Attaque
Chaîne d’approvisionnement logicielle
Aussi appeléSupply chain attackAttaque par la chaîne d’approvisionnementSBOM
En résumé
L’attaque qui vise un composant, un outil ou un fournisseur dont dépend un logiciel, plutôt que le logiciel lui-même. En compromettant une bibliothèque, une mise à jour ou un pipeline de construction, l’attaquant atteint en une fois tous les clients qui font confiance à ce maillon.
Chaîne d’approvisionnement logicielle, en détail
Un logiciel moderne est majoritairement composé de code écrit par d’autres : bibliothèques open source, images de conteneurs, extensions, outils de construction, services en ligne. Chaque élément est une dépendance, directe ou indirecte, et donc un point d’entrée possible. Les techniques vont de la prise de contrôle du compte d’un mainteneur à la publication d’un paquet au nom proche d’un paquet légitime (typosquatting), en passant par l’insertion de code dans un processus de mise à jour.
Le pipeline d’intégration et de livraison continue (CI/CD) est une cible de choix : il détient des secrets, construit les versions livrées et dispose de droits de déploiement. Le compromettre revient à modifier le produit sans toucher au code source visible. Des tiers de service, comme un prestataire d’infogérance ou un éditeur de logiciel métier, constituent le même type de maillon à l’échelle d’une organisation. Les mesures consistent à connaître ses dépendances (inventaire ou SBOM, Software Bill of Materials), à figer et vérifier les versions (fichiers de verrouillage, empreintes), à limiter les secrets accessibles au pipeline, à signer et vérifier les artefacts, et à surveiller les alertes de vulnérabilités sur les composants. Côté fournisseurs, on évalue l’accès qu’ils détiennent et on le restreint.
Qu’est-ce que cela change pour vous ?
Votre niveau de sécurité dépend de celui de vos fournisseurs et de vos dépendances, que vous ne contrôlez pas directement. La première étape est de savoir ce que vous utilisez et quels accès vous avez accordés ; la réglementation, dont NIS 2, y porte une attention croissante.
Exemple illustratif (fictif)
Imaginons une équipe de développement d’une plateforme SaaS qui intègre une bibliothèque dont le nom ne diffère que d’un caractère de celle qu’elle visait. Le paquet frauduleux exécuterait, à l’installation, un script qui envoie les variables d’environnement du poste de construction.
La confusion fréquente
Croire que n’utiliser que des composants populaires ou open source reconnus suffit. La popularité attire les attaquants, et une dépendance indirecte, que personne n’a choisie consciemment, est tout aussi exposée.
Comment le détecter chez vous ?
- Audit de code : la prestationRetrouver la ligne de code responsable et la raison pour laquelle elle a été écrite.
- Conformité NIS 2 : la prestationFaire d’une obligation réglementaire une sécurité que vous pouvez démontrer.
Aller plus loin
- ArticleOWASP Top 10 : les dix risques expliqués pour décideurs et développeursLes dix catégories de risques de l’OWASP Top 10:2025 expliquées simplement : ce que chacune recouvre, comment un test d’intrusion la vérifie et ce que le classement ne dit pas.
- ArticleAudit Active Directory : ce qui est vérifié, et pourquoi c’est décisifPourquoi l’annuaire est la cible centrale d’un rançongiciel, les sept points qu’un audit Active Directory examine, ce qu’il livre et le périmètre couvert par le prix d’entrée.
- ComparatifTest d’intrusion ou bug bounty : faut-il ouvrir un programme de primes ?Une mission cadrée et un programme de primes ont des modèles économiques opposés et des couvertures différentes. Ce que chacun apporte, ce qu’il suppose en interne, et quand l’un ne se justifie pas encore.
- OutilDiagnostic de maturité NIS 212 questions, un score et un ordre de priorité. Le calcul reste dans votre navigateur.
Termes liés
- ConformitéCVE : définitionUn identifiant public et unique, de la forme CVE-2024-12345, attribué à une vulnérabilité connue dans un produit logiciel ou matériel.
- TechniqueZero-day : définitionUne vulnérabilité inconnue de l’éditeur ou du fabricant, ou sans correctif disponible, et que des attaquants peuvent exploiter avant qu’une protection officielle existe.
- TechniqueSurface d’attaque : définitionL’ensemble des points par lesquels un attaquant peut tenter d’entrer dans un système ou d’en extraire des données : services exposés sur Internet, applications, API, comptes, équipements, partenaires, et collaborateurs.
- AttaqueDésérialisation non sécurisée : définitionUne vulnérabilité où une application reconstruit des objets à partir de données fournies par l’utilisateur sans en vérifier le contenu.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début