Ce que l’incident Snowflake chez Rockstar Games révèle sur la sécurité des données des tiers

Aucune réponse valide reçue de l’API Grok.

Voyons comment ce scénario se déroule. Une entreprise de jeux vidéo donne à un fournisseur d’analyses cloud l’accès à son entrepôt de données Snowflake—une intégration courante visant à optimiser les coûts cloud. Les identifiants du fournisseur sont associés à un compte de service doté d’autorisations élevées, exactement le type d’accès persistant et privilégié que recherchent les attaquants.

En avril 2026, le groupe de ransomware ShinyHunters a annoncé avoir compromis l’environnement Snowflake de Rockstar Games—non pas en attaquant Rockstar directement, mais en passant par Anandot, un prestataire tiers de surveillance des coûts cloud. Rockstar a confirmé l’incident, signalant l’exfiltration de données d’entreprise—contrats, documents financiers, plans de marché. Les premiers rapports font état d’environ 78,6 millions d’enregistrements concernés.

Ce n’est pas l’histoire d’une entreprise de jeux vidéo à la sécurité défaillante. C’est l’histoire de la façon dont les systèmes utilisés par les organisations pour gérer leurs environnements cloud peuvent devenir la porte d’entrée des attaquants. Et les données sur les risques liés à la supply chain montrent qu’il ne s’agit pas d’un cas isolé—c’est un schéma récurrent.

5 enseignements clés

1. Un fournisseur de surveillance des coûts est devenu le vecteur de la violation.

ShinyHunters a accédé à l’environnement Snowflake de Rockstar Games via Anandot, un fournisseur d’analyses cloud, exposant environ 78,6 millions de données d’entreprise, dont des contrats, des documents financiers et des plans de mise sur le marché. La cause première n’est pas une défaillance de Rockstar—mais l’utilisation par un fournisseur d’un identifiant de service persistant et privilégié qui a servi de point d’appui à l’attaquant. Les programmes de gestion des risques tiers qui s’arrêtent aux contrats n’ont rien vu venir.

2. Le risque de violation par des tiers est systémique, pas isolé.

En 2025, 136 incidents de violation avérés impliquant des tiers ont touché 719 victimes nommées publiquement et environ 26 000 autres entreprises affectées—la plupart jamais identifiées publiquement. Le délai médian de divulgation publique était de 73 jours. Les organisations sont régulièrement exposées via des relations fournisseurs qu’elles ne surveillent pas avec la même rigueur que leur propre infrastructure.

3. Les entrepôts de données cloud sont les nouvelles cibles de choix.

Le stockage cloud (35 %), les applications SaaS (34 %) et l’infrastructure de gestion cloud (32 %) figurent pour la troisième année consécutive parmi les trois principales cibles d’attaque selon le rapport Thales Data Threat 2026. Seules 33 % des organisations disposent d’une visibilité totale sur l’emplacement de leurs données—ce qui fait des plateformes d’analyse un angle mort majeur.

4. Les scores de risque fournisseur créent une fausse confiance.

Sur 200 000 organisations surveillées, la note moyenne de cybersécurité était de 90,27 sur 100—un A. Pourtant, 53,77 % présentaient au moins une vulnérabilité critique. Les évaluations statiques du risque fournisseur passent à côté des expositions dynamiques : échecs de rotation des identifiants, dérive des autorisations, et exposition en temps réel dans les journaux de stealer.

5. 65 % des grandes entreprises considèrent désormais les vulnérabilités de la supply chain comme leur principal défi de résilience.

Ce chiffre est passé de 54 % l’année précédente selon le rapport WEF 2026 Global Cybersecurity Outlook. Le manque de visibilité sur la supply chain étendue arrive en tête des risques spécifiques—suivi par le risque d’héritage et le risque de concentration. L’incident Rockstar/Anandot illustre ces trois aspects.

Paysage des violations par des tiers : 136 incidents, 26 000 victimes silencieuses

Le rapport Black Kite 2026 sur les violations par des tiers a recensé 136 incidents de violation avérés en 2025, impliquant 719 entreprises victimes nommées publiquement. Mais le chiffre réel est bien plus élevé : environ 26 000 autres entreprises affectées n’ont jamais été nommées publiquement. Le délai médian entre la violation et la divulgation publique était de 73 jours—soit plus de deux mois d’exposition silencieuse.

Le risque de concentration est frappant. Parmi les 50 principaux fournisseurs suivis par Black Kite, 70 % présentaient une faille répertoriée par la CISA KEV, 84 % des vulnérabilités critiques CVSS 8+, 62 % des identifiants d’entreprise circulant dans des stealer logs, et 80 % une exposition au phishing. Ce ne sont pas des fournisseurs marginaux. Ce sont des prestataires sur lesquels des centaines, voire des milliers d’organisations s’appuient en même temps.

Quand l’un d’eux tombe, le rayon d’impact est énorme. Et l’environnement Snowflake—où les données d’entreprise s’agrègent à grande échelle pour l’analyse, le reporting et l’optimisation—est précisément le type de cible de valeur où un identifiant compromis peut ouvrir l’accès à des millions d’enregistrements. La traçabilité nécessaire pour détecter cet accès avant l’exfiltration n’existe tout simplement pas dans la plupart des environnements.

Pourquoi les entrepôts de données cloud sont au croisement de tous les risques

Les plateformes de données cloud telles que Snowflake, BigQuery et Redshift occupent une position particulièrement risquée dans le paysage des données d’entreprise. Elles sont conçues pour centraliser et rendre les données accessibles—ce qui les rend attractives à la fois pour les fournisseurs d’analyses légitimes et pour les acteurs malveillants qui les compromettent.

Le rapport Thales Data Threat 2026 confirme l’ampleur du phénomène. Le stockage cloud (35 %), les applications SaaS (34 %) et l’infrastructure de gestion cloud (32 %) restent les trois principales cibles d’attaque pour la troisième année consécutive. Seules 33 % des organisations déclarent savoir précisément où sont stockées leurs données, et 39 % seulement sont capables de toutes les classifier.

Ce déficit de classification des données est critique. Si deux tiers des organisations ne savent pas précisément où résident leurs données sensibles, elles ne peuvent pas anticiper ce qu’un identifiant fournisseur compromis pourrait permettre d’accéder. Dans le cas Rockstar, les données exposées n’étaient pas des informations personnelles clients—c’était de l’intelligence d’entreprise : contrats, documents financiers, stratégies de marché. Ce sont des données qui s’accumulent sur les plateformes d’analyse sans que personne n’ait explicitement décidé qu’elles devaient s’y trouver.

Le rapport CrowdStrike 2026 Global Threat renforce la perspective de l’attaquant. Les plateformes SaaS sont des cibles de choix car elles concentrent des données sensibles clients, collaborateurs et opérationnelles, mais restent souvent moins surveillées que les endpoints et l’infrastructure centrale. Les acteurs eCrime et étatiques recherchent activement dans les environnements cloud et SaaS des données réglementées et des informations stratégiques à forte valeur.

Le faux confort des scores de risque fournisseur

L’un des constats les plus préoccupants du rapport Black Kite est l’échec des évaluations traditionnelles du risque fournisseur à prédire les violations. Sur environ 200 000 organisations surveillées, la note moyenne de risque cyber était de 90,27 sur 100—un A. Pourtant, 53,77 % de ces organisations présentaient au moins une vulnérabilité critique.

Le rapport précise que des notes élevées peuvent coexister avec des fondamentaux faibles. Les questionnaires statiques, évaluations annuelles et attestations fournisseurs capturent un instantané, mais ignorent la réalité dynamique de la gestion des accès, de la rotation des identifiants et du suivi de leur propre supply chain.

Cela concerne directement le scénario Snowflake. Un fournisseur comme Anandot peut obtenir un bon score sur un questionnaire de sécurité standard—il chiffre les données en transit, effectue des scans de vulnérabilité, dispose d’un plan de réponse aux incidents. Mais le questionnaire ne demande pas si le compte de service Snowflake du fournisseur utilise le principe du moindre privilège, si ses clés API sont régulièrement renouvelées ou si ses pratiques de gestion des identifiants résisteraient à une campagne ciblée de vol d’identifiants.

Le rapport prévisionnel Kiteworks 2026 sur la sécurité, la conformité et les risques liés aux données révèle que seules 39 % des organisations disposent de processus unifiés d’échange de données avec des journaux d’audit exploitables. 34 % ont des approches partielles avec des lacunes, et 27 % une couverture minimale ou limitée à certains canaux. Lorsque les flux de données fournisseurs échappent à une gouvernance unifiée, les logs nécessaires à la détection des accès anormaux n’existent tout simplement pas.

Le risque supply chain est devenu un enjeu de gouvernance

Le rapport World Economic Forum 2026 Global Cybersecurity Outlook donne une vision macro. 65 % des grandes entreprises par chiffre d’affaires identifient désormais les vulnérabilités tierces et supply chain comme leur principal défi de résilience cyber—contre 54 % l’année précédente.

Les données du WEF classent les principaux risques cyber de la supply chain : le manque de visibilité sur la chaîne étendue arrive en tête, suivi du risque d’héritage (incapacité à garantir l’intégrité des logiciels, matériels et services tiers) et du risque de concentration (dépendance excessive à des fournisseurs critiques). L’incident Rockstar/Anandot illustre ces trois risques.

Les conséquences financières sont considérables. Le rapport DTEX/Ponemon 2026 sur les menaces internes indique que les menaces internes—y compris les négligences dans la gestion des données et les accès qu’elles créent—coûtent désormais en moyenne 19,5 millions de dollars par an aux organisations. Lorsque les comptes de service fournisseurs agissent comme des « insiders » de facto avec des accès persistants et privilégiés, la même logique de coûts s’applique.

La pression réglementaire s’intensifie en parallèle. Les données d’application du RGPD issues de l’enquête DLA Piper font état de 1,2 milliard d’euros d’amendes en 2025, avec en moyenne 443 notifications de violation par jour—soit une hausse annuelle de 22 %. Les autorités de protection des données considèrent désormais systématiquement le manque de contrôle fournisseur et la faiblesse des mesures techniques comme des circonstances aggravantes dans le calcul des amendes. L’intersection entre le risque de violation par des tiers et les obligations de conformité aux données est le point de concentration de l’exposition réglementaire.

L’approche Kiteworks : gouverner les échanges de données au niveau de l’architecture

L’incident Rockstar/Anandot illustre un problème structurel : lorsque les données sensibles circulent vers des tiers via des systèmes fragmentés, spécifiques à chaque canal et sans gouvernance unifiée, les équipes de sécurité ne peuvent ni détecter les accès anormaux, ni appliquer le principe du moindre privilège, ni produire les preuves d’audit de plus en plus exigées par les régulateurs et les assureurs.

Le Réseau de données privé Kiteworks répond à cette problématique en jouant le rôle de plan de contrôle pour les échanges de données sécurisés—une plateforme unique qui gouverne les flux de données sensibles via la messagerie électronique, le partage sécurisé de fichiers, SFTP, MFT, API, formulaires web et intégrations IA, avec un moteur de règles unique et un journal d’audit consolidé.

Pour le risque fournisseur et tiers en particulier, cette architecture change trois choses. Premièrement, chaque échange de données avec un tiers passe par le même cadre de gouvernance, appliquant des contrôles d’accès cohérents quel que soit le canal. Un fournisseur accédant aux données via une intégration API est soumis au même moteur de règles qu’un autre recevant des fichiers par SFTP ou messagerie sécurisée. Deuxièmement, le journal d’audit consolidé trace en temps réel toutes les activités d’échange de données sans limitation—éliminant ainsi les angles morts qui laissent des identifiants compromis passer inaperçus pendant des semaines. Troisièmement, l’architecture à locataire unique et la sécurité en profondeur de Kiteworks—pare-feu intégrés, WAF, double chiffrement et contrôle d’accès zéro trust—garantissent que la plateforme elle-même ne devienne pas la faille de la supply chain.

Le lien avec le scénario Snowflake est direct : les organisations ont besoin d’une gouvernance au niveau des données, appliquée de façon cohérente à toutes les plateformes et intégrations fournisseurs où s’accumulent des données sensibles—et pas seulement d’une protection des endpoints qui ignore complètement la couche analytique cloud.

Ce que les responsables sécurité doivent faire avant que le prochain fournisseur ne devienne la faille

Première étape : auditez tous les accès tiers à vos entrepôts de données cloud et plateformes d’analyse. Identifiez chaque compte de service, clé API et identifiant utilisés par les fournisseurs pour accéder à Snowflake, BigQuery, Redshift et autres plateformes similaires. Le rapport Black Kite indique que 62 % des principaux fournisseurs partagés avaient des identifiants d’entreprise dans des stealer logs—chacun pouvant devenir le prochain point d’appui à la Anandot.

Deuxième étape : appliquez le principe du moindre privilège et limitez la durée d’accès pour toutes les intégrations fournisseurs. Un prestataire de surveillance des coûts n’a pas besoin d’un accès persistant en lecture à l’ensemble de l’entrepôt de données. Limitez les autorisations à certains jeux de données, renouvelez fréquemment les identifiants et exigez une réauthentification pour tout accès hors des schémas opérationnels habituels.

Troisième étape : déployez une journalisation d’audit unifiée sur tous les canaux d’échange de données—et pas seulement sur les endpoints et charges cloud. Le rapport prévisionnel Kiteworks indique que 61 % des organisations tentent de constituer des journaux d’audit exploitables à partir d’infrastructures d’échange de données fragmentées. Des logs fragmentés signifient une détection fragmentée. Unifiez-les.

Quatrième étape : ne vous fiez plus aux évaluations ponctuelles des fournisseurs. Les données Black Kite montrent qu’un score de risque supérieur à 90 coexiste avec des vulnérabilités critiques dans plus de la moitié des organisations surveillées. Passez à une surveillance continue de la posture de sécurité des fournisseurs, incluant l’exposition des identifiants, le statut des vulnérabilités et les anomalies dans les schémas d’accès.

Cinquième étape : considérez les plateformes d’analyse cloud comme des environnements de données réglementés. Les données qui s’accumulent dans Snowflake pour le reporting et l’optimisation incluent souvent les mêmes contrats, documents financiers et stratégiques que les organisations protègent soigneusement dans leurs systèmes principaux. Appliquez les mêmes standards de chiffrement, de contrôle d’accès et de surveillance à la couche analytique.

Avec la hausse des amendes RGPD, le raccourcissement des délais de notification de violation et le fait que les autorités considèrent explicitement les défaillances de supervision fournisseur comme des circonstances aggravantes, le coût de l’inaction augmente plus vite que celui de la gouvernance.

Pour en savoir plus sur la gestion des risques tiers, réservez votre démo personnalisée dès aujourd’hui.

Ressources complémentaires 

• Article de blog
  Comment concevoir un workflow de transfert sécurisé de fichiers pour les fournisseurs et sous-traitants
• Article de blog
  L’importance de la gestion du risque fournisseur pour les RSSI
• Article de blog
  Comment protéger la propriété intellectuelle lors de collaborations avec des tiers externes
• Article de blog
  Lutter contre les menaces grâce à la sécurité et à la gestion des risques de la supply chain
• Article de blog
  Fuites de données chez les partenaires : votre sécurité dépend de votre maillon le plus faible

Aucune réponse valide reçue de l’API Grok.