የአቅርቦት ሰንሰለት ጥቃቶች፡ የሳይበር ወንጀለኞች የሶፍትዌር አቅራቢዎችን እያነጣጠሩ ነው።

• ደራሲ:
• የደራሲ ስም

  ኳንተምሩን አርቆ እይታ
• የካቲት 9, 2023

የአቅርቦት ሰንሰለት ጥቃቶች በዓለም አቀፍ ደረጃ ለንግድ ድርጅቶች እና ድርጅቶች አሳሳቢነት እየጨመረ ነው። እነዚህ ጥቃቶች የሚከሰቱት የሳይበር ወንጀለኛ የኩባንያውን የአቅርቦት ሰንሰለት ሰርጎ በመግባት የታለመውን ድርጅት ስርዓት ወይም መረጃ ለመድረስ ሲጠቀምበት ነው። የእነዚህ ጥቃቶች መዘዞች የገንዘብ ኪሳራን፣ የኩባንያውን ስም መጉዳት፣ ሚስጥራዊ መረጃዎችን መጣስ እና የስራ መቋረጥን ጨምሮ ከባድ ሊሆን ይችላል። 

የአቅርቦት ሰንሰለት ጥቃት አውድ

የአቅርቦት ሰንሰለት ጥቃት የሶስተኛ ወገን ሶፍትዌሮችን ኢላማ ያደረገ የሳይበር ጥቃት ነው፣በተለይም የአንድ ድርጅት ስርዓቶችን ወይም መረጃዎችን የሚያስተዳድሩ። እ.ኤ.አ. በ2021 “የአቅርቦት ሰንሰለት ጥቃቶች ስጋት የመሬት ገጽታ” ሪፖርት እንደሚያመለክተው ባለፉት 66 ወራት ውስጥ 12 በመቶው የአቅርቦት ሰንሰለት ጥቃቶች የአቅራቢውን ስርዓት ኮድ፣ 20 በመቶ ያነጣጠረ መረጃ እና 12 በመቶ ያነጣጠሩ የውስጥ ሂደቶችን ያነጣጠሩ ናቸው። በእነዚህ ጥቃቶች ውስጥ ማልዌር በብዛት ጥቅም ላይ የዋለው ዘዴ ሲሆን 62 በመቶውን የአደጋዎች ድርሻ ይይዛል። ነገር ግን፣ ሁለት ሶስተኛው በደንበኞች ላይ የሚደርሱ ጥቃቶች በአቅራቢዎቻቸው ላይ ያላቸውን እምነት ተጠቅመዋል።

የአቅርቦት ሰንሰለት ጥቃት አንዱ ምሳሌ በ 2017 በሶፍትዌር ኩባንያ ሲክሊነር ላይ የደረሰው ጥቃት ነው። ሰርጎ ገቦች የኩባንያውን የሶፍትዌር አቅርቦት ሰንሰለት ማበላሸት እና ማልዌርን በሶፍትዌር ማሻሻያ ማሰራጨት ችለዋል ይህም በሚሊዮን የሚቆጠሩ ተጠቃሚዎችን ነካ። ይህ ጥቃት በሶስተኛ ወገን አቅራቢዎች ላይ የመተማመን እምቅ ተጋላጭነትን እና እነዚህን ጥቃቶች ለመከላከል ጠንካራ የደህንነት እርምጃዎችን አስፈላጊነት አጉልቶ አሳይቷል።

በሶስተኛ ወገን አቅራቢዎች ላይ እየጨመረ ያለው ጥገኛ እና ውስብስብ የዲጂታል አቅርቦት ሰንሰለት ኔትወርኮች ለዲጂታል አቅርቦት ሰንሰለት ወንጀሎች እድገት ዋና አስተዋፅዖዎች ናቸው። ንግዶች ብዙ ስራዎቻቸውን እና አገልግሎቶቻቸውን ሲሰጡ፣ ለአጥቂዎች ሊሆኑ የሚችሉ የመግቢያ ነጥቦች ብዛት ይጨምራል። ይህ አዝማሚያ በተለይ ከትልቁ ድርጅት ጋር ተመሳሳይ የሆነ የደህንነት እርምጃዎች ላይኖራቸው ስለሚችል በተለይ ደህንነታቸው የተጠበቁ አቅራቢዎች ጋር በተያያዘ በጣም አሳሳቢ ነው። ሌላው ምክንያት ጊዜ ያለፈባቸው ወይም ያልተጣበቁ ሶፍትዌሮችን እና ስርዓቶችን መጠቀም ነው። የሳይበር ወንጀለኞች ብዙውን ጊዜ የኩባንያውን ዲጂታል አቅርቦት ሰንሰለት ለማግኘት በሶፍትዌር ወይም በሲስተሞች ውስጥ የሚታወቁትን ተጋላጭነቶች ይጠቀማሉ። 

የሚረብሽ ተጽእኖ

የአቅርቦት ሰንሰለት ጥቃቶች ከፍተኛ የረጅም ጊዜ ጉዳት ሊኖራቸው ይችላል. ለመንግስት ኤጀንሲዎች እና ንግዶች የአይቲ አስተዳደር ሶፍትዌሮችን የሚያቀርበው በታህሳስ 2020 በሶላር ዊንድስ ላይ የደረሰው የሳይበር ጥቃት ከፍተኛ መገለጫ ነው። ሰርጎ ገቦች የሶፍትዌር ማሻሻያዎችን ተጠቅመው ማልዌርን ለኩባንያው ደንበኞች ለማሰራጨት ብዙ የአሜሪካ መንግስት ኤጀንሲዎችን ጨምሮ። ይህ ጥቃት ከፍተኛ ነበር ምክንያቱም የስምምነቱ መጠን እና ለብዙ ወራት ሳይታወቅ በመቆየቱ ነው።

የታለመው ኩባንያ አስፈላጊ አገልግሎቶችን ሲሰጥ ጉዳቱ የከፋ ነው። ሌላው ምሳሌ በግንቦት 2021፣ የአለም የምግብ ኩባንያ JBS በራሰምዌር ጥቃት በተመታበት ጊዜ ዩኤስ፣ ካናዳ እና አውስትራሊያን ጨምሮ በተለያዩ ሀገራት ያለውን ስራ አቋረጠ። ጥቃቱ የተፈፀመው በኩባንያው የሶስተኛ ወገን ሶፍትዌር ውስጥ ያለውን ተጋላጭነት በመጠቀም ሬቪል በሚባል የወንጀል ቡድን ነው። ክስተቱ የስጋ ማሸጊያ እፅዋትን እና የግሮሰሪ ሱቆችን ጨምሮ የጄቢኤስ ደንበኞችንም ነካ። እነዚህ ኩባንያዎች የስጋ ምርቶች እጥረት ስላጋጠማቸው አማራጭ ምንጮች መፈለግ ወይም ሥራቸውን ማስተካከል ነበረባቸው።

ከዲጂታል የአቅርቦት ሰንሰለት ጥቃቶች ለመከላከል ለንግድ ድርጅቶች የሚቋቋሙት እና ተለዋዋጭ የደህንነት እርምጃዎች እንዲኖራቸው አስፈላጊ ነው። እነዚህ እርምጃዎች በሶስተኛ ወገን አቅራቢዎች ላይ የተሟላ ጥንቃቄ ማድረግ፣ ሶፍትዌሮችን እና ስርዓቶችን በየጊዜው ማሻሻል እና ማስተካከል እና ጠንካራ የደህንነት ፖሊሲዎችን እና ሂደቶችን መተግበርን ያካትታሉ። እንዲሁም ኩባንያዎች የማስገር ሙከራዎችን ጨምሮ ሰራተኞቻቸውን እንዴት መለየት እና ሊከሰቱ የሚችሉ ጥቃቶችን መከላከል እንደሚችሉ ማስተማር አስፈላጊ ነው።

የአቅርቦት ሰንሰለት ጥቃቶች አንድምታ 

የአቅርቦት ሰንሰለት ጥቃቶች ሰፊ እንድምታዎች የሚከተሉትን ሊያካትቱ ይችላሉ።

• የሶስተኛ ወገን ሶፍትዌሮችን አጠቃቀም መቀነስ እና በቤት ውስጥ መፍትሄዎች በተለይም በመንግስት ኤጀንሲዎች መካከል ለሚነሱ ሚስጥራዊነት ያላቸው መረጃዎች መተማመን።
• በተለይ እንደ መገልገያ እና ቴሌኮሙኒኬሽን ያሉ አስፈላጊ አገልግሎቶችን በሚሰጡ ድርጅቶች መካከል በውስጥ ለዳበሩ የሳይበር ደህንነት እርምጃዎች የበጀት ጭማሪ።
• የሰራተኞች የማስገር ጥቃቶች ሰለባ የሆኑባቸው ወይም ሳያውቁ ማልዌርን በየኩባንያቸው ስርዓት ውስጥ የማስገባት ክስተቶች መጨመር።
• የሳይበር ወንጀለኞች የሶፍትዌር ገንቢዎች መደበኛ የ patch ዝማኔዎችን በመተግበር ሲጠቀሙ የዜሮ ቀን ጥቃቶች የተለመዱ እየሆኑ ይሄዳሉ ይህም እነዚህ ሰርጎ ገቦች ሊበዘብዙባቸው የሚችሉ በርካታ ስህተቶች ሊኖሩት ይችላል።
• በሶፍትዌር ልማት ሂደቶች ውስጥ ያሉ ተጋላጭነቶችን ለመፈለግ የተቀጠሩ የስነምግባር ጠላፊዎች እየጨመረ መምጣቱ።
• ተጨማሪ መንግስታት ሻጮች የሶስተኛ ወገን አቅራቢዎቻቸውን ሙሉ ዝርዝር እና የሶፍትዌር ልማት ሂደቶችን ኦዲት እንዲያቀርቡ የሚጠይቁ ደንቦችን የሚያልፉ ብዙ መንግስታት።

አስተያየት ለመስጠት ጥያቄዎች

• ለዕለታዊ ንግድ ምን ያህል የሶስተኛ ወገን መተግበሪያዎችን ይተማመናሉ፣ እና ምን ያህል መዳረሻ ይፈቅዳሉ?
• ለሶስተኛ ወገን አቅራቢዎች ምን ያህል ደህንነት በቂ ነው ብለው ያምናሉ?
• ለሶስተኛ ወገን አቅራቢዎች የቁጥጥር ደረጃዎችን ለማስከበር መንግሥት መግባት አለበት?