Supply Chain Attack
Supply Chain Attack = pirater le fournisseur pour atteindre le client
Une supply chain attack (attaque sur la chaîne d'approvisionnement logicielle) est une attaque qui compromet un fournisseur, un outil ou un composant en amont pour atteindre, à travers lui, toutes les organisations qui l'utilisent.
Le point d'entrée peut être une mise à jour logicielle piégée, une bibliothèque open source modifiée, un outil de build ou un prestataire d'infogérance. Quelques cas marquants :
- SolarWinds (2020) : une mise à jour compromise distribuée à des milliers de clients, dont des administrations ;
- 3CX (2023) : un logiciel de téléphonie piégé, lui-même compromis via un autre logiciel tiers ;
- xz-utils (2024) : une porte dérobée introduite après des années de contributions par un mainteneur malveillant, découverte de justesse avant sa diffusion large.
Les parades combinent inventaire des dépendances (SBOM), signature et traçabilité des artefacts (Sigstore, SLSA), builds isolés et réduction du nombre de dépendances tierces.
Pourquoi ça compte quand on recrute
Ce risque concerne les équipes AppSec, Product Security et DevSecOps, mais aussi tout responsable d'une chaîne CI/CD. En entretien, demandez comment le candidat contrôle ce qui entre dans un build : épinglage des versions, revue des nouvelles dépendances, provenance des images. Une réponse limitée à « on lance un scanner de vulnérabilités » montre une vision partielle du sujet.