Supply chain attack : quand votre prestataire se fait pirater (Gites de France, Almerys)

Les cyberattaques ne ciblent plus directement les grandes entreprises. En 2026, les hackers attaquent leurs sous-traitants et prestataires informatiques, beaucoup moins proteges. Les recentes attaques contre Gites de France (via le prestataire Itea) et Almerys (tiers payant sante) illustrent cette tendance. Voici ce qu’est une supply chain attack et comment s’en proteger.

Qu’est-ce qu’une supply chain attack

Une supply chain attack (attaque de la chaine d’approvisionnement) consiste a pirater un fournisseur, sous-traitant ou prestataire d’une organisation pour acceder indirectement aux donnees de cette organisation. L’attaquant cible le maillon le moins securise de la chaine.

L’exemple recent de Gites de France est typique : le pirate n’a pas attaque directement le reseau national, mais le prestataire Itea qui fournit des logiciels de gestion des reservations. Resultat : 389 000 clients concernes par la fuite.

De la meme maniere, Almerys etait le prestataire de tiers payant de dizaines de mutuelles. En piratant Almerys, l’attaquant a potentiellement acces aux donnees de 15,4 millions de beneficiaires de multiples assureurs.

Pourquoi les supply chain attacks explosent

Ecart de securite : Les grandes entreprises investissent massivement en cybersécurité. Leurs prestataires, souvent des PME, ont des budgets limites. L’attaquant choisit la porte la moins protegee.

Effet multiplicateur : Un seul prestataire pirate donne acces aux donnees de TOUS ses clients. C’est un ratio effort/resultat imbattable pour les cybercriminels.

Confiance inherente : Les entreprises font confiance a leurs prestataires. Leurs systemes sont souvent interconnectes, avec des acces directs aux bases de donnees.

Responsabilite juridique : qui est responsable

Sous le RGPD, la responsabilite est claire :

Le responsable de traitement (Gites de France, la mutuelle utilisant Almerys) reste responsable de la protection des donnees, meme si la faille vient de son prestataire. Il doit notifier la CNIL sous 72 heures.

Le sous-traitant (Itea, Almerys) a ses propres obligations sous l’article 28 du RGPD : securiser les donnees, notifier le responsable de traitement, cooperer avec les autorites.

En pratique, les deux sont responsables. La CNIL peut sanctionner le responsable de traitement pour ne pas avoir verifie la securite de son prestataire, et le sous-traitant pour ne pas avoir securise ses systemes.

Comment proteger votre entreprise

1. Auditez la cybersécurité de vos prestataires. Avant de signer, verifiez leurs certifications (ISO 27001, SecNumCloud), leur politique de securite et leur historique d’incidents. Utilisez MonAideCyber (ANSSI) pour auditer les PME prestataires.

2. Clause de securite dans les contrats. Exigez des obligations contractuelles : notification sous 24h en cas d’incident, droit d’audit, penaltés en cas de manquement.

3. Segmentation des acces. Ne donnez a vos prestataires que les acces strictement necessaires. Limitez dans le temps et dans le perimetre. Revoquez les acces des qu’ils ne sont plus necessaires.

Questions frequentes

Quiz : Comprenez-vous les supply chain attacks