Un tiers des organisations françaises qui subiront une compromission cette année ne seront pas attaquées directement. Elles le seront à travers un prestataire informatique, un éditeur, un hébergeur ou une bibliothèque logicielle. Le Panorama de la cybermenace 2025 de l'ANSSI consacre un chapitre entier à ce vecteur, et le rapport DBIR 2026 de Verizon mesure son poids : l'implication d'un tiers est passée de 30 % à 48 % des compromissions analysées en un an.
Trois formes distinctes, trois réponses distinctes
L'expression « attaque par la chaîne d'approvisionnement » recouvre des scénarios très différents, qui n'appellent pas les mêmes contre-mesures. Le schéma de l'ANSSI en distingue trois.
| Forme | Mécanisme | Ce qui la contient |
|---|---|---|
| Rebond par compte prestataire | Compromission d'un accès légitime, puis latéralisation vers les SI clients via les interconnexions | Cloisonnement des accès tiers, MFA résistante à l'hameçonnage, accès juste-à-temps |
| Exfiltration chez le prestataire | Vol des données métier de plusieurs clients hébergées chez un même tiers | Minimisation des données confiées, chiffrement, clauses de notification rapide |
| Indisponibilité du prestataire | Chiffrement ou interruption de service chez le tiers, propagée à tous ses clients | Plan de continuité intégrant la défaillance fournisseur, mode dégradé testé |
L'agence formule par ailleurs un constat structurel qui explique la dynamique : avec le développement de la sous-traitance et la délégation de compétences dans certains secteurs, les entreprises peuvent ne plus maîtriser l'intégralité des équipements qu'elles incorporent dans leurs réseaux, ce qui affaiblit le niveau de sécurisation des environnements.
Ce que l'ANSSI a observé en 2025
Le panorama publié le 11 mars 2026 décrit plusieurs situations concrètes, volontairement anonymisées.
Un attaquant a compromis un prestataire de nombreuses entités françaises et exfiltré des ressources clientes. En tirant parti des interconnexions existantes avec les systèmes d'information des clients et grâce à des authentifiants volés, il est parvenu à se latéraliser sur le système d'information de plusieurs d'entre eux. C'est le scénario le plus redouté, parce qu'il transforme un incident fournisseur en incident propre, sans jamais passer par votre périmètre exposé.
L'agence décrit aussi des attaques par rebond au sens strict, dans lesquelles les attaquants compromettent une première victime — pas nécessairement un sous-traitant — et utilisent ses ressources internes pour forger des éléments crédibles permettant de mieux cibler une seconde entité. Une boîte aux lettres compromise chez un partenaire suffit : le message arrive dans un fil de discussion réel, avec un historique réel, depuis une adresse réelle.
Enfin, entre janvier et juin 2025, l'ANSSI a observé la compromission par rançongiciel de plusieurs entités industrielles impliquées dans la chaîne d'approvisionnement de la base industrielle et technologique de défense française. L'agence précise qu'elle ne considère pas ces attaques comme coordonnées — les entreprises ayant été compromises par des opérateurs différents — mais en tire une conclusion opérationnelle explicite : il importe d'identifier les sous-traitants essentiels et de les aider à améliorer leur sécurité informatique.
Ce « aider » mérite d'être souligné. L'approche purement contractuelle, qui consiste à transférer le risque par une clause, ne réduit pas l'exposition réelle : un sous-traitant de vingt personnes ne devient pas mature parce qu'il a signé une annexe sécurité.
Le cas particulier du cloud mutualisé
L'ANSSI relève que la généralisation de l'hébergement mutualisé constitue une opportunité pour les attaquants d'obtenir des données de multiples entités en compromettant un unique prestataire. Plusieurs cas sont documentés pour 2025 : en octobre, une attaque par rançongiciel aboutissant au chiffrement de ressources liées à une solution logicielle d'un éditeur français hébergée sur un environnement cloud tiers ; en juillet, la compromission et le chiffrement de ressources cloud d'une entité française d'importance, entraînant une indisponibilité de services pour des clients professionnels comme pour des services grand public.
Un point technique mérite l'attention des RSSI, car il conditionne toute la capacité de réponse : l'agence signale que le manque de contrôle du client final sur ces environnements peut constituer un frein aux analyses. Lors d'une compromission d'ampleur détectée en 2025, certaines levées de doute n'ont pas pu aboutir faute d'obtenir les journaux d'activité relatifs à des ressources cloud possiblement compromises.
La question à poser à vos fournisseurs SaaS n'est donc pas seulement « êtes-vous certifiés ? », mais « quels journaux me fournissez-vous, sous quel délai, et sur quelle profondeur ? ». Cette clause vaut, en gestion d'incident, plus que bien des engagements de sécurité génériques.
La chaîne logicielle : npm, et maintenant l'IA
Le 27 novembre 2025, le CERT-FR a publié un avis sur une attaque affectant l'écosystème npm : le ver auto-répliquant désigné « Shai-Hulud 2.0 », qui a compromis plus de 700 paquets à partir du 23 novembre. Le mécanisme est instructif : des scripts d'installation s'exécutent au téléchargement du paquet, collectent des secrets dans les variables d'environnement et les fichiers de configuration, les exfiltrent, puis utilisent les jetons volés pour infecter d'autres paquets. Les recommandations du CERT-FR incluent l'audit des paquets installés, le gel temporaire des mises à jour npm sur des versions vérifiées, la revue des workflows d'intégration continue et la rotation de l'ensemble des secrets en cas de suspicion.
Le CERT-FR identifie par ailleurs, dans sa synthèse du 4 février 2026 sur l'IA générative, deux extensions récentes de ce vecteur. D'une part, des modèles d'IA disponibles en sources ouvertes et spécialisés dans la génération de code peuvent être malveillants ou compromis et exécuter du code arbitraire dès leur téléchargement. D'autre part, la pratique du slopsquatting consiste à enregistrer des noms de paquets inventés par les modèles d'IA — leurs hallucinations — puis à en publier des versions malveillantes, que les développeurs installent en suivant une suggestion générée.
Europol, dans son IOCTA 2026, confirme la tendance côté rançongiciel : les acteurs criminels ont continué à exploiter des vulnérabilités et à cibler la chaîne d'approvisionnement numérique pour démultiplier leurs attaques, dans un écosystème où plus de 120 marques de rançongiciel étaient actives en 2025.
Par où reprendre la main
- Cartographier les interconnexions, pas seulement les fournisseurs. La liste des prestataires ne dit rien du risque ; ce qui compte, ce sont les accès permanents, les comptes de service, les tunnels et les intégrations API.
- Hiérarchiser une dizaine de tiers essentiels. Un programme d'évaluation qui couvre 200 fournisseurs superficiellement protège moins qu'un programme qui en traite dix sérieusement.
- Négocier trois clauses utiles : délai d'alerte en heures, fourniture des journaux en cas d'incident, droit d'audit ou à défaut communication des rapports de test d'intrusion.
- Traiter les accès tiers comme des accès à privilèges : authentification résistante à l'hameçonnage, ouverture à la demande, journalisation séparée, revue trimestrielle.
- Tester le scénario de défaillance fournisseur dans le plan de continuité, y compris l'hypothèse où c'est votre hébergeur SaaS qui est indisponible pendant cinq jours.
Le module TPRM de Phishia part de cette logique : identifier les tiers réellement critiques, évaluer leur exposition à partir de sources ouvertes, puis outiller la relation contractuelle et la surveillance plutôt que de multiplier les questionnaires.
Questions fréquentes
Une certification ISO 27001 chez mon fournisseur suffit-elle ?
Elle indique l'existence d'un système de management, pas l'absence de compromission. Elle constitue un bon point de départ, à compléter par le périmètre exact de la certification, la déclaration d'applicabilité et les engagements opérationnels d'alerte et de journalisation.
Que faire quand le fournisseur compromis est incontournable ?
Réduire la surface : minimiser les données confiées, cloisonner l'interconnexion, exiger des comptes dédiés et révocables, et préparer un mode dégradé. Le risque résiduel doit être formalisé et porté au niveau de la direction, pas laissé implicite.
Faut-il geler les mises à jour de dépendances logicielles ?
Non en règle générale, car cela crée un risque de vulnérabilités non corrigées. Le gel est une mesure d'urgence, recommandée par le CERT-FR pendant une campagne active, sur des versions vérifiées, et levée dès que la situation est clarifiée.
Sources
- ANSSI, « Panorama de la cybermenace 2025 », 11 mars 2026 (chapitre « Le ciblage des sous-traitants comme vecteur de compromission »)
- CERT-FR, « Attaque par la chaîne d'approvisionnement de plusieurs paquets NPM », CERTFR-2025-ACT-051, 27 novembre 2025
- CERT-FR / ANSSI, « L'IA générative face aux attaques informatiques », 4 février 2026
- Verizon, « 2026 Data Breach Investigations Report »
- Europol, « IOCTA 2026 »
- ENISA, « Threat Landscape 2025 », 1er octobre 2025
Liens consultés le 23 septembre 2026.