Les grandes entreprises gèrent en moyenne une centaine de fournisseurs logiciels et matériels, et accordent des accès système à plus de 130 prestataires externes.
Une surface d’exposition considérable que les cybercriminels ont appris à exploiter, mais que les directions sous-estiment encore systématiquement au profit de menaces plus visibles comme les ransomwares.
C’est le constat sans appel du nouveau rapport annuel de Kaspersky sur les attaques par chaîne d’approvisionnement (supply chain).
Un vecteur d’attaque devenu le plus fréquent
L’étude, conduite auprès de 1 714 responsables techniques issus d’entreprises de plus de 500 salariés dans 16 pays, place les attaques par chaîne d’approvisionnement au premier rang des cybermenaces par fréquence.
Sur les douze derniers mois, 31 % des entreprises interrogées en ont été victimes. Les grandes entreprises sont les plus exposées, avec un taux d’incidents atteignant 36 %, contre des niveaux inférieurs chez les PME.
Le Forum économique mondial abonde dans ce sens : 65 % des grandes organisations identifient désormais les vulnérabilités liées aux tiers et à la chaîne d’approvisionnement comme le principal frein à leur résilience numérique.
Des écosystèmes de fournisseurs devenus ingérables
La raison de cette exposition tient en grande partie à la complexité des environnements numériques d’entreprise. Les grands groupes administrent en moyenne une centaine de fournisseurs logiciels et matériels, et accordent des droits d’accès à leurs systèmes à plus de 130 prestataires externes.
Les entreprises de taille plus modeste ne sont pas épargnées : elles comptent en moyenne 50 prestataires avec accès à leur infrastructure. Chaque connexion constitue une surface d’attaque potentielle, exploitable via les attaques dites « par relation de confiance », dans lesquelles les cybercriminels détournent des liens légitimes entre organisations.
Ces attaques de type trusted relationship ont touché 25 % des entreprises dans le monde au cours de l’année écoulée, avec des pics en Turquie (35 %), à Singapour (33 %) et au Mexique (31 %).
Une sous-estimation persistante
Malgré leur fréquence, ces attaques restent largement reléguées au second plan dans les stratégies de cybersécurité.
Lorsqu’on demande aux responsables de classer les menaces par niveau de risque, ils privilégient les APT (menaces persistantes avancées), les ransomwares et les menaces internes, perçues comme plus complexes et plus destructrices. Seules 9 % des organisations citent les attaques par chaîne d’approvisionnement comme leur menace principale, et 8 % pour les attaques par relation de confiance.
Pourtant, plus de la moitié des répondants reconnaissent qu’une compromission de ce type pourrait entraîner une interruption d’activité. L’écart entre conscience du risque et priorité opérationnelle reste flagrant.
Des disparités géographiques marquées
L’exposition aux attaques par chaîne d’approvisionnement varie sensiblement selon les régions.
Le Mexique (43 %), la Chine (40 %) et l’Espagne (40 %) affichent des taux d’incidents supérieurs à la moyenne mondiale.
En matière de perception du risque, Singapour (38 %), le Brésil (36 %), la Colombie (36 %) et le Mexique (35 %) sont les pays où les entreprises sont proportionnellement les plus nombreuses à classer ce type d’attaque parmi leurs trois principales cybermenaces, témoignant d’une prise de conscience plus avancée dans ces marchés.
Six recommandations pour refermer l’angle mort
Face à ces constats, Kaspersky formule six axes de réponse.
L’évaluation rigoureuse des fournisseurs avant toute contractualisation, incluant l’historique d’incidents et les résultats de tests d’intrusion pour les logiciels et services cloud. L’encadrement contractuel des exigences de sécurité, avec audits réguliers et respect des protocoles de réponse aux incidents. Le déploiement de mesures techniques préventives, notamment le principe du moindre privilège, le zero trust et une gestion robuste des identités. La mise en place d’une surveillance continue via des solutions XDR ou MXDR. L’élaboration de plans de réponse aux incidents couvrant explicitement les scénarios d’attaque par chaîne d’approvisionnement. Enfin, le renforcement de la coopération sécurité avec les fournisseurs eux-mêmes, érigée en priorité partagée.
Source:
www.zdnet.fr
