Атака на цепочку поставок — это тип кибератак, которые нацелены на менее защищенные элементы в цепочке поставок организации, а не на нее саму.
Содержание
Атака на цепочку поставок
В последние годы атаки на цепочку поставок наносят бизнесу значительный ущерб по всему миру. Атака на цепочку поставок — это разновидность кибератаки, которая нацелена на доверенные отношения между организациями. Она использует одного скомпрометированного партнера в качестве средства атаки на другого. Основная цель злоумышленников — проникнуть в сеть или системы организации путем компрометации стороннего поставщика, вендора или партнера, имеющего доступ данным, программному обеспечению или сетевой инфраструктуре настоящей мишени.
Отличительная черта атаки на цепочку поставок — проникновение не напрямую, а через менее защищенные части цепочки поставок организации, такие как сторонние поставщики. Поскольку третьи стороны являются неотъемлемой частью повседневных операций организации, злоумышленники остаются незамеченными до тех пор, пока не нанесут значительный ущерб.
Ключевые характеристики атак на цепочку поставок
Косвенный подход
Вместо того чтобы атаковать целевую организацию напрямую, злоумышленники нацеливаются на надежную третью сторону, например поставщика программного обеспечения, вендора оборудования или подрядчика, предоставляющего услуги. Через третью сторону вредоносный код проникает в саму организацию.
Сложность и масштаб
Атаки на цепочку поставок могут состоять из нескольких этапов и затрагивать большое количество организаций. Злоумышленники могут вставлять вредоносный код или аппаратное обеспечение на различных этапах цепочки поставок, что затрудняет обнаружение.
Злоупотребление доверием
Эти атаки злоупотребляют доверительными отношениями между организацией и ее поставщиками. Поскольку сторонние поставщики часто имеют привилегированный доступ к системам организации или чувствительным данным, они становятся привлекательной целью для злоумышленников.
Широкое влияние
Последствия атаки на цепочку поставок могут быть значительными, поскольку она затрагивает не только основную цель, но и потенциально тысячи других организаций, которые доверяют скомпрометированной третьей стороне.
Типы атак на цепочку поставок
Атаки на цепочку поставок можно разделить на три типа в зависимости от их происхождения:
Атаки на цепочку поставок программного обеспечения
Атака на цепочку поставок программного обеспечения подразумевает компрометацию процессов, используемых для разработки или доставки программного обеспечения с целью внедрения вредоносного кода в само программное обеспечение или программы его обновления. В результате злоумышленники проникают в целевые организации с помощью на первый взгляд подлинного программного обеспечения.
Распространенные векторы атак включают открытый исходный код, инструменты системного администрирования и часто используемые приложения. Злоумышленники, как правило, для начала взламывают системы доверенного стороннего поставщика, который разрабатывает программное обеспечение или размещает его загрузки. Затем они используют серверы обновлений или каналы распространения для доставки скомпрометированных версий ничего не подозревающим пользователям.
Если скомпрометированное программное обеспечение широко используется, злоумышленник может запустить масштабную атаку, которая одновременно затронет множество организаций.
Атаки на цепочку поставок услуг
Атака на цепочку поставок услуг направлена на поставщиков услуг, таких как поставщики управляемых услуг (MSP), чтобы затем через доверенный доступ проникнуть проникнуть в среды клиентов.
Известный пример — атака программ-вымогателей в 2021 году, затронувшая Kaseya VSA, удаленную службу управления ИТ-инфраструктурой. Злоумышленники скомпрометировали поставщиков управляемых услуг, использующих Kaseya VSA, а затем распространяли программы-вымогатели среди множества его клиентов. Поскольку поставщикам управляемых услуг доверяют управление клиентскими сетями, злоумышленники могут использовать их в качестве точек распространения вредоносных программ, например программ-вымогателей.
В этом случае от хакеров пострадали как сами поставщики управляемых услуг, использующие Kaseya VSA, так и клиенты, которые им доверились. Как показали отчеты, атака программ-вымогателей затронула около 1500 компаний.
Атаки на цепочку поставок для бизнеса
Атаки на цепочку поставок для бизнеса направлены на более широкую экосистему партнеров, вендоров и поставщиков, которые поддерживают повседневную работу компании.
Этот метод настолько распространен, что теперь его можно считать стандартной тактикой получения доступа к организациям.
Trend Micro постоянно наблюдает, как группировки хакеров, такие какEarth Hundun (также известные как BlackTech) или Earth Tengshe (связанные с APT10), сначала нападают на зарубежные филиалы компаний, а затем через них проникают в основные системы, которые изначально являлись целями.
Категории атак на цепочку поставок
- Скомпрометированные обновления программного обеспечения: злоумышленники внедряют вредоносный код в обновления программного обеспечения, которые распространяются среди большого количества пользователей.
- Скомпрометированные сторонние программные библиотеки: вредоносный код внедряется в сторонние библиотеки или зависимости, интегрированные в подлинные программные продукты.
- Скомпрометированное аппаратное или микропрограммное обеспечение: вредоносные аппаратные компоненты или микропрограммы внедряются в продукты в процессе производства или распространения.
- Взлом инструментов для разработки: компрометация инструментов, используемых разработчиками, таких как интегрированные среды разработки (IDE) или конвейеры непрерывной интеграции/непрерывного развертывания (CI/CD).
- Скомпрометированные программные зависимости: введение вредоносного кода в подлинные программные зависимости, которые широко используются.
- Эксфильтрация данных через эксплойт протоколов: использование уязвимостей в таких протоколах, как SMB, TLS, SSH, или воздействие на базы данных напрямую с помощью таких методов, как SQL-инъекция, для эксфильтрации данных.
- Атаки на проекты с открытым исходным кодом: злоумышленники могут внедрять вредоносный код в широко используемые проекты с открытым исходным кодом, чтобы навредить использующим его продуктам.
Примеры атак на цепочку поставок
Node Package Manager (2025)
15 сентября 2025 г. произошла крупная волна атак на цепочку поставок Node Package Manager (npm), в ходе которой злоумышленники провели таргетированную фишинговую кампанию, чтобы скомпрометировать аккаунты разработчика npm. Благодаря привилегированному доступу злоумышленники внедрили вредоносный код в широко используемые пакеты JavaScript, поставив под угрозу всю экосистему программного обеспечения.
RockYou2024 (2024)
Утечка паролей RockYou2024, в ходе которой было собрано и размещено на хакерском форуме почти 10 миллиардов ранее скомпрометированных учетных данных, показывает, значимость рисков цепочки поставок, связанных с агрегацией, повторным использованием и раскрытием взломанных логинов и паролей на разных платформах и сервисах.
Ресурс:Утечка почти 10 миллиардов паролей — крупнейшая компиляция всех времен
Большие языковые модели (LLM) и общедоступные чат-боты (2024)
Публичные чат-боты на базе LLM могут случайно раскрыть чувствительную или закрытую информацию, предоставленную компаниями, доверяющими ИИ-сервисам, поэтому использование внешних ИИ-платформ связано с рисками.
Утечка из базы данных граждан США (2024)
Утечка была вызвана уязвимостями в смежном сервисе RecordsCheck. Злоумышленники использовали доверительные отношения между связанными сервисами для доступа к чувствительным данным.
Компрометация Git-репозитория проекта PHP (2021)
Злоумышленники взломали сервер Git проекта PHP и попытались вставить бэкдор в исходный код популярного языка веб-скриптов.
Атака на SolarWinds (2020)
Злоумышленники проникли в механизм обновления программного обеспечения Orion от SolarWinds, доставив вредоносные обновления более чем 18 000 клиентов, включая государственные учреждения и крупные корпорации.
Платформа Trend Vision One™
Единая платформа поможет вам быстрее остановить злоумышленников и взять под контроль все киберриски. Единое управление безопасностью с помощью комплексных средств предотвращения и обнаружения угроз, а также реагирования на них с применением искусственного интеллекта, передовых исследований и аналитики угроз.
Trend Vision One поддерживает различные гибридные ИТ-среды, автоматизирует и координирует рабочие процессы, а также предоставляет экспертные услуги по кибербезопасности, чтобы вы могли упростить и свести воедино операции по обеспечению безопасности.
