Fin décembre, une attaque par déni de service a suffi à perturber plusieurs services numériques du groupe La Poste. Pendant plusieurs jours, le suivi des colis et certains paiements en ligne ont été rendus indisponibles, au moment même où l’activité logistique connaissait l’un de ses pics annuels.
Ce type d’attaque, qui consiste à saturer des serveurs par un afflux massif de requêtes, vise moins à voler des données qu’à bloquer l’activité et à fragiliser la relation de confiance avec les clients. L’épisode illustre surtout une réalité désormais bien installée : l’interruption d’un service numérique peut, en quelques heures, produire des effets économiques et réputationnels considérables.
Selon un porte-parole du Club de la sécurité de l’information français, les cyberattaques auraient représenté près de 300 millions d’euros de pertes pour les entreprises françaises en 2024. Dans ce paysage de menaces multiples, le phishing demeure largement dominant. L’envoi d’e-mails frauduleux destinés à piéger les utilisateurs reste la principale porte d’entrée des attaquants.
Pour Odile Duthil, présidente du Clusif, « une très grande majorité des attaques réussies commencent encore par un courriel malveillant ». Une permanence des méthodes qui n’empêche pas, dans le même temps, une montée en sophistication des scénarios d’attaque.
La chaîne de fournisseurs, nouvelle frontière du cyberrisque
Longtemps, la cybersécurité a été pensée comme un périmètre technique, centré sur les systèmes d’information internes. Cette approche ne suffit plus. Les attaquants ciblent désormais de plus en plus fréquemment les partenaires, les filiales et les sous-traitants pour remonter ensuite vers les grandes organisations.
Chez Airbus, ce basculement est observé depuis plusieurs années. Pour Pascal Andrei, directeur de la sûreté du groupe, la menace a profondément changé de nature. Les attaques visent désormais l’ensemble de l’écosystème industriel.
Avec plusieurs dizaines de milliers de fournisseurs et des centaines de milliers de sous-traitants à travers le monde, la surface d’exposition devient immense. Les plus petites entreprises de la chaîne, souvent moins équipées et moins structurées sur le plan de la sécurité informatique, constituent des cibles privilégiées pour les cybercriminels. Les attaques par rançongiciel y sont particulièrement fréquentes.
Ces acteurs, pourtant périphériques en apparence, peuvent devenir des points d’entrée critiques pour les grands donneurs d’ordre.
Hiérarchiser et auditer pour réduire la vulnérabilité
Face à ce risque systémique, Airbus a engagé un travail de cartographie et de hiérarchisation de ses fournisseurs. L’objectif est d’identifier ceux dont l’activité est la plus critique pour les opérations du groupe et de renforcer, en priorité, leur niveau de protection.
Des audits réguliers sont menés afin d’évaluer la maturité cyber des partenaires et de diffuser les bonnes pratiques. Cette démarche vise moins à imposer un modèle unique qu’à élever progressivement le niveau global de sécurité de l’écosystème industriel.
Mais la protection de la chaîne de fournisseurs ne se limite plus à un empilement de contrôles techniques. Elle suppose des choix structurants en matière d’organisation et de pilotage des risques.
Une gouvernance devenue stratégique
Pour Pascal Andrei, la cybersécurité est aujourd’hui un sujet de gouvernance au plus haut niveau. Les arbitrages ne relèvent plus uniquement des directions informatiques ou des équipes de sécurité. Ils concernent directement la stratégie industrielle et la continuité d’activité.
Au sein d’Airbus, les échanges sur le panorama mondial des menaces et sur les dispositifs de protection sont désormais réguliers avec la direction générale. Cette implication du top management marque un tournant dans la manière dont le cyberrisque est appréhendé : il est désormais considéré comme un risque d’entreprise à part entière, au même titre que les risques financiers, juridiques ou industriels.
Former et tester les collaborateurs, un levier central
Si la chaîne de fournisseurs est devenue une cible prioritaire, le facteur humain reste, lui aussi, un point de fragilité majeur. La prévention passe donc toujours par la sensibilisation des équipes internes.
Chez Airbus Defence & Space, les campagnes de formation et de tests sont organisées de manière récurrente. Pour Philippe Cotelle, responsable du management des risques assurances, la volumétrie des menaces impose une vigilance constante.
Chaque jour, plusieurs centaines de millions de messages électroniques en provenance de l’extérieur sont reçus par les systèmes du groupe. Environ un tiers d’entre eux correspondent à des tentatives d’attaque, bloquées avant même d’atteindre les collaborateurs. L’intelligence artificielle est utilisée pour détecter des comportements anormaux et affiner les filtres, mais elle ne constitue pas, à elle seule, une protection suffisante.
Des campagnes de faux e-mails de phishing sont ainsi régulièrement organisées afin de tester la capacité de réaction des salariés et d’ancrer les bons réflexes.
La cyberassurance sous conditions de maturité
Cette montée en puissance des dispositifs de prévention est suivie de très près par les assureurs. Pour Sébastien Hager, expert cyber au sein du cabinet Siaci Diot, le marché de la cyberassurance s’est profondément transformé depuis 2021.
Après une période de fortes tensions et de hausse des primes, les offres se sont progressivement stabilisées. Les couvertures sont redevenues accessibles, y compris pour les structures de taille plus modeste, souvent accompagnées par des acteurs mêlant assurance et services de cybersécurité.
Mais cette amélioration du marché s’accompagne d’exigences accrues. Les entreprises doivent désormais démontrer un niveau de maturité élevé avant de pouvoir souscrire ou renouveler un contrat.
Pour Odile Duthil, les assureurs réclament aujourd’hui des questionnaires extrêmement détaillés, proches de véritables audits : gouvernance de la sécurité, gestion des accès, dispositifs de détection, procédures de crise, mais aussi politiques de sécurisation des partenaires et des prestataires.
La capacité à sécuriser sa chaîne de fournisseurs influence directement les conditions de couverture, les plafonds d’indemnisation et le montant des primes.
Vers une cybersécurité élargie à l’écosystème
À mesure que les organisations s’ouvrent, externalisent et s’appuient sur des réseaux de partenaires de plus en plus étendus, la cybersécurité change de nature. Elle ne se limite plus à protéger un système d’information interne, mais doit intégrer l’ensemble des acteurs qui participent à la création de valeur.
La sécurisation de la supply chain devient ainsi un chantier stratégique, à la croisée de la technologie, de la gouvernance et de la gestion des risques. Dans un contexte où une faille chez un sous-traitant peut suffire à fragiliser un grand groupe, la résilience numérique se construit désormais à l’échelle de tout un écosystème.
