Combattre les cybermenaces de la chaîne d'approvisionnement : Sauvegarder les données et protéger les chaînes d'approvisionnement numériques dans un paysage cybernétique en évolution rapide

Principaux enseignements

• Les chaînes d'approvisionnement de l'industrie manufacturière sont devenues des cibles de grande valeur pour les cybercriminels, faisant face à des attaques incessantes alors que l'industrie reste le secteur le plus ciblé pour la quatrième année consécutive. Les attaques liées à la chaîne d'approvisionnement ont augmenté de 431 % depuis 2021 et sont parmi les plus coûteuses et les plus lentes à résoudre.
• Une surveillance insuffisante des fournisseurs crée des lacunes critiques en matière de cybersécurité. De nombreux fabricants ne surveillent pas suffisamment les fournisseurs de troisième et quatrième rangs, ce qui permet aux acteurs de la menace d'exploiter les connexions de réseaux de confiance et d'infiltrer les cibles principales par les maillons faibles de la chaîne d'approvisionnement, élargissant ainsi la portée d'une cyberattaque et amplifiant l'exposition au risque cybernétique de la chaîne d'approvisionnement.
• La cyber-résilience renforce les chaînes d'approvisionnement de l'industrie manufacturière et son avantage sur le marché. L'intégration des principes de sécurité dès la conception, d'un contrôle préalable rigoureux des fournisseurs et de pratiques de gestion des risques de la chaîne d'approvisionnement cybernétique (C-SCRM) dans les opérations permet aux fabricants de mettre en place des chaînes d'approvisionnement sûres, souples et durables, améliorant ainsi la continuité des activités et la compétitivité du marché dans le paysage numérique d'aujourd'hui où les menaces sont nombreuses.

Pour la quatrième année consécutive, l'industrie manufacturière reste le secteur le plus visé par les cyberattaques[1]: plus de 26 % des cyberattaques dans le monde visent l'industrie manufacturière. Les chaînes d'approvisionnement, de plus en plus numérisées et interconnectées, sont souvent la cible d'attaques. Le paysage des menaces évolue rapidement, avec des attaques de plus en plus sophistiquées ciblant chaque maillon de l'écosystème de la chaîne d'approvisionnement, depuis les fournisseurs de logiciels et les prestataires de services logistiques jusqu'aux fabricants et aux distributeurs.

En développant leurs chaînes d'approvisionnement aux États-Unis, les fabricants ne se contentent pas d'étendre leurs activités, ils jettent les bases d'une résilience à long terme. En intégrant dès le départ les meilleures pratiques en matière de cybersécurité, les entreprises peuvent faire de la gestion des risques un avantage concurrentiel pour leurs activités et s'assurer que leur croissance est à la fois sûre et durable.

Les cyberattaques contre les chaînes d'approvisionnement continuent d'augmenter

Les cyberattaques visant la chaîne d'approvisionnement ont connu un essor spectaculaire en termes de prévalence, de coût et de délais de résolution. Entre 2021 et 2023, le nombre d'attaques liées à la chaîne d'approvisionnement a augmenté de 431 %[2]. L'année dernière, elles sont devenues le deuxième vecteur d' attaque le plus répandu (représentant 15 % de toutes les brèches l'année dernière)[3]. Elles sont également le deuxième type d'attaque le plus coûteux. Le coût moyen d'une violation aux États-Unis continue d'augmenter : il a progressé de 9 % en 2025 pour atteindre 10,22 millions USD (sur la base des données relatives aux violations de 2024) et il est encore plus élevé pour les atteintes à la chaîne d'approvisionnement[4]. Les atteintes à la chaîne d'approvisionnement sont également les plus longues à résoudre. L'année dernière, il a fallu 267 jours pour détecter et contenir les atteintes à la chaîne d'approvisionnement liées à la cybernétique[5].

Pourquoi ? Les recherches suggèrent que les entreprises ne surveillent pas suffisamment leurs fournisseurs, ce qui entraîne une détection latente et une augmentation des coûts et des délais de résolution lorsque les cyberattaques sont finalement détectées. Par exemple, une étude réalisée en 2024 par Gartner - le leader mondial de la recherche et du conseil - révèle que si 95 % des organisations ont vu un drapeau rouge associé à leurs fournisseurs tiers au cours des 12 derniers mois, seule la moitié d'entre elles l'ont transmis aux équipes chargées de la conformité[6].

Les attaquants exploitent ces relations de confiance et ces réseaux étendus. Comme indiqué ci-dessous, les attaquants tirent parti de la confiance établie entre les fournisseurs, les vendeurs, les fabricants et les clients et de leurs communications d'ordinateur à ordinateur[7] ; ils ciblent également les liens situés plus en aval dans la chaîne d'approvisionnement, tels que les fournisseurs de tierce partie et de quatrième partie[8]. Les attaquants savent que les clients et leurs fournisseurs immédiats n'exercent souvent pas une surveillance adéquate sur les fournisseurs situés en aval de la chaîne, et qu'ils s'efforcent d'assurer la conformité de ces derniers[8].

Il est peu probable que cette tendance se ralentisse, car les attaquants continuent d'affiner leurs techniques. La première étape de la lutte contre ces attaques consiste à mieux comprendre leurs tactiques courantes afin de mettre en œuvre les meilleures pratiques institutionnelles.

Cyberattaques de la chaîne d'approvisionnement : Une technologie en évolution mais des tactiques familières

Comment ils fonctionnent

Une cyberattaque de la chaîne d'approvisionnement tire parti des relations de confiance entre les partenaires d'approvisionnement. Toutes les organisations font implicitement confiance à d'autres entreprises, car elles installent et utilisent les logiciels de ces dernières dans leurs réseaux ou travaillent avec elles en tant que fournisseurs. Les pirates optent souvent pour la voie de la moindre résistance, en ciblant le maillon le plus faible d'une chaîne d'écosystèmes et de logiciels interconnectés, en raison de leur capacité à infiltrer plusieurs organisations par le biais d'un seul point de compromission.

Ainsi, même si votre organisation est bien défendue et dispose d'un solide programme de cybersécurité, si l'un de vos fournisseurs de confiance n'est pas sécurisé, les attaquants le cibleront pour contourner les mesures de sécurité mises en place dans l'organisation du fournisseur. Ils lancent des attaques de phishing ou d'ingénierie sociale pour compromettre les informations d'identification de l'employé d'un fournisseur.

Une fois que les attaquants ont pris pied dans le système d'un fournisseur, nous les avons vus explorer et exploiter les vulnérabilités en se déplaçant latéralement sur le réseau. Par exemple, ils peuvent exploiter des vulnérabilités logicielles non corrigées, des contrôles d'accès faibles ou des systèmes mal configurés afin d'accroître leurs privilèges et d'approfondir leur pénétration pour l'utiliser comme rampe de lancement afin de déployer des logiciels malveillants ou des codes malveillants ou d'accéder d'une autre manière aux réseaux des organisations cibles principales. Ce lien faible permet de contourner des mesures de sécurité par ailleurs extrêmement difficiles à mettre en œuvre pour attaquer directement.

Ces menaces ont des implications mondiales. Nous avons vu des pirates informatiques - intentionnellement ou non - prendre le contrôle de l'ensemble de l'infrastructure d'une organisation, même si celle-ci n'a pas été directement ciblée. En outre, comme nous l'avons mentionné plus haut, les organisations ne doivent pas seulement se préoccuper de leurs fournisseurs immédiats ; les risques peuvent aller bien plus loin dans la chaîne d'approvisionnement avec des fournisseurs de troisième et quatrième rangs, car l'impact de la perturbation d'un seul fournisseur peut se répercuter sur plusieurs parties en aval de la chaîne.

Quelques types courants de cyberattaques ayant un impact sur les chaînes d'approvisionnement

Alors que les tactiques telles que le phishing, les ransomwares et les logiciels malveillants restent très répandues, l'évolution rapide de l'intelligence artificielle (IA) rend le paysage de la cybersécurité encore plus difficile. En fait, 16 % des violations de données déjà signalées en 2025 impliquaient une forme ou une autre d'IA[9] Les acteurs de la menace tirent désormais parti de l'IA pour générer des imitations très convaincantes (deepfake), concevoir des campagnes de phishing réalistes à une vitesse sans précédent, et identifier et exploiter les vulnérabilités dans des chaînes d'approvisionnement complexes[10].[Par exemple, les acteurs de la menace peuvent utiliser l'IA pour analyser rapidement les profils accessibles au public des cadres de l'entreprise cible et utiliser ces informations pour créer des courriels de phishing, adaptés au rôle et au style de communication de chaque destinataire, incitant les employés qui ne le savent pas à cliquer sur des liens malveillants qui révèlent leurs identifiants de connexion à des tiers non autorisés.

Trois incidents de cybersécurité très médiatisés concernant les chaînes d'approvisionnement illustrent ces tactiques en action.

• Attaque par ransomware dans le secteur de l'énergie (janvier 2024): Une multinationale spécialisée dans la gestion de l'énergie a été victime d'une importante attaque par ransomware après que des acteurs de la menace, qui seraient associés au gang du ransomware Cactus, ont obtenu un accès initial à ses systèmes en exploitant une vulnérabilité liée à un dispositif VPN. Les attaquants ont affirmé avoir exfiltré 1,5 To de données sensibles et divulgué 25 Mo de ces données, qui comprenaient des copies d'accords de non-divulgation et des passeports scannés de citoyens américains. À ce jour, le coût de cette attaque et le nombre de clients touchés ne sont pas connus. Cependant, il est probable qu'il soit important étant donné que l'entreprise sert plus de 2 000 clients dans le monde entier[11].
• Piratage d'une plateforme de données en nuage (avril 2024): Une plateforme de données en nuage populaire a subi une importante violation de données lorsqu'un ingénieur logiciel a utilisé des informations d'identification volées par le biais d'un logiciel malveillant "infostealer" pour infiltrer le réseau. Cette violation a compromis les données de 165 clients, qui traitent collectivement les données de plus de 500 millions d'individus. À l'heure où nous écrivons ces lignes, le coût total de la violation reste inconnu[12].
• Attaque par ransomware d'un fournisseur mondial de services logistiques et d'un transitaire (août 2024). Une grande entreprise mondiale de logistique et de transport de marchandises a été victime d'une attaque par ransomware, qui a provoqué des perturbations techniques et a eu un impact sur la prestation de services. Le service client, la facturation, les systèmes de paiement et l'intégration des données avec les systèmes des clients et des fournisseurs ont tous été touchés. Le système d'exploitation central et le portail destiné aux clients ont été mis hors ligne pendant plusieurs jours (ce dernier empêchant les clients de suivre leurs expéditions en temps réel, ce qui a créé des problèmes logistiques à l'échelle mondiale).13] Le coût total de l'incident reste inconnu à la date de rédaction du présent document.

Meilleures pratiques pour atténuer les cyber-risques dans l'ensemble de votre chaîne d'approvisionnement

Être proactif. Les partenaires d'approvisionnement doivent s'adapter à ces menaces croissantes en gérant les risques liés à la chaîne d'approvisionnement et les perturbations cybernétiques et en s'y préparant, plutôt qu'en se contentant de réagir aux problèmes lorsqu'ils surviennent. Votre chaîne d'approvisionnement est aussi solide que son maillon le plus faible. Pensez à l'intérieur et à l'extérieur de votre chaîne d'approvisionnement pour mettre en œuvre des protocoles de sécurité. 

1. Sécurité dès la conception. Mettre en œuvre les principes de la sécurité dès la conception pendant les phases de développement et de mise en œuvre du produit. En intégrant des mesures de sécurité dès le début, les entreprises peuvent réduire les failles exploitables et contribuer à renforcer la résilience de leurs systèmes de chaîne d'approvisionnement.
2. Cadre de gestion des risques. Mettre en œuvre un cadre global de gestion des risques qui intègre les principes de la gestion des risques de la chaîne d'approvisionnement cybernétique (C-SCRM)[14], qui est un processus systématique de gestion de l'exposition aux risques de cybersécurité tout au long de la chaîne d'approvisionnement et d'élaboration de stratégies, de politiques, de processus et de procédures d'intervention appropriés. En outre, le Cybersecurity Framework (CSF) 2.0 du National Institute of Standards and Technologies ("NIST") propose une approche structurée de la gestion des cyber-risques et peut servir de base aux organisations de toutes tailles et de tous secteurs pour élaborer leurs stratégies de gestion des risques[15] Le CSF 2.0 comprend également des résultats C-SCRM supplémentaires pour aider les organisations à faire face à ces risques. Les sous-catégories de la catégorie C-SCRM du CSF [GV.SC] servent de passerelle, reliant les résultats axés sur la cybersécurité aux objectifs plus larges du C-SCRM.
3. Gouvernance de l'IA et des logiciels en tant que service ("SaaS"). Cataloguer et contrôler l'utilisation de toutes les solutions d'IA et des outils SaaS internes (par exemple, les employés) et externes (par exemple, les fournisseurs) afin de minimiser les vulnérabilités exploitables tout au long de la chaîne d'approvisionnement. Au fur et à mesure que l'IA évolue, les organisations doivent mettre à jour la formation à la sécurité pour les menaces liées à l'IA, évaluer les risques pour les tiers et établir une gouvernance de l'IA pour maintenir la sécurité. Il est essentiel de se rappeler qu'un programme de gouvernance n'est efficace que si les employés comprennent comment adhérer correctement à ses politiques et procédures.
4. Vérification préalable des fournisseurs. Procéder à un contrôle préalable approfondi lors de la sélection des fournisseurs et évaluer leur position en matière de cybersécurité, leurs capacités de réponse aux incidents, leur résilience et leur adhésion aux lois, réglementations et normes industrielles applicables en matière de protection et de sécurité des données. Cela permet d'identifier et d'atténuer les risques potentiels associés aux fournisseurs tiers.
5. Évaluations approfondies des fournisseurs existants. Procéder régulièrement à des évaluations de la sécurité et à des audits des fournisseurs existants afin d'évaluer l'efficacité des contrôles et des pratiques en matière de cybersécurité et de garantir le respect des normes de sécurité pertinentes et des autres exigences légales et contractuelles applicables tout au long du cycle de vie de la chaîne d'approvisionnement. Il est également recommandé de mettre en œuvre des pratiques C-SCRM afin d'identifier et d'atténuer les risques de la chaîne d'approvisionnement associés aux fournisseurs tiers. En outre, la gestion des fournisseurs nécessite une communication efficace dans l'ensemble de l'organisation afin de garantir que tout problème important ou tout problème lié à la sécurité impliquant des fournisseurs tiers soit correctement remonté dans la chaîne en vue d'une remédiation.
6. Contrats avec les fournisseurs. Veillez à ce que chaque appel d'offres et contrat conclu avec un fournisseur clé de la chaîne d'approvisionnement contienne des exigences solides en matière de cybersécurité qui couvrent ou traitent, au minimum, des responsabilités clairement définies et de la répartition des responsabilités avec les fournisseurs, de la résilience des systèmes des fournisseurs, de la formation régulière de leur personnel, de la notification rapide des incidents de sécurité et de la coopération continue avec votre organisation à cet égard, des audits périodiques, de la sous-traitance et d'autres mesures connexes nécessaires au respect des lois applicables et des normes sectorielles. Les entreprises devraient également revoir et mettre à jour régulièrement les contrats des fournisseurs existants pour s'assurer que des exigences suffisantes en matière de cybersécurité sont en place et demander des avenants si ce n'est pas le cas.
7. Surveillance et détection continues. Mettre en œuvre des mécanismes de surveillance et de détection en continu afin d'identifier les cybermenaces et d'y répondre en temps réel. Par exemple, les organisations devraient envisager d'utiliser des flux de renseignements sur les menaces, des systèmes de gestion des informations et des événements de sécurité (SIEM) et des systèmes de détection/prévention des intrusions pour surveiller les activités suspectes et les anomalies concernant les systèmes et/ou les logiciels utilisés au sein de leur chaîne d'approvisionnement.
8. Contrôles d'accès sécurisés, mesures de cryptage et gestion des correctifs. Mettre en œuvre des contrôles d'accès robustes et des mesures de cryptage des données pour protéger les informations sensibles partagées au sein de la chaîne d'approvisionnement. Le cryptage des données au repos et en transit permet de les protéger contre les accès non autorisés ou l'interception. Les contrôles d'accès (par exemple, l'authentification multifactorielle, les contrôles d'accès basés sur les rôles, les principes du moindre privilège, etc.) permettent de limiter l'accès des fournisseurs tiers aux actifs et systèmes critiques. En outre, tous les logiciels, y compris les systèmes d'exploitation et les applications, doivent être mis à jour avec les derniers correctifs de sécurité. Des mises à jour régulières permettent de remédier rapidement aux vulnérabilités.
9. Plans de réponse aux incidents et de continuité des activités. Élaborer ou mettre à jour les plans de réponse aux incidents existants afin d'y inclure des processus de réponse aux cyberincidents impliquant ou provenant de fournisseurs tiers clés de la chaîne d'approvisionnement (et avec des pratiques C-SCRM pertinentes incorporées pour traiter les menaces et vulnérabilités spécifiques à la chaîne d'approvisionnement). En outre, il serait prudent d'élaborer et de tester régulièrement des plans de continuité des activités et de reprise après sinistre afin de garantir la continuité des opérations en cas de cyberattaque de la chaîne d'approvisionnement.
10. Éducation et sensibilisation. Organiser régulièrement des formations de sensibilisation à la cybersécurité à l'intention des employés, des fournisseurs et des parties prenantes afin (i) de les informer de l'importance des cybermenaces courantes et des meilleures pratiques, (ii) de les sensibiliser aux principes du C-SCRM et à l'importance de la sécurité de la chaîne d'approvisionnement dans l'atténuation des cyberrisques, et (iii) de les aider à reconnaître les cybermenaces potentielles et de les encourager à les signaler.

Conclusion

Pour les fabricants qui étendent leur présence aux États-Unis, le moment est venu de considérer la cybersécurité non pas comme une case à cocher de conformité, mais comme un catalyseur stratégique. Une chaîne d'approvisionnement résiliente n'est pas seulement plus sûre, elle est aussi plus intelligente, plus souple et mieux positionnée pour une réussite à long terme.

Dans le cas contraire, le fait de négliger la gestion des risques fournisseurs entraîne des risques de pertes financières importantes, de vol de propriété intellectuelle, d'atteinte à la réputation et d'impact sociétal. Bien que les cybermenaces soient inévitables, les entreprises peuvent en minimiser considérablement les effets en établissant un cadre solide de gestion des risques fournisseurs et en renforçant les mesures de sécurité. Ce faisant, les entreprises seront en mesure de mieux protéger leurs actifs précieux, leur réputation et leurs relations avec les parties prenantes.

[1] Voir IBM X-Force 2025 Threat Intelligence Index, disponible à l'adresse https://www.ibm.com/thought-leadership/institute-business-value/en-us/report/2025-threat-intelligence-index (dernier accès le 17 août 2025).

[2] Voir Cowbell Cyber, Cyber Roundup Report 2024, p. 4, https://cowbell.insure/wp-content/uploads/pdfs/CB-US-Q4-CyberRoundupReport24.pdf (dernier accès le 17 août 2025).

[3] Id. à la p. 17.

[4] PonemonInstitute (sponsorisé, analysé et publié par IBM), Cost of a Data Breach Report 2025 (août 2024) (ci-après, "Cost of a Data Breach Report"), p. 4, disponible à l'adresse https://www.ibm.com/reports/data-breach (inscription requise pour accéder au contenu) (dernier accès le 17 août 2025).

[5] Id. à la p. 18.

[6] Gartner, Gartner Says Compliance Leaders Need Consistent Communication with Relationship Owners to Effectively Manage Third-Party Risk (23 avril 2025), https://www.gartner.com/en/newsroom/press-releases/2025-04-23-gartner-says-compliance-leaders-need-consistent-communication-with-relationship-owners-to-effectively-manage-tihird-party-work.  

[7] Voir le rapport sur le coût d'une violation de données, p. 18.

[8] Voir id.

[9] Voir id. p. 38.

[10] Voir id.

[11] Secureframe, 20 Recent Cyber Attacks & What They Tell Us About the Future of Cybersecurity (15 juillet 2025), disponible à l'adresse https://secureframe.com/blog/recent-cyber-attacks (dernière consultation le 17 août 2025).

[12] Ravie Lakshmanan, Snowflake Breach Exposes 165 Customers' Data in Ongoing Extortion Campaign (11 juin 2024), disponible à l'adresse https://thehackernews.com/2024/06/snowflake-breach-exposes-165-customers.html (dernière consultation le 17 août 2025).

[13] Forum économique mondial, Why Cyber Resilience Should be a Top Priority for Freight Forwarders (4 juin 2025), disponible à l'adresse https://www.weforum.org/stories/2025/06/cyber-resilience-top-priority-for-freight-forwarders/.

[14] NIST SP 800-161 Rev. 1 (2024), https://csrc.nist.gov/pubs/sp/800/161/r1/upd1/final.

[15] NIST Cybersecurity Framework (CSF) 2.0 (2024), https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf.