Pour les entreprises qui monétisent via des modèles de places de marché publicitaires, les réseaux publicitaires tiers moins traditionnels, les plateformes d'analyse et les scripts marketing sont indispensables. Ils sont nécessaires pour générer des revenus en stimulant l'engagement et en suivant le comportement des utilisateurs.
Mais ils s'accompagnent également de risques côté client.
On parle d'injections publicitaires malveillantes, de tentatives de phishing et de vulnérabilités dans des scripts tiers de plus en plus exploitées par des attaquants.
Des études comme le Verizon 2024 Data Breach Investigations Report (DBIR) et le Forrester's Business Risk Survey soulignent que les vulnérabilités dans la chaîne d'approvisionnement numérique — y compris les dépendances tierces — sont l'une des principales causes des violations de données modernes.
Et c'est parce que ces scripts disposent d'un accès total dans le navigateur de vos utilisateurs. Ils peuvent essentiellement charger ce qu'ils veulent et modifier entièrement l'expérience du visiteur.
Notre objectif est de mettre en avant les bonnes pratiques pour protéger les données des utilisateurs finaux et garantir une conformité continue. Même sous la pression de maximiser les revenus publicitaires. L'un ne doit pas exclure l'autre.
De quelles menaces parle-t-on exactement
- Scripts malveillants : Les modèles de places de marché publicitaires reposent sur une rotation fréquente de scripts pour l'analyse et le rendu des publicités. Les acteurs malveillants exploitent ces environnements dynamiques pour intégrer des logiciels malveillants ou intercepter des données. Comme l'indique le DBIR, l'injection malveillante via des serveurs publicitaires ou la manipulation directe de scripts reste l'un des principaux vecteurs d'infiltration.
- Vol d'identifiants et exploits : Le DBIR souligne comment le phishing, les identifiants volés et les vulnérabilités exploitées figurent de plus en plus parmi les principales causes de violations. Les attaquants s'appuient sur les plateformes marketing et les scripts non surveillés pour pivoter rapidement vers des zones plus sensibles du site web.
- Explosion des écosystèmes tiers : Les recherches de Forrester sur les risques tiers montrent que la dépendance excessive aux fournisseurs a compliqué la supervision des risques, 25 % des entreprises attribuant un risque de sécurité accru à l'expansion de leurs réseaux tiers. Pourtant, pour des raisons incluant les contraintes de ressources et les priorités concurrentes, moins de la moitié des entreprises évaluent même 50 % de leurs relations avec des tiers.
- Utilisation des technologies modernes : Comme le note Forrester, de nombreuses entreprises ne considèrent pas la gestion des risques tiers (TPRM) comme une priorité de premier plan, malgré des exploits zero-day comme MOVEit qui mettent en évidence les faiblesses de la chaîne d'approvisionnement. La supervision manuelle ne parvient pas à suivre la nature dynamique des écosystèmes numériques modernes, laissant les vulnérabilités côté client passer inaperçues.
Comment cela s'applique dans le domaine des places de marché publicitaires
La dépendance aux réseaux publicitaires externes et aux fournisseurs de technologies marketing fait des plateformes de places de marché publicitaires — et de ceux qui les intègrent — des cibles de choix pour les attaquants. Forrester mentionne spécifiquement que la finance, l'industrie manufacturière et les grandes multinationales présentent un risque élevé, mais ne priorisent pas systématiquement la sécurité des tiers.
Les entreprises opérant à l'international sont confrontées à des cadres réglementaires variés. Les entreprises de la zone EMEA, par exemple, sont soumises à des exigences plus strictes via le Digital Operational Resilience Act (DORA) de l'UE et le RGPD.
Pendant ce temps, les organisations nord-américaines et APAC ont connu une forte baisse de préoccupation concernant le TPRM, malgré l'augmentation continue des scripts publicitaires et des infrastructures transfrontaliers. Ce fossé réglementaire entraîne souvent une vérification incohérente des fournisseurs.
Et bien sûr, négliger les relations avec des tiers peut mener à toutes sortes de problèmes. Vos revenus, des amendes pour non-conformité, voire des recours collectifs à la suite de violations de données. Une fois que les attaquants s'installent côté client, ils peuvent siphonner les données des consommateurs ou détourner des campagnes avec une relative facilité, et probablement sans être détectés.
Comment résoudre ce problème
Pour renforcer la gestion des risques côté client et des risques tiers, les organisations doivent adopter une approche structurée et proactive.
Commencez par maintenir un registre complet et régulièrement mis à jour de tous les partenaires en matière d'analyse et de technologies publicitaires. Chaque fournisseur doit être évalué en fonction de son accès aux données sensibles des utilisateurs et de la dépendance de l'organisation à ses services pour générer des revenus.
L'automatisation peut jouer un rôle important dans les évaluations des fournisseurs. Toute organisation gérant de vastes réseaux de scripts tiers devrait mettre en place des plateformes TPRM robustes ou des plateformes de gouvernance, de risque et de conformité. Ces outils permettent une évaluation continue et rationalisent la supervision, en passant des listes de contrôle statiques et annuelles à une surveillance dynamique en temps réel. Et cela fait gagner énormément de temps, ce qui représente des économies considérables.
Côté client, plusieurs options sont disponibles sur le marché. Nous avons développé une solution basée sur un proxy qui garantit la visibilité sur les scripts publicitaires au moment de leur exécution. Cela permet la détection et le blocage des injections malveillantes en temps réel, ce que tous les outils ne sont pas en mesure de faire.
En standard, l'authentification multifacteur (MFA) devrait être obligatoire pour toutes les connexions administratives, et les identifiants des plateformes tierces devraient être segmentés. Le déploiement d'outils de détection du phishing au sein des équipes renforce également la résilience.
Il est tout aussi important d'aligner les investissements en sécurité sur les risques identifiés. Les organisations qui reconnaissent leur exposition aux tiers sont plus susceptibles d'obtenir des budgets plus importants pour la gestion des risques. Profitez de cet élan pour financer des plateformes TPRM et des outils d'inspection de code.
En conclusion
Votre monétisation via une place de marché publicitaire est probablement exposée à des risques en raison de la nature même de son implémentation sur votre site. Ce n'est pas un bug, c'est une fonctionnalité. Cela fait simplement partie du territoire. C'est l'environnement côté client, après tout.
Voici ce que vous devez retenir de tout cela.
Faites de la sécurité côté client une priorité pour protéger ces scripts, et donc vos utilisateurs et vous-même. Utilisez un outil comme cside pour surveiller en continu le comportement de ces scripts tiers et détecter toute tentative malveillante.
En parallèle, constituez un inventaire de ces scripts tiers (ce que cside fait pour vous) et assurez-vous de bien vérifier vos partenaires.
Votre succès continu va de pair avec la sécurité de votre site web. Portez attention à chaque maillon de la chaîne d'approvisionnement web, et garantissez à vos visiteurs et utilisateurs une navigation sécurisée sur vos pages.
