Attaques de la chaîne d'approvisionnement, violation du DCSNet du FBI et l'argument en faveur de la récupération de données validée
Pendant des années, le discours dominant sur la cybersécurité s'est focalisé sur un scénario : des acteurs de ransomwares ciblant directement une organisation, chiffrant ses données et exigeant un paiement. Cette menace reste réelle et croissante. Mais la société d'intelligence des menaces Rapport annuel 2025 de Cyble révèle que la surface d'attaque s'étend considérablement plus loin. L'un de ses vecteurs à la croissance la plus rapide est l'attaque de la chaîne d'approvisionnement.
En 2025, les attaques visant la chaîne d'approvisionnement revendiquées par des groupes malveillants ont bondi de 931 %, passant de 154 incidents en 2024 à 297. Les attaques par ransomware ont augmenté de 521 % au cours de la même période, pour atteindre 6 604 incidents — le mois de décembre 2025 ayant enregistré 731 attaques, soit le deuxième total mensuel le plus élevé jamais enregistré. Ces deux tendances ne sont pas indépendantes l'une de l'autre.
“ Les groupes de rançongiciels étant systématiquement à l'origine de plus de la moitié des attaques de la chaîne d'approvisionnement, les deux types d'attaques sont de plus en plus liés. ” Cyble, Rapport sur le paysage des menaces 2025
La convergence est importante sur le plan opérationnel. Les groupes de rançongiciels ne se contentent plus de verrouiller des fichiers et d'exiger un paiement. Ils utilisent les relations de confiance avec les fournisseurs pour livrer leurs charges utiles dans des environnements qu'ils ne pouvaient pas atteindre directement. Une attaque de la chaîne d'approvisionnement est de plus en plus le mécanisme de livraison d'un événement de rançongiciel.
Une attaque de la chaîne d'approvisionnement ne cible pas directement l'organisation victime. Au lieu de cela, elle compromet un tiers auquel l'organisation cible fait confiance et sur lequel elle s'appuie – un fournisseur de logiciels, un fournisseur de services gérés, un partenaire d'intégration cloud ou un fournisseur de connectivité réseau. Une fois que ce tiers est compromis, les attaquants utilisent l'accès et la confiance que cette relation leur confère pour pénétrer dans l'environnement cible.
La charge utile livrée par ce canal de confiance peut être un logiciel de rançon, une porte dérobée persistante, un outil d'exfiltration de données, ou une combinaison. Le point critique est que, parce que le mécanisme de livraison provient d'une source de confiance, il a souvent déjà passé les contrôles de sécurité de la cible. Les pare-feu, les outils de détection des points d'extrémité et la surveillance du réseau sont calibrés pour signaler les sources inconnues ou suspectes, et non les mises à jour logicielles d'un fournisseur que l'organisation utilise depuis des années.
Selon Cyble, la sophistication des attaques de la chaîne d'approvisionnement en 2025 s'est étendue bien au-delà de l'empoisonnement traditionnel des paquets. Les attaquants ont ciblé :
Les intégrations Salesforce sont un exemple concret pour 2025 cité par Cyble : les attaquants ont exploité la confiance basée sur OAuth entre les plateformes SaaS, en utilisant des jetons de tiers compromis pour accéder aux environnements des clients. L'instance Salesforce du client n'a pas été piratée. La violation est passée par une application connectée à laquelle il faisait confiance.
Cyble a documenté 57 nouveaux groupes de ransomware, 27 nouveaux groupes d'extorsion et plus de 350 nouvelles souches de ransomware en 2025. Le paysage a continué d'évoluer rapidement en réponse aux actions des forces de l'ordre :
Les États-Unis sont restés le pays le plus visé, avec 551 % de toutes les attaques. Les secteurs les plus ciblés ont été la construction, les services professionnels, l'industrie manufacturière, la santé et les technologies de l'information.
L'explosion des attaques de la chaîne d'approvisionnement en 2025 n'est pas sortie de nulle part. Le schéma s'est construit pendant des années. Comprendre cette progression aide à expliquer pourquoi la violation du DCSNet du FBI, décrite dans la deuxième partie, suit un manuel prévisible :
SolarWinds Orion (2020) — Code malveillant injecté dans une mise à jour logicielle de confiance via le propre pipeline de compilation du fournisseur. Impact : plus de 18 000 organisations compromises, y compris plusieurs agences fédérales américaines. Les attaquants ont été présents pendant des mois avant d'être détectés. Attribué par les services de renseignement américains au SVR russe.
Kaseya VSA (2021) — Vulnérabilité dans un logiciel de gestion informatique utilisé par les prestataires de services gérés (MSP). Impact : le rançongiciel REvil a été diffusé auprès de plus de 1 500 clients MSP en aval en une seule attaque en cascade. Les propres clients de Kaseya ont été atteints sans que Kaseya ne soit la cible principale.
MOVEit Transfer (2023) — Vulnérabilité zero-day dans un outil de transfert de fichiers gérés largement utilisé. Impact : Le groupe de rançongiciels Cl0p a accédé simultanément aux données de centaines d’organisations via une vulnérabilité non corrigée d’un seul fournisseur. L’une des plus grandes campagnes de vol de données jamais enregistrées.
Tentative de porte dérobée XZ Utils (2024) — Ingénierie sociale sur plusieurs années d'un mainteneur open-source pour insérer une porte dérobée dans un utilitaire de compression Linux essentiel. Impact : Détecté avant une exploitation généralisée. A démontré que des acteurs étatiques sont prêts à investir des années dans le ciblage de la chaîne d'approvisionnement open-source. Attribué par les chercheurs à un acteur lié à la Chine.
Campagne Salt Typhoon télécom (2019–2024) — Exploitation de l'infrastructure d'interception légale CALEA chez les principaux opérateurs américains. Impact : Neuf opérateurs américains compromis. Accès aux enregistrements d'appels de plus d'un million d'utilisateurs. Données d'écoutes du FBI exposées depuis les systèmes des opérateurs. Décrit par les responsables américains comme le pire piratage de télécommunications de l'histoire américaine.
Violation du DCSNet du FBI (2026) — Exploitation de fournisseur d'accès Internet pour atteindre le réseau de surveillance interne du FBI. Impact : Ciblage d'écoutes actives, accès aux données FISA et aux informations personnelles identifiables des forces de l'ordre. Officiellement classé comme incident majeur FISMA. La Maison Blanche, le DHS et la NSA ont rejoint l'enquête.
Le fil conducteur commun à tous ces incidents est identique : l'attaquant n'a pas neutralisé les défenses de la cible. Il a compromis une personne de confiance de la cible, puis a utilisé cette confiance comme identifiant d'accès. Chaque incident a nourri le suivant. La violation du FBI n'est pas une anomalie isolée. C'est la dernière itération d'une stratégie qui a été perfectionnée pendant plus de cinq ans.
Le Digital Collection System Network (DCSNet) est l'infrastructure interne non classifiée du FBI pour la gestion des opérations de surveillance autorisées par la cour. Il fournit aux agents une interface centralisée par point-et-clic pour mener et surveiller les écoutes téléphoniques sur les réseaux cellulaires et fixes, fonctionnant sur une dorsale fibre optique privée séparée de l'internet public.
Le module spécifique auquel il a été accédé lors de cette violation était le DCS-3000, un sous-système interne connu sous le nom de “ Red Hook ”. Red Hook gère les opérations de surveillance de type pen register et trap-and-trace : il ne capture pas le contenu des communications, mais collecte les métadonnées qui les entourent. Ces métadonnées incluent :
On ne saurait trop insister sur l'importance de ces données en matière de contre-espionnage. Un service de renseignement étranger qui sait qui sont les Le FBI enquête actuellement, … en sachant quels numéros de téléphone sont surveillés et quelles cibles sont actives, il peut identifier ses propres agents sous surveillance, les avertir, modifier leur comportement et compromettre les opérations en cours, le tout sans déclencher aucune détection officielle.
“ Bien qu'aucune interception du contenu des appels n'ait été confirmée, la fuite des métadonnées à elle seule pourrait permettre à un service de renseignement étranger d'identifier des agents infiltrés, de compromettre des enquêtes criminelles en cours et de découvrir lesquels de ses propres agents ont été compromis par le FBI. ” — CPO Magazine
Cette intrusion n'est pas le résultat d'une attaque directe contre les systèmes du FBI. Les défenses périmétriques du Bureau n'ont pas été contournées. Selon la notification officielle adressée par le FBI au Congrès, obtenue par Politico, les pirates ont pénétré dans le système en “ exploitant l'infrastructure d'un fournisseur d'accès Internet commercial ”, une méthode attribuée aux “ techniques sophistiquées ” du groupe. Le nom de ce fournisseur d'accès Internet n'a pas été rendu public.
C'est la même dynamique structurelle qui ressort de chaque incident répertorié dans le tableau ci-dessus. Le point de défaillance n'était pas la sécurité interne du FBI. Il s'agissait de la relation de confiance entre le Bureau et un fournisseur externe, ainsi que du fait que la posture de sécurité de ce fournisseur était insuffisante pour résister à une intrusion commanditée par un État. Comme l'a résumé Xcitium Threat Labs : “ La violation n'a pas nécessité d'accès direct à l'infrastructure principale du FBI. Elle a utilisé un fournisseur de télécommunications externe comme passerelle, démontrant ainsi comment l'accès à la chaîne d'approvisionnement se transforme en accès opérationnel. ”
Les chercheurs en sécurité ont associé cette technique à deux tactiques du modèle MITRE ATT&CK : l'exploitation d'une relation de confiance (T1199) et la compromission de la chaîne d'approvisionnement (T1195). En clair : si vous ne pouvez pas attaquer directement la cible, attaquez une personne en qui elle a confiance, puis utilisez cette confiance comme identifiant.
À la mi-avril 2026, ni le FBI, ni la CISA, ni la Maison Blanche n'avaient officiellement désigné de groupe de pirates informatiques comme responsable. L'enquête se poursuit. Toutefois, les enquêteurs et les chercheurs indépendants ont concentré leur attention sur Salt Typhoon, un groupe de cyberattaques persistantes et sophistiquées soutenu par l'État chinois et lié au ministère chinois de la Sécurité d'État.
Cette stratégie n'est pas le fruit du hasard. Salt Typhoon met en œuvre ce plan d'action depuis des années contre ce type de cibles. Entre 2019 et 2024, le groupe a infiltré l'infrastructure d'interception légale CALEA de neuf opérateurs de télécommunications américains — AT&T, Verizon, T-Mobile, Lumen, Spectrum et d'autres —, dans ce que les autorités américaines ont qualifié de pire piratage de télécommunications de l'histoire des États-Unis. À partir de ces systèmes d'opérateurs compromis, le groupe a accédé à des données d'écoutes téléphoniques du FBI, à des enregistrements d'appels concernant plus d'un million d'utilisateurs, ainsi qu'aux communications privées de hauts responsables gouvernementaux et de membres d'équipes de campagne.
Le lien structurel avec la faille du DCSNet est direct. En 1994, la loi CALEA a imposé aux opérateurs de télécommunications d’intégrer des capacités d’interception légale dans leurs infrastructures. Cette obligation n’a jamais été assortie d’une exigence correspondante visant à sécuriser ces capacités contre tout accès non autorisé par des tiers. Salt Typhoon a cartographié et compromis cette architecture au niveau des opérateurs pendant près d’une décennie. La violation du réseau DCSNet représente la suite logique : remonter jusqu'aux systèmes du FBI qui reçoivent et traitent les données de surveillance que les opérateurs ont été chargés de transmettre.
“ Il était inévitable que des pirates informatiques étrangers s'infiltrent profondément dans le système de communication américain dès l'instant où la FCC a décidé de laisser les opérateurs téléphoniques rédiger leurs propres règles en matière de cybersécurité. ” — Sénateur Ron Wyden
On pourrait être tenté de minimiser l’importance d’une violation de systèmes “ non classifiés ”. Mais cette façon de présenter les choses est trompeuse. La classification d“” incident majeur “ prévue par la FISMA n’est pas une désignation courante : Cynthia Kaiser, ancienne directrice adjointe du FBI chargée des questions cybernétiques, a souligné que ” seules quelques agences signalent un incident cybernétique majeur chaque année », et que le seuil à franchir exige de déterminer si la violation est susceptible de causer un préjudice avéré à la sécurité nationale, aux relations étrangères ou aux libertés civiles.
Le FBI a clairement conclu que ces deux conditions étaient remplies. Parmi les conséquences concrètes, on peut citer :
Les scénarios d’attaques sur la chaîne d’approvisionnement décrits ci-dessus partagent une caractéristique qui rend inadéquates les approches de récupération traditionnelles : l’attaquant était déjà à l’intérieur de l’environnement de confiance, utilisant des canaux légitimes, souvent pendant une période prolongée avant d’être détecté. La violation de DCSNet. Le compromis de SolarWinds. La campagne de télécommunications Salt Typhoon. Dans chaque cas, au moment où l’intrusion a été identifiée, l’attaquant était présent sur plusieurs cycles de sauvegarde.
Cela crée un problème de récupération fondamentalement différent de la restauration après un événement de détonation de ransomware où le moment de l'impact est connu. Lorsque le temps de persistance se mesure en mois ou en années, la question “quelle sauvegarde est propre ?” ne peut pas être répondue en examinant la sauvegarde la plus récente.
Dans une attaque de la chaîne d'approvisionnement avec persistance, l'hypothèse la plus dangereuse qu'une organisation puisse faire est que sa sauvegarde la plus récente représente un point de restauration sûr. La vérification, et non l'hypothèse, est le fondement d'une récupération fiable.
Une sauvegarde effectuée pendant la période de compromission peut contenir tout ce qui suit :
La restauration à partir d'une sauvegarde compromise ne permet pas de se remettre de l'attaque. Elle rétablit les conditions qui ont permis à l'attaque de persister. L'organisation a utilisé sa fenêtre de récupération pour revenir à un état dans lequel l'attaquant a déjà démontré qu'il pouvait opérer.
La compromission de SolarWinds est restée indétectée pendant environ neuf mois. La campagne de télécommunications Salt Typhoon s'est déroulée pendant une période estimée à cinq ans avant d'être détectée. Dans les deux cas, les organisations qui s'appuyaient sur des procédures de sauvegarde et de restauration standard ont rencontré un problème fondamental : leurs fenêtres de sauvegarde étaient plus courtes que le temps de présence de l'attaquant.
Si votre rétention de sauvegarde est de 30 jours et que l'attaquant est présent depuis 90 jours, chaque sauvegarde dans cette période est potentiellement compromise. Ce n'est pas un risque théorique. C'est le défi opérationnel spécifique que ces attaques visent à créer. En maintenant une présence persistante et discrète sur une période prolongée, l'attaquant efface effectivement la capacité de l'organisation à restaurer un état propre à l'aide d'outils conventionnels.
CyberSense aborde cela directement en traitant la sauvegarde comme un sujet d'inspection plutôt qu'un artefact de confiance. L'analyse est appliquée au contenu des données, se demandant non seulement “ce fichier est-il présent ?” mais aussi “ce fichier a-t-il été modifié d'une manière cohérente avec un compromis, et si oui, quand cela s'est-il produit pour la première fois ?”. Cette distinction est l'écart opérationnel que l'analyse des sauvegardes au niveau du contenu est conçue pour combler.
Une conséquence des violations de la chaîne d'approvisionnement qui s'applique largement aux organisations du secteur privé — en particulier dans les industries réglementées, les services financiers, la santé et les services juridiques — est l'intégrité des enregistrements créés ou modifiés pendant la fenêtre de violation. Lorsqu'un système est connu pour avoir été compromis, la valeur probante des enregistrements produits pendant cette période est légitimement remise en question.
La situation du FBI, où des preuves issues d'un système de surveillance compromis font face à des défis potentiels d'admissibilité, a un analogue direct dans le secteur privé : les registres financiers, la documentation de conformité, les pistes d'audit et les données transactionnelles qui sont passés par un environnement compromis lors d'une intrusion prolongée peuvent tous porter la même incertitude.
La capacité de rapports forensiques de CyberSense génère un enregistrement documenté et horodaté de ce qui a changé, quand le changement s'est produit et comment il se compare aux états vérifiés antérieurs. Pour les organisations ayant des obligations légales, réglementaires ou d'audit, ceci est souvent une condition préalable essentielle pour démontrer l'étendue et les limites d'une violation aux régulateurs, aux auditeurs ou aux tribunaux.
Le FBI est un cas extrême en termes de sensibilité des cibles et de sophistication des adversaires. Mais la dynamique structurelle de l'attaque n'est pas unique aux gouvernements. Toute organisation présentant les caractéristiques suivantes est confrontée à une version du même problème de récupération :
Les données de 2025 confirment que les attaques de la chaîne d'approvisionnement ne sont pas sélectives : tous les secteurs d'activité suivis par Cyble ont été touchés. Lorsqu'une telle attaque se produit, les organisations ont besoin de la capacité d'identifier des données saines pour se rétablir rapidement et en toute confiance.
