Comment appelle-t-on ce type d'attaque qui atteint sa cible via un fournisseur ou une dépendance de confiance ?

Une attaque de la chaîne d'approvisionnement consiste à compromettre un fournisseur de confiance afin qu'un code malveillant se glisse à l'intérieur de quelque chose que les clients font déjà confiance, comme une mise à jour logicielle habituelle. Dans l'affaire SolarWinds, des attaquants ont introduit du code corrompu dans des mises à jour légitimes, ensuite installées automatiquement par des milliers d'organisations dans le monde, offrant aux pirates un point d'entrée dans des réseaux qui n'avaient aucune raison de se méfier de leur fournisseur de confiance.

Une attaque par déni de service submerge un système de trafic pour le mettre hors ligne, un objectif très différent d'une infiltration discrète via une mise à jour de confiance. Une attaque par force brute se contente de deviner des mots de passe en les essayant à répétition, là encore sans rapport avec le fait de dissimuler un logiciel malveillant dans un programme légitime.

L'incident SolarWinds a contribué à populariser la « nomenclature logicielle » (software bill of materials), une sorte de liste d'ingrédients répertoriant chaque composant et chaque dépendance d'une application, afin que les organisations puissent repérer les risques cachés au plus profond de leur chaîne d'approvisionnement logicielle.