Jérémy Chieppa
J’aide les DSI de PME/ETI à reprendre le contrôle de leur cybersécurité | Gouvernance claire | Alignement DG | Sans techno imposée | Membre CLUSIR ARA | Référencé MonAideCyber (ANSSI)
Follow me
September 23, 2025
Tu peux sécuriser tout ton SI… et quand même te faire planter.
→ C’est ce qui arrive quand le risque vient de ce que tu installes.
Ce matin, je veux attirer votre attention sur un type d’attaque qui passe parfois sous les radars : les attaques de la chaîne d’approvisionnement logicielle.
En clair ?
Vous n’êtes pas forcément attaqués vous.
Mais les composants logiciels que vous utilisez, eux, peuvent l’être.
Et comme personne ne les contrôle vraiment, ils peuvent devenir une porte d’entrée directe dans votre SI.
Cas réel, tout récent :
Un ver logiciel (Shai-Hulud) a infecté des centaines de packages dans la plus grande bibliothèque de packages JavaScript (npm).
Une simple installation… et l’attaque se propageait toute seule.
Pas besoin d’ouvrir une pièce jointe ou de cliquer sur un lien.
Ce que ça dit :
- La menace ne vient plus seulement de l’extérieur (emails, phishing).
- Elle est intégrée à l’intérieur de ce qu’on installe, parfois automatiquement.
- Et elle explose en silence, dans nos CI/CD, nos serveurs, nos pipelines.
🎯 Donc non, ce n’est pas simplement un sujet “technique”.
C’est un sujet de gouvernance, de politique de sécurité, et de gestion du risque.
👉 Quelques bonnes pratiques simples à envisager :
- Auditer vos dépendances logicielles critiques
- Documenter vos sources de packages et modules tiers
- Évaluer l’impact d’un composant compromis : “où est-ce utilisé dans mon SI ?”
- Mettre en place des règles d’approbation avant intégration
- Garder une vision claire de qui installe quoi, où, et pourquoi
📌 La supply chain logicielle n’est pas “optionnelle”.
Elle est partout.
Et elle peut vous exploser à la figure… sans que personne n’ait touché à rien.
Il ne s’agit plus de se méfier uniquement des cybercriminels.
Il faut aussi se méfier… de ce qu’on installe en toute confiance.
Source : https://lnkd.in/gGKzegDj
---
En cybersécurité, il ne s'agit pas d'être parfait. Il s'agit d'être prêt.
PS : Si tu veux du contenu stratégique sur la cybersécurité pensée comme un actif business, follow + cloche. On monte le niveau ici.
41 Likes
September 23, 2025
Discussion about this post
Kirvanee Soobraydoo Chooramun
1 month ago
Des solutions cloud pour PME | Directrice d’exploitation Hopla.Cloud
Les attaques de la chaîne d’approvisionnement sont redoutables parce qu’elles passent souvent inaperçues. Le vrai défi pour les DSI, ce n’est pas seulement de sécuriser l’infra, mais de garder une vision claire de toutes les briques logicielles utilisées. Sans gouvernance ni suivi, le risque reste invisible jusqu’au jour où il explose.
Frédéric POULALION🎗️
1 month ago
Je veille sur votre cybersécurité ⚡ passionné par l’Intelligence Artificielle 🚀
La compromission de la chaîne logicielle n’est pas une hypothèse théorique. C’est une attaque industrielle, systémique et silencieuse.
Le cas Shai-Hulud le rappelle : un package contaminé dans npm, et l’infection se propage via des mécanismes de confiance aveugle. Aucun clic. Aucune action utilisateur. Juste l’automatisation qui exécute ce qu’on lui a livré.
Le problème n’est pas l’email frauduleux. C’est la dépendance massive à des briques externes non contrôlées. Chaque pipeline CI/CD est une autoroute : si la brique est compromise, tout l’écosystème tombe.
Ce n’est pas une question “technique”. C’est de la gouvernance :
↳ savoir d’où viennent les dépendances,
↳ limiter ce qui est intégré,
↳ tracer leur usage,
↳ imposer des règles d’approbation.
Un SI peut être renforcé contre les attaques classiques et tomber quand l’attaque est déjà embarquée dans ce qu’il consomme.
Ibrahima SOUMAH
1 month ago
Consultant en cybersécurité | IAM | EBIOS RM | ISO 27001 | RGPD
Ce que vous dites me rappelle l’histoire de la mise à jour d’Orion qui avait été hackée
https://youtube.com/shorts/0juwIJwWp3Y?si=ZJePEmoDlXgqDbOF
