Supply chain attack : quand votre prestataire se fait pirater (Gites de France, Almerys)

Les cyberattaques ne ciblent plus directement les grandes entreprises. En 2026, les hackers attaquent leurs sous-traitants et prestataires informatiques, beaucoup moins protégés. Les récentes attaques contre Gites de France (via le prestataire Itea) et Almerys (tiers payant santé) illustrent cette tendance. Voici ce qu’est une supply chain attack et comment s’en protéger.

Qu’est-ce qu’une supply chain attack

Une supply chain attack (attaque de la chaîne d’approvisionnement) consiste a pirater un fournisseur, sous-traitant ou prestataire d’une organisation pour acceder indirectement aux données de cette organisation. L’attaquant cible le maillon le moins sécurisé de la chaîne.

L’exemple récent de Gites de France est typique : le pirate n’a pas attaqué directement le réseau national, mais le prestataire Itea qui fournit des logiciels de gestion des réservations. Résultat : 389 000 clients concernés par la fuite.

De la même manière, Almerys était le prestataire de tiers payant de dizaines de mutuelles. En piratant Almerys, l’attaquant a potentiellement accès aux données de 15,4 millions de bénéficiaires de multiples assureurs.

Pourquoi les supply chain attacks explosent

Ecart de sécurité : Les grandes entreprises investissent massivement en cybersécurité. Leurs prestataires, souvent des PME, ont des budgets limités. L’attaquant choisit la porte la moins protégée.

Effet multiplicateur : Un seul prestataire pirate donne accès aux données de TOUS ses clients. C’est un ratio effort/résultat imbattable pour les cybercriminels.

Confiance inhérente : Les entreprises font confiance a leurs prestataires. Leurs systèmes sont souvent interconnectés, avec des accès directs aux bases de données.

Responsabilité juridique : qui est responsable

Sous le RGPD, la responsabilité est claire :

Le responsable de traitement (Gites de France, la mutuelle utilisant Almerys) reste responsable de la protection des données, même si la faille vient de son prestataire. Il doit notifier la CNIL sous 72 heures.

Le sous-traitant (Itea, Almerys) a ses propres obligations sous l’article 28 du RGPD : sécuriser les données, notifier le responsable de traitement, coopérer avec les autorités.

En pratique, les deux sont responsables. La CNIL peut sanctionner le responsable de traitement pour ne pas avoir vérifié la sécurité de son prestataire, et le sous-traitant pour ne pas avoir sécurisé ses systèmes.

Comment protéger votre entreprise

1. Auditez la cybersécurité de vos prestataires. Avant de signer, vérifiez leurs certifications (ISO 27001, SecNumCloud), leur politique de sécurité et leur historique d’incidents. Utilisez MonAideCyber (ANSSI) pour auditer les PME prestataires.

2. Clause de sécurité dans les contrats. Exigez des obligations contractuelles : notification sous 24h en cas d’incident, droit d’audit, pénalités en cas de manquement.

3. Segmentation des accès. Ne donnez a vos prestataires que les accès strictement nécessaires. Limitez dans le temps et dans le périmètre. Révoquez les accès des qu’ils ne sont plus nécessaires.

Questions fréquentes

Quiz : Comprenez-vous les supply chain attacks

Alexi Tauzin
🛡️ Éditeur & Expert Cyber

Fondateur d'alexitauzin.com, entrepreneur digital et spécialiste des technologies connectées. Il décrypte les enjeux de la souveraineté numérique, de la protection des données et de la sécurité informatique pour rendre la cyber-vigilance accessible à tous.

En savoir plus ➜