à jour automatique non maîtrisée : les logiciels s’auto-mettent à jour sans contrôle, introduisant potentiellement du code malveillant.
- Maillon d’une chaîne plus grande : être fournisseur d’un grand groupe fait de vous une cible de choix pour y accéder indirectement.
Parmi les erreurs les plus fréquentes des PME en cybersécurité, la confiance aveugle accordée aux prestataires figure systématiquement dans le top 5. La directive NIS2, entrée en application en 2024, impose d’ailleurs explicitement une gestion des risques liés à la chaîne d’approvisionnement.
Checklist Cybersécurité PME – Gratuit
29 actions prioritaires pour protéger votre PME.
PDF à imprimer · Conformité RGPD & NIS2
Gratuit · Désabonnement en 1 clic
7 mesures concrètes pour protéger votre PME contre les attaques supply chain
1. Cartographier vos dépendances critiques
Listez tous vos prestataires qui ont accès à vos systèmes, vos données ou votre réseau : infogérance informatique, logiciels SaaS, sous-traitants avec accès VPN, éditeurs de solutions métier. Cette cartographie est le point de départ indispensable de toute stratégie de sécurité supply chain.
2. Évaluer le niveau de sécurité de vos fournisseurs
Demandez à vos prestataires critiques leurs certifications de sécurité (ISO 27001, SOC 2), leur politique de gestion des incidents, et leurs procédures de notification en cas de compromission. Un prestataire sérieux doit pouvoir répondre à ces questions sans hésiter. Intégrez ces critères dans votre processus d’audit cybersécurité.
3. Appliquer le principe du moindre privilège
Vos prestataires ne doivent avoir accès qu’aux ressources strictement nécessaires à leur mission. Un prestataire qui gère votre comptabilité n’a aucune raison d’avoir accès à vos serveurs de production. Révisez régulièrement les droits accordés et révoquez immédiatement les accès des prestataires en fin de contrat.
Notre recommandation : Pour partager les accès avec vos prestataires sans jamais révéler les mots de passe en clair, et révoquer ces droits instantanément en fin de contrat, NordPass Business est la solution idéale. Notre avis complet sur NordPass pour PME →
Essayer NordPass Business →4. Contrôler et tester les mises à jour logicielles
Pour les logiciels critiques, envisagez de décaler l’installation des mises à jour de 24 à 72 heures après leur publication. Cette fenêtre permet aux chercheurs en sécurité d’identifier les éventuelles compromissions. Pour les environnements sensibles, testez les mises à jour dans un environnement isolé avant déploiement en production.
5. Surveiller les accès externes en temps réel
Logguez et surveillez tous les accès de vos prestataires à votre système d’information. Les solutions de SOC IA et MDR permettent de détecter en temps réel les comportements anormaux d’un compte prestataire : connexion hors horaires, volumes de données inhabituels, accès à des ressources non autorisées.
6. Segmenter votre réseau
La segmentation réseau limite l’impact d’une compromission via un prestataire. Si un attaquant prend le contrôle d’un compte fournisseur, la segmentation l’empêche de se propager latéralement à l’ensemble de vos systèmes. Une architecture Zero Trust est particulièrement adaptée pour gérer les accès tiers.
7. Préparer un plan de réponse spécifique supply chain
Que faites-vous si votre prestataire informatique annonce avoir été compromis ? Si votre logiciel de paie est infecté ? Ces scénarios doivent être anticipés dans votre plan de réponse à incident. Incluez les procédures d’isolation des accès tiers, les contacts d’urgence chez vos prestataires clés, et les alternatives en cas d’indisponibilité d’un outil critique.
Checklist de sécurité fournisseurs : à vérifier pour chaque prestataire critique
- ☐ Certification ISO 27001 ou SOC 2 Type II vérifiée
- ☐ Politique de notification d’incident sous 72h
- ☐ Accès limités au strict nécessaire (moindre privilège)
- ☐ Authentification MFA obligatoire pour les accès distants
- ☐ Contrat incluant des clauses de sécurité (RGPD, notification d’incident)
- ☐ Revue annuelle des accès et des droits accordés
- ☐ Procédure de révocation d’accès en fin de contrat documentée
FAQ : Attaques supply chain et PME
Comment savoir si mon prestataire a été compromis ?
Les indices peuvent être subtils : comportements inhabituels sur votre réseau après une mise à jour, alertes de votre antivirus ou EDR suite à l’installation d’un logiciel tiers, communication officielle de l’éditeur concerné, ou annonces sur les plateformes de threat intelligence. Un SOC IA détecte ces anomalies en temps réel, même lorsqu’elles proviennent de connexions légitimes.
Les petits fournisseurs sont-ils aussi dangereux que les grands ?
Oui, souvent davantage. Un petit prestataire local avec accès à votre réseau et sans politique de sécurité formalisée représente un risque élevé. L’accès accordé, pas la taille du fournisseur, détermine le niveau de risque. Un plombier qui installe des équipements connectés ou un consultant avec accès VPN peuvent être des vecteurs d’attaque.
La NIS2 m’oblige-t-elle à auditer mes fournisseurs ?
Oui. La directive NIS2 impose aux entités concernées d’intégrer la sécurité de la chaîne d’approvisionnement dans leur gestion des risques. Même si votre PME n’est pas directement soumise à NIS2, ses clients et donneurs d’ordre le sont souvent, et ils peuvent vous imposer des exigences de sécurité contractuellement.
Comment choisir un prestataire MSP sécurisé ?
Vérifiez qu’il dispose d’une certification reconnue (ISO 27001), d’une politique de gestion des incidents documentée, d’une couverture cyber assurance, et qu’il utilise lui-même des outils de sécurité modernes (MFA, EDR, surveillance réseau). Demandez ses rapports de tests de pénétration récents et ses procédures de sauvegarde et de reprise d’activité. Consultez notre guide complet cybersécurité PME pour un cadre d’évaluation complet.
Faut-il arrêter d’utiliser des logiciels tiers ?
Non, c’est impossible et contre-productif. L’enjeu est de gérer ce risque, pas l’éliminer. Cartographiez vos dépendances, évaluez les risques, appliquez le principe du moindre privilège, et surveillez les accès. Une gestion rigoureuse du risque tiers vous permet de bénéficier des outils SaaS et des prestataires spécialisés tout en maîtrisant l’exposition.
Notre recommandation : Pour sécuriser les connexions distantes de vos prestataires à votre réseau et chiffrer toutes les communications avec vos sous-traitants en déplacement, NordVPN pour PME offre un niveau de protection professionnel. Notre avis complet sur NordVPN pour PME →
Essayer NordVPN →Conclusion : la confiance aveugle est finie
Les attaques supply chain ont fondamentalement changé la nature de la cybersécurité : votre périmètre de défense ne s’arrête plus à votre réseau interne, il s’étend à tous vos partenaires, fournisseurs et prestataires. Dans un monde interconnecté, votre niveau de sécurité est celui de votre maillon le plus faible.
Face à cette réalité, la réponse passe par une combinaison de mesures organisationnelles (audit fournisseurs, contractualisation des exigences de sécurité) et techniques (surveillance en temps réel, segmentation réseau, Zero Trust). Commencez par un audit de votre chaîne d’approvisionnement numérique pour identifier vos dépendances critiques et prioriser vos actions.
