Un matériel IT peut être compromis avant son entrée dans l’entreprise

Récemment, une organisation politico-religieuse libanaise a eu quelques soucis avec des pagers et des talkies-walkies au point qu’une psychose s’étend dans le grand public au Liban sur tous les objets connectés, y compris les smartphones ou les ordinateurs. Ce fait divers fait écho à une alerte lancée durant l’été par le constructeur HP Inc. qui a diffusé une étude, liée à son offre HP Wolf Security, sur les cyberattaques menées sur les chaînes d’approvisionnement en matériel informatique. Une attaque menée sur les chaînes d’approvisionnement physiques peut en effet mener à altérer l’intégrité du matériel et des firmwares des appareils. Or la plupart des outils de cybersécurité ne se préoccupe pas de la couche matérielle ou du firmware qui peuvent, de ce fait, être compromis de manière invisible. La chaîne d’approvisionnement des logiciels a, elle, été identifiée comme un risque depuis plusieurs incidents graves.

Ayant pris conscience du défi, 83 % des décideurs informatiques en France affirment que la sécurité de la chaîne d’approvisionnement des logiciels et du matériel va devenir une de leurs priorités. 26 % des répondants déclarent avoir été impactés par des menaces d’Etats ciblant les chaînes d’approvisionnement des PC fixes, ordinateurs portables ou imprimantes. 47 % estiment qu’elles-mêmes ou d’autres entreprises qu’elles connaissent ont déjà été concernées par des cyberattaques menées par des États et ciblant les chaînes d’approvisionnement. L’objectif poursuivi était, semble-t-il, d’introduire des logiciels malveillants ou des composants corrompus dans les appareils.

91 % pensent que ce type d’attaques pourrait se produire notamment pour les PC, les ordinateurs portables ou les imprimantes de leur parc informatique. Dans l’enquête menée au premier trimestre, 58 % des personnes interrogées prévoyaient que la prochaine attaque majeure d’un État consisterait à s’introduire dans les chaînes d’approvisionnement en matériel informatique pour y introduire des logiciels malveillants, ce que l’actualité récente a effectivement démontré. Logiquement, 78 % des répondants déclarent avoir besoin d’un moyen de vérifier l’intégrité du matériel pour réduire le risque de compromission.