Par le Dr Martin Kraemer, CISO Advisor chez KnowBe4
Dans la partie 1 de cette série sur NIS2, nous avons vu pourquoi les questionnaires fournisseurs ne suffisent pas, et comment une violation chez un tiers peut toucher en cascade les organisations en aval, partout en Europe. Mais que se passe-t-il une fois que le fournisseur a fini de contenir l’incident ? Le danger à long terme tient à la manière dont les attaquants exploitent les données fournisseurs dérobées pour lancer des attaques d’ingénierie sociale ultra ciblées contre les collaborateurs.
Un incident sur la chaîne d’approvisionnement ne se termine pas quand le prestataire a détecté l’attaque, l’a contenue ou s’en est remis. Toute donnée exfiltrée reste une source de risque durable. Le BSI allemand et d’autres autorités européennes constatent que les attaques contre les prestataires de services se multiplient, et que les données volées servent souvent à l’extorsion ou au phishing ciblé.
Les cybercriminels s’appuient sur des dossiers clients, patients ou opérationnels exfiltrés, pour rédiger des messages d’une précision redoutable. Des données exactes rendent ces messages si crédibles qu’ils déjouent le réflexe de méfiance habituel.
Un exemple typique de ce mécanisme s’est déroulé entre septembre 2025 et février 2026 en Allemagne, en France, en Lituanie et aux États-Unis. Selon le Cyber Brief 26-03 du CERT-EU, une campagne visant des acteurs du fret et de la logistique a compromis plus de 1 600 identifiants uniques et provoqué des perturbations « importantes » dans les chaînes d’approvisionnement. Des travaux de recherche menés ensuite sur un dépôt Git exposé, lié à cette opération, ont mis au jour :
Ni Timocom ni DAT Truckstop n’ont été piratées. Les identifiants et les codes MFA ont été récupérés directement auprès des utilisateurs qui se connectaient à ces services.
De la même manière, après la fuite de la base de billetterie de Trenitalia en Italie, l’entreprise a averti ses voyageurs que les données de réservation volées servaient très probablement à rédiger de faux messages et des tentatives de phishing portant sur de vrais trajets.
Gérer correctement les identifiants, les codes d’authentification multifacteur et les comportements de connexion sécurisés reste un défi de fond. NIS2 vise précisément ce risque humain, mais ces obligations ne sont pas transposées de la même manière dans les législations nationales :
Dans ces trois pays, l’obligation qui impose directement une formation au personnel des fournisseurs est celle que les législateurs nationaux ont le plus réduite. Le seul texte européen contraignant qui oblige une entité à imposer une formation à la sécurité au personnel de ses fournisseurs est le règlement d’exécution (UE) 2024/2690, qui ne concerne que le secteur numérique.
Le paysage de la sécurité se complexifie à mesure que l’intelligence artificielle s’intègre aux chaînes d’approvisionnement, ce qui amplifie les menaces qui pèsent déjà sur les identités.
Il ne suffit plus de gérer les identités des seuls utilisateurs humains. Il faut aussi anticiper le cas où un agent automatisé, intégré à une plateforme SaaS tierce, serait compromis ou échapperait au contrôle de ses opérateurs. NIS2 ne prévoit aucune exemption pour les outils d’IA ni pour les agents autonomes. Maîtriser le risque lié à la chaîne d’approvisionnement suppose donc de sécuriser la couche humaine tout en auditant et en protégeant le parc d’agents.
Demandez une démo personnalisée pour découvrir comment la solution SAT de KnowBe4, native en IA, forme les utilisateurs en continu, simule des attaques réelles et renforce les bons comportements en temps réel pour protéger votre organisation contre les menaces les plus sophistiquées.