Comment les cybercriminels exploitent les partenaires de la chaîne d'approvisionnement pour lancer des attaques

Par sa nature même, une chaîne d'approvisionnement requiert un partenariat collaboratif entre personnes et organisations. Bien que cela puisse aider à atteindre un objectif commun et favoriser la croissance, cela peut aussi poser une multitude de problèmes.

À travers ces relations symbiotiques, les entreprises ont inconsciemment exposé des aspects sensibles de leur activité. Pourtant, cette faiblesse négligée a ouvert des opportunités pour les cybercriminels d'établir un point d'ancrage dans leurs organisations cibles.

Soulignant la prévalence de telles attaques, une étude Opus et Ponemon Institute montre qu'au moins 59 % des organisations ont souffert de cyberattaques via des entreprises tierces. Encore plus troublant est le fait que seulement 16 % des organisations de l'étude ont affirmé atténuer efficacement les risques de cybersécurité provenant de tiers.

Il va de soi que la première étape pour protéger votre entreprise de tels risques est de les identifier. Voici quelques façons dont des acteurs malveillants peuvent initier une attaque via un partenaire de la chaîne d'approvisionnement, illustrées par des exemples réels.

Presque toutes les organisations utilisent du matériel et des logiciels externes. Peu veulent construire leur tech from scratch. Plutôt, l'essor du domaine open-source a entraîné une vague massive d'externalisation dans presque tous les aspects des opérations business.

Malgré sa commodité, cette opportunité vient avec un risque considérable. La célèbre violation d'Equifax en 2018 a résulté d'une faille dans le logiciel chargé de gérer les bases de données en ligne. Equifax l'a aussi imputée à un lien de téléchargement malveillant sur son site, qui provenait d'un autre fournisseur.

En raison de ces faiblesses dans leur chaîne d'approvisionnement, les criminels ont mis la main sur les données personnelles d'au moins 143 millions de personnes.

De nombreuses entreprises utilisent des systèmes de chauffage, ventilation et climatisation (CVC) connectés à Internet mais manquant de mesures de sécurité adéquates. Ces systèmes donnent aux pirates une passerelle potentielle vers les systèmes corporate, comme ce fut le cas avec la massive violation de Target en 2014.

Les pirates ont accédé aux identifiants de connexion appartenant à l'entreprise fournissant le système CVC de Target. Ils se sont ensuite connectés et ont accédé à ses systèmes de paiement, volant des informations appartenant à environ 70 millions de personnes. Cela incluait noms, adresses physiques, emails et numéros de téléphone, parmi d'autres données sensibles.

Une autre forme de risque vient des fournisseurs de services cloud qui stockent les données confidentielles des entreprises. Certes, de telles entités investissent significativement dans la sécurité de leurs systèmes ; leur réputation en dépend.

Mais comme tout autre système organisationnel, ceux-ci sont aussi sujets à compromis. Ce fut le cas dans le célèbre piratage des Paradise Papers en 2018. Environ 13,4 millions de fichiers sensibles ont fuité, révélant des transactions financières sensibles de corporations mondiales et d'individus ultra-riches du monde entier. Au moins la moitié de ces fichiers, environ 6,8 millions, provenaient d'Appleby, un fournisseur de services juridiques offshore.

Une attaque similaire a eu lieu à l'été 2018, quand Deep Root Analytics a fuité les données personnelles d'environ 200 millions d'électeurs. Deep Root est une société de marketing utilisée par les partis républicain et démocrate. La violation a résulté de la mise accidentelle des données sur un serveur accessible publiquement par l'entreprise.

Bien que ce soit une entreprise relativement petite avec seulement environ 50 employés, des incidents similaires ont eu lieu dans de plus grandes organisations. Dans le cas de la violation de Verizon, Nice Systems a mis 6 millions de dossiers clients sur un serveur de stockage Amazon S3 public. Les dossiers consistaient en six mois de logs d'appels de service client. Ils incluaient des informations personnelles et de compte. Nice compte plus de 3 500 employés.

Deloitte, avec plus de 250 000 employés, a subi une violation de données similaire. En septembre 2018, les pirates ont accédé à des plans confidentiels et emails de certains de ses clients blue-chip. La faille, en l'occurrence, était de faibles contrôles d'accès sur un de ses comptes administratifs.

Pour les grandes entreprises, la sécurité peut être étanche en interne. Cependant, ce n'est peut-être pas vrai même pour les systèmes IT des vendeurs. C'est ce qui semble s'être passé chez Domino's Pizza en Australie l'automne dernier. Selon les rapports de l'époque, l'incident a résulté de systèmes de cybersécurité faibles d'un ancien fournisseur. En conséquence, le système a fui noms de clients et adresses email. La violation n'est venue à la lumière que lorsque les clients affectés ont commencé à recevoir des emails spam personnalisés. Bien que Domino's ait insisté qu'il n'y avait pas de piratage malveillant de données personnelles et que ses systèmes n'étaient pas en cause, le dommage était déjà fait.

Une autre faille que les cybercriminels pourraient exploiter est les capteurs Internet des objets (IoT). De nombreux opérateurs business sont alertes aux risques de sécurité informatique, téléphone et réseau. Mais ils négligent souvent les appareils IoT, qui peuvent permettre aux attaquants de faire un bond dans les systèmes corporate.

Ces appareils ont des capteurs qui les connectent à Internet à des fins de communication. Ils sont courants dans les chaînes d'approvisionnement, car ils peuvent aider à la prédiction de pannes machines et la gestion des stocks, entre autres domaines. Malgré leur valeur fonctionnelle, ils sont un vecteur d'attaque populaire qui peut donner aux attaquants l'accès à des données sensibles, et faciliter le sabotage et les attaques botnet.

Un exemple d'une telle attaque a utilisé un botnet connu sous le nom de Mirai pour compromettre Dyn, une entreprise qui fournit des services de noms de domaine à Reddit, Netflix et Github, entre autres. Mirai est un botnet spécifique à l'IoT conçu pour perpétrer des attaques de déni de service distribué (DDoS).

Les exemples ci-dessus donnent du crédit au fait que les attaquants peuvent utiliser un maillon faible dans votre chaîne d'approvisionnement pour accéder aux systèmes. Malheureusement, vous ne pouvez pas exercer de contrôle direct sur les mesures de sécurité que vos partenaires de chaîne d'approvisionnement implémentent. Mais au bout du compte, les clients ne se soucient pas de comment vous avez été compromis. Ils veulent simplement savoir que leurs données sont sécurisées. Et cela place la responsabilité d'assurer une sécurité étanche entre vos mains.

La due diligence dans l'évaluation des systèmes de sécurité tiers et de leurs politiques de confidentialité est essentielle. Comme nous l'avons vu, organisations grandes et petites peuvent tomber victimes de ces tactiques. Peu importe la taille de vos partenaires, il est essentiel d'évaluer leur engagement envers la sécurité.

Faites-en un objectif prioritaire d'évaluer où se trouvent vos faiblesses, et priorisez le colmatage de toutes les failles.

Olivia Scott est directrice marketing chez VPNpro.com.