Quand l'Internet détourne votre trafic : ce que l'affaire Hetzner nous apprend sur la sécurité de la chaîne d'approvisionnement

L'internet repose sur une base fragile : la confiance. Confiance que votre trafic arrivera bien là où vous l'envoyez. Confiance que les mises à jour viennent vraiment de leurs éditeurs. L'incident de sécurité qui a visé Hetzner, l'un des plus gros hébergeurs européens, illustre parfaitement à quel point cette confiance peut être exploitée.

Le détournement BGP en deux nuits

Sur deux nuits, un attaquant a réussi à détourner une partie de l'espace d'adresses IP de Hetzner. Pour comprendre, il faut savoir que le BGP (Border Gateway Protocol) fonctionne comme un GPS pour les données qui transitent sur internet. Il indique à chaque paquet la route à suivre à travers le monde.

En annonçant faussement qu'il possédait des blocs IP qui ne lui appartenaient pas, l'attaquant a pu intercepter le trafic destiné à Softaculous, un outil d'automatisation très répandu chez les hébergeurs.

Le plus inquiétant ? L'attaquant disposait d'un certificat SSL/TLS valide. Résultat : les systèmes de surveillance ne voyaient qu'un trafic chiffré et "sécurisé", donc apparemment légitime. Une attaque quasi invisible.

Le poison dans la mise à jour

Une fois le trafic redirigé, l'attaquant a servi une version modifiée de la mise à jour Virtualizor. Pour rappel, Virtualizor est un panneau de gestion de virtualisation utilisé par les hébergeurs pour administrer leurs VPS.

En compromis l mekanisme de mise à jour, l'attaquant pouvait potentiellement accéder à des milliers de serveurs gérés.

Voilà la définition même d'une attaque sur la chaîne d'approvisionnement : plutôt que de viser les utilisateurs finaux, on s'en prend à l'infrastructure qui distribue les logiciels de confiance. Les entreprises pourtant bien configurées, à jour et appliquant les bonnes pratiques se sont retrouvées vulnérables. Parce que la chaîne de confiance elle-même avait été corrompue à la racine.

Pourquoi ça vous concerne

"Je ne suis pas hébergeur, pourquoi ça me thérapeut ?" Vous avez raison de vous poser la question. Mais la réalité, c'est que chaque entreprise reposant sur le cloud, les domain names et l'hébergement web peut être touchée.

Quand le routage réseau peut être détourné au niveau de l'infrastructure, vos certificats SSL/TLS ne sont plus la garantie absolue qu'on imagine. Vos mises à jour de sécurité peuvent devenir des vecteurs d'attaque. Et même avec des pratiques internes irréprochables, vous restez exposé aux failles des prestataires tiers.

Comment protéger votre infrastructure

Aucune mesure n'est infaillible, mais voici ce qui peut réduire les risques :

Vérifiez les signatures cryptographiques — Avant d'installer une mise à jour, vérifiez sa signature. La plupart des projets légitimes signent leurs releases. Intégrez cette vérification dans votre processus de déploiement.

Surveillez la transparence des certificats — Configurez des alertes pour détecter les certificats inattendus sur vos domaines. Les journaux de Certificate Transparency permettent de repérer rapidement une emission non autorisée.

Protégez-vous au niveau réseau — Mettez en place RPKI (Resource Public Key Infrastructure) pour vos propres allocations IP. Activez aussi DNSSEC quand c'est possible.

Analysez le trafic en continu — Une bonne détection d'anomalies ne prevents pas l'attaque, mais réduit considérablement la fenêtre d'opportunité pour l'attaquant.

Diversifiez vos prestataire — Ne mettez pas tous vos œufs dans le même panier. Répartir votre infrastructure entre plusieurs providers et régions limite les dégâts en cas d'incident.

Confiance, mais vérification

L'affaire Hetzner rappelle que la sécurité aujourd'hui exige une approche de défense en profondeur. On ne peut pas se reposer sur une seule couche — qu'il s'agisse de certificats SSL, de signatures logicielles ou de prestataires de confiance.

Le protocole BGP a été conçu à une époque où la priorité était la connectivité, pas la sécurité. Pendant qu'on travaille sur des solutions comme BGPsec ou l'adoption massive de RPKI, la réalité reste qu'on bâtit des pratiques de sécurité modernes sur des fondations qui n'avaient pas prévu ces menaces.

Pour les développeurs, les startups et les entrepreneurs tech, la conclusion est claire : restez vigilants, remettez en question vos hypothèses sur la sécurité, et concevez vos systèmes comme si une compromission partielle était toujours possible. Parce que cet incident le prouve : même les géants de l'infrastructure avec des équipes de sécurité imposantes peuvent se faire prendre.

Le mot d'ordre ? Pas la peur — la lucidité. Comprendre la surface d'attaque de votre infrastructure, c'est le premier pas pour la défendre efficacement. Restez informés, restez méfiants, et ne cessez jamais de vérifier.

Quelles mesures votre organisation a-t-elle mises en place contre les attaques sur la chaîne d'approvisionnement ? Partagez vos retours et expériences dans les commentaires.