Banques, hôpitaux, industrie : le maillon faible des sous-traitants

Deux grandes banques américaines compromises via un prestataire commun, des chaînes OAuth abusées en série : la sécurité se perd désormais chez les fournisseurs.

Le printemps 2026 a confirmé la tendance lourde de l'année : les attaquants ne forcent plus la porte blindée, ils passent par le fournisseur qui en détient la clé. Illustration en série : deux grandes banques américaines touchées via un prestataire technologique commun, des vagues de compromissions par jetons OAuth détournés chez des éditeurs SaaS, et des extorsions en chaîne signées des mêmes groupes.

Pourquoi les prestataires sont l'angle mort

Un sous-traitant concentre les accès de dizaines de clients — l'attaque se rentabilise d'un coup — et vit souvent avec des moyens de sécurité inférieurs à ceux de ses clients. Quant aux intégrations OAuth, elles créent des accès permanents, rarement inventoriés, qui survivent aux projets qui les ont justifiés.

Ce que les incidents récents enseignent

Trois constantes : la victime apprend l'incident par son fournisseur, souvent tard ; les jetons et secrets partagés ne sont pas révoqués assez vite ; et personne ne sait dire, le jour J, quelles données exactement transitaient par le prestataire. La cartographie des flux, éternel chantier reporté, se paie cash.

Le minimum exigible en 2026

Inventaire vivant des tiers et de leurs accès, révocation exercée (pas seulement prévue), clauses de notification à 24 h, moindre privilège sur les intégrations, et — NIS2 oblige — la sécurité des fournisseurs traitée comme la sienne. On n'externalise pas la responsabilité.