Par le Dr Martin Kraemer, CISO Advisor chez KnowBe4
Dans la partie 1 de cette série sur NIS2, nous avons vu pourquoi les questionnaires fournisseurs ne suffisent pas, et comment une violation chez un tiers peut toucher en cascade les organisations en aval, partout en Europe. Mais que se passe-t-il une fois que le fournisseur a fini de contenir l’incident ? Le danger à long terme tient à la manière dont les attaquants exploitent les données fournisseurs dérobées pour lancer des attaques d’ingénierie sociale ultra ciblées contre les collaborateurs.
Un incident sur la chaîne d’approvisionnement ne se termine pas quand le prestataire a détecté l’attaque, l’a contenue ou s’en est remis. Toute donnée exfiltrée reste une source de risque durable. Le BSI allemand et d’autres autorités européennes constatent que les attaques contre les prestataires de services se multiplient, et que les données volées servent souvent à l’extorsion ou au phishing ciblé.
Les cybercriminels s’appuient sur des dossiers clients, patients ou opérationnels exfiltrés, pour rédiger des messages d’une précision redoutable. Des données exactes rendent ces messages si crédibles qu’ils déjouent le réflexe de méfiance habituel.
Comment une base de données volée devient une infrastructure de phishing
Un exemple typique de ce mécanisme s’est déroulé entre septembre 2025 et février 2026 en Allemagne, en France, en Lituanie et aux États-Unis. Selon le Cyber Brief 26-03 du CERT-EU, une campagne visant des acteurs du fret et de la logistique a compromis plus de 1 600 identifiants uniques et provoqué des perturbations « importantes » dans les chaînes d’approvisionnement. Des travaux de recherche menés ensuite sur un dépôt Git exposé, lié à cette opération, ont mis au jour :
- 52 domaines de phishing créés spécifiquement pour la campagne ;
- 75 840 adresses e-mail cibles, rassemblées dans une base de données opérationnelle volée ;
- une interception des codes MFA en temps réel, grâce à la combinaison du spear phishing et de l’hameçonnage vocal (vishing) ;
- une mise en scène soignée : les attaquants se faisaient passer pour des plateformes logistiques que leurs victimes utilisaient au quotidien, comme Timocom ou DAT Truckstop, et recrutaient leurs cibles dans des groupes Telegram dédiés à la logistique.
Ni Timocom ni DAT Truckstop n’ont été piratées. Les identifiants et les codes MFA ont été récupérés directement auprès des utilisateurs qui se connectaient à ces services.
De la même manière, après la fuite de la base de billetterie de Trenitalia en Italie, l’entreprise a averti ses voyageurs que les données de réservation volées servaient très probablement à rédiger de faux messages et des tentatives de phishing portant sur de vrais trajets.
La faille humaine dans les transpositions de NIS2
Gérer correctement les identifiants, les codes d’authentification multifacteur et les comportements de connexion sécurisés reste un défi de fond. NIS2 vise précisément ce risque humain, mais ces obligations ne sont pas transposées de la même manière dans les législations nationales :
- Dispositions de la directive NIS2 : l’article 21(2)(g) impose une hygiène informatique de base et des formations, et l’article 20(2) oblige les dirigeants à suivre une formation et à proposer une formation similaire à leurs salariés.
- Allemagne : l’hygiène informatique et la formation des salariés figurent au § 30(2) n° 7 de la BSIG, et la formation des dirigeants au § 38(3). En revanche, la seconde partie de l’article 20(2), qui impose une formation générale au personnel, n’a pas été transposée explicitement.
- Italie : les obligations de formation, tant pour les dirigeants que pour les salariés, sont transposées en intégralité à l’article 23 du D.Lgs. 138/2024.
- France : le projet de loi impose une formation aux dirigeants et aux « personnes exposées aux risques ». Les orientations plus larges restent à confirmer.
Dans ces trois pays, l’obligation qui impose directement une formation au personnel des fournisseurs est celle que les législateurs nationaux ont le plus réduite. Le seul texte européen contraignant qui oblige une entité à imposer une formation à la sécurité au personnel de ses fournisseurs est le règlement d’exécution (UE) 2024/2690, qui ne concerne que le secteur numérique.
Et demain : l’IA dans la chaîne d’approvisionnement
Le paysage de la sécurité se complexifie à mesure que l’intelligence artificielle s’intègre aux chaînes d’approvisionnement, ce qui amplifie les menaces qui pèsent déjà sur les identités.
Il ne suffit plus de gérer les identités des seuls utilisateurs humains. Il faut aussi anticiper le cas où un agent automatisé, intégré à une plateforme SaaS tierce, serait compromis ou échapperait au contrôle de ses opérateurs. NIS2 ne prévoit aucune exemption pour les outils d’IA ni pour les agents autonomes. Maîtriser le risque lié à la chaîne d’approvisionnement suppose donc de sécuriser la couche humaine tout en auditant et en protégeant le parc d’agents.
Ce qu’il faut retenir pour les responsables sécurité
- Considérez toute fuite de données chez un tiers comme une préparation au phishing. Une violation chez un prestataire doit être traitée comme le signal annonciateur de campagnes de spear phishing et de vishing visant vos collaborateurs.
- Anticipez l’interception des codes MFA. Formez vos équipes aux techniques d’ingénierie sociale en temps réel et au vishing, qui servent à voler les codes d’authentification.
- Comblez le vide réglementaire en matière de formation. Ne vous reposez pas uniquement sur les transpositions nationales de NIS2 pour faire vivre la sensibilisation à la sécurité. Déployez une formation complète qui couvre l’ensemble de votre chaîne d’approvisionnement.
- Préparez-vous aux risques de l’IA agentique. Auditez vos intégrations SaaS pour repérer les outils automatisés et les agents d’IA, et assurez-vous que les permissions accordées aux tiers sont bien circonscrites.
Demandez une démo personnalisée pour découvrir comment la solution SAT de KnowBe4, native en IA, forme les utilisateurs en continu, simule des attaques réelles et renforce les bons comportements en temps réel pour protéger votre organisation contre les menaces les plus sophistiquées.
NIS2 partie 2 : comment les données fournisseurs volées alimentent les attaques en aval
Par le Dr Martin Kraemer, CISO Advisor chez KnowBe4
Dans la partie 1 de cette série sur NIS2, nous avons vu pourquoi les questionnaires fournisseurs ne suffisent pas, et comment une violation chez un tiers peut toucher en cascade les organisations en aval, partout en Europe. Mais que se passe-t-il une fois que le fournisseur a fini de contenir l’incident ? Le danger à long terme tient à la manière dont les attaquants exploitent les données fournisseurs dérobées pour lancer des attaques d’ingénierie sociale ultra ciblées contre les collaborateurs.
Un incident sur la chaîne d’approvisionnement ne se termine pas quand le prestataire a détecté l’attaque, l’a contenue ou s’en est remis. Toute donnée exfiltrée reste une source de risque durable. Le BSI allemand et d’autres autorités européennes constatent que les attaques contre les prestataires de services se multiplient, et que les données volées servent souvent à l’extorsion ou au phishing ciblé.
Les cybercriminels s’appuient sur des dossiers clients, patients ou opérationnels exfiltrés, pour rédiger des messages d’une précision redoutable. Des données exactes rendent ces messages si crédibles qu’ils déjouent le réflexe de méfiance habituel.
Comment une base de données volée devient une infrastructure de phishing
Un exemple typique de ce mécanisme s’est déroulé entre septembre 2025 et février 2026 en Allemagne, en France, en Lituanie et aux États-Unis. Selon le Cyber Brief 26-03 du CERT-EU, une campagne visant des acteurs du fret et de la logistique a compromis plus de 1 600 identifiants uniques et provoqué des perturbations « importantes » dans les chaînes d’approvisionnement. Des travaux de recherche menés ensuite sur un dépôt Git exposé, lié à cette opération, ont mis au jour :
Ni Timocom ni DAT Truckstop n’ont été piratées. Les identifiants et les codes MFA ont été récupérés directement auprès des utilisateurs qui se connectaient à ces services.
De la même manière, après la fuite de la base de billetterie de Trenitalia en Italie, l’entreprise a averti ses voyageurs que les données de réservation volées servaient très probablement à rédiger de faux messages et des tentatives de phishing portant sur de vrais trajets.
La faille humaine dans les transpositions de NIS2
Gérer correctement les identifiants, les codes d’authentification multifacteur et les comportements de connexion sécurisés reste un défi de fond. NIS2 vise précisément ce risque humain, mais ces obligations ne sont pas transposées de la même manière dans les législations nationales :
Dans ces trois pays, l’obligation qui impose directement une formation au personnel des fournisseurs est celle que les législateurs nationaux ont le plus réduite. Le seul texte européen contraignant qui oblige une entité à imposer une formation à la sécurité au personnel de ses fournisseurs est le règlement d’exécution (UE) 2024/2690, qui ne concerne que le secteur numérique.
Et demain : l’IA dans la chaîne d’approvisionnement
Le paysage de la sécurité se complexifie à mesure que l’intelligence artificielle s’intègre aux chaînes d’approvisionnement, ce qui amplifie les menaces qui pèsent déjà sur les identités.
Il ne suffit plus de gérer les identités des seuls utilisateurs humains. Il faut aussi anticiper le cas où un agent automatisé, intégré à une plateforme SaaS tierce, serait compromis ou échapperait au contrôle de ses opérateurs. NIS2 ne prévoit aucune exemption pour les outils d’IA ni pour les agents autonomes. Maîtriser le risque lié à la chaîne d’approvisionnement suppose donc de sécuriser la couche humaine tout en auditant et en protégeant le parc d’agents.
Ce qu’il faut retenir pour les responsables sécurité
Demandez une démo personnalisée pour découvrir comment la solution SAT de KnowBe4, native en IA, forme les utilisateurs en continu, simule des attaques réelles et renforce les bons comportements en temps réel pour protéger votre organisation contre les menaces les plus sophistiquées.
Découvrez la Sécurité des e-mails dans le cloud de KnowBe4 en action
Demandez dès maintenant une démonstration personnalisée pour découvrir comment renforcer la sécurité de votre messagerie avec les produits de sécurité des e-mails dans le cloud de KnowBe4.