आपूर्ति श्रृंखला हमले: साइबर अपराधी सॉफ्टवेयर प्रदाताओं को निशाना बना रहे हैं

• लेखक:
• लेखक का नाम

  क्वांटमरन दूरदर्शिता
• फ़रवरी 9, 2023

आपूर्ति श्रृंखला हमले दुनिया भर के व्यवसायों और संगठनों के लिए बढ़ती चिंता हैं। ये हमले तब होते हैं जब एक साइबर अपराधी किसी कंपनी की आपूर्ति श्रृंखला में घुसपैठ करता है और इसका उपयोग लक्ष्य संगठन के सिस्टम या डेटा तक पहुंचने के लिए करता है। इन हमलों के परिणाम गंभीर हो सकते हैं, जिनमें वित्तीय नुकसान, कंपनी की प्रतिष्ठा को नुकसान, संवेदनशील जानकारी का समझौता और संचालन में व्यवधान शामिल हैं। 

आपूर्ति श्रृंखला हमलों के संदर्भ

आपूर्ति श्रृंखला हमला एक साइबर हमला है जो तीसरे पक्ष के सॉफ़्टवेयर को लक्षित करता है, विशेष रूप से वे जो लक्षित संगठन के सिस्टम या डेटा का प्रबंधन करते हैं। 2021 "आपूर्ति श्रृंखला हमलों के लिए खतरा परिदृश्य" रिपोर्ट के अनुसार, पिछले 66 महीनों में आपूर्ति श्रृंखला हमलों के 12 प्रतिशत ने आपूर्तिकर्ता के सिस्टम कोड, 20 प्रतिशत लक्षित डेटा और 12 प्रतिशत लक्षित आंतरिक प्रक्रियाओं को लक्षित किया। 62 प्रतिशत घटनाओं के लिए लेखांकन, इन हमलों में मैलवेयर सबसे अधिक इस्तेमाल किया जाने वाला तरीका था। हालांकि, ग्राहकों पर दो-तिहाई हमलों ने उनके आपूर्तिकर्ताओं में भरोसे का फायदा उठाया।

आपूर्ति श्रृंखला हमले का एक उदाहरण सॉफ्टवेयर कंपनी CCleaner पर 2017 का हमला है। हैकर्स कंपनी की सॉफ़्टवेयर आपूर्ति श्रृंखला से समझौता करने और सॉफ़्टवेयर अपडेट के माध्यम से मैलवेयर वितरित करने में सक्षम थे, जिससे लाखों उपयोगकर्ता प्रभावित हुए। इस हमले ने तीसरे पक्ष के प्रदाताओं पर भरोसा करने की संभावित कमजोरियों और इन हमलों से बचाव के लिए मजबूत सुरक्षा उपायों के महत्व पर प्रकाश डाला।

तीसरे पक्ष के प्रदाताओं और जटिल डिजिटल आपूर्ति श्रृंखला नेटवर्क पर बढ़ती निर्भरता डिजिटल आपूर्ति श्रृंखला अपराधों के विकास में प्रमुख योगदानकर्ता हैं। जैसे-जैसे व्यवसाय अपने अधिक संचालन और सेवाओं को आउटसोर्स करते हैं, हमलावरों के लिए संभावित प्रवेश बिंदुओं की संख्या बढ़ जाती है। यह प्रवृत्ति विशेष रूप से तब होती है जब छोटे या कम सुरक्षित आपूर्तिकर्ताओं की बात आती है, क्योंकि उनके पास बड़े संगठन के समान सुरक्षा उपायों का स्तर नहीं हो सकता है। एक अन्य कारक पुराने या पैच न किए गए सॉफ़्टवेयर और सिस्टम का उपयोग है। साइबर अपराधी अक्सर किसी कंपनी की डिजिटल आपूर्ति श्रृंखला तक पहुंच प्राप्त करने के लिए सॉफ़्टवेयर या सिस्टम में ज्ञात कमजोरियों का फायदा उठाते हैं। 

विघटनकारी प्रभाव

आपूर्ति श्रृंखला के हमलों से गंभीर दीर्घकालिक नुकसान हो सकता है। एक हाई-प्रोफाइल उदाहरण सोलरविंड्स पर दिसंबर 2020 का साइबर हमला है, जो सरकारी एजेंसियों और व्यवसायों को आईटी प्रबंधन सॉफ्टवेयर प्रदान करता है। हैकर्स ने कंपनी के ग्राहकों को मैलवेयर वितरित करने के लिए सॉफ़्टवेयर अपडेट का उपयोग किया, जिसमें कई अमेरिकी सरकारी एजेंसियां ​​​​शामिल थीं। यह हमला समझौते के पैमाने और इस तथ्य के कारण महत्वपूर्ण था कि कई महीनों तक इसका पता नहीं चला।

नुकसान तब और भी बुरा होता है जब लक्षित कंपनी आवश्यक सेवाएं प्रदान करती है। एक अन्य उदाहरण मई 2021 में था, जब वैश्विक खाद्य कंपनी जेबीएस एक रैंसमवेयर हमले की चपेट में आ गई थी, जिसने अमेरिका, कनाडा और ऑस्ट्रेलिया सहित कई देशों में इसके संचालन को बाधित कर दिया था। यह हमला REvil नामक एक आपराधिक समूह द्वारा किया गया था, जिसने कंपनी के तृतीय-पक्ष सॉफ़्टवेयर में भेद्यता का फायदा उठाया था। इस घटना ने जेबीएस के ग्राहकों को भी प्रभावित किया, जिसमें मीटपैकिंग प्लांट और किराना स्टोर शामिल थे। इन कंपनियों को मांस उत्पादों की कमी का सामना करना पड़ा और उन्हें वैकल्पिक स्रोत तलाशने पड़े या अपने संचालन को समायोजित करना पड़ा।

डिजिटल आपूर्ति श्रृंखला के हमलों से बचाने के लिए, व्यवसायों के लिए लचीला और लचीला सुरक्षा उपाय करना आवश्यक है। इन उपायों में तृतीय-पक्ष प्रदाताओं पर पूरी तरह से सावधानी बरतना, सॉफ़्टवेयर और सिस्टम को नियमित रूप से अपडेट और पैच करना, और मजबूत सुरक्षा नीतियों और प्रक्रियाओं को लागू करना शामिल है। कंपनियों के लिए यह भी महत्वपूर्ण है कि वे अपने कर्मचारियों को फ़िशिंग प्रयासों सहित संभावित हमलों की पहचान करने और उन्हें रोकने के बारे में शिक्षित करें।

आपूर्ति श्रृंखला हमलों के निहितार्थ 

आपूर्ति श्रृंखला हमलों के व्यापक प्रभाव में शामिल हो सकते हैं:

• तीसरे पक्ष के सॉफ़्टवेयर का कम उपयोग और संवेदनशील डेटा के लिए इन-हाउस समाधानों पर अधिक निर्भरता, विशेष रूप से सरकारी एजेंसियों के बीच।
• आंतरिक रूप से विकसित साइबर सुरक्षा उपायों के लिए बढ़ा हुआ बजट, विशेष रूप से उपयोगिताओं और दूरसंचार जैसी आवश्यक सेवाएं प्रदान करने वाले संगठनों के बीच।
• कर्मचारियों के फ़िशिंग हमलों का शिकार होने या अनजाने में उनकी संबंधित कंपनी के सिस्टम में मैलवेयर डालने की बढ़ती घटनाएं।
• ज़ीरो-डे हमले आम होते जा रहे हैं क्योंकि साइबर अपराधी नियमित पैच अपडेट लागू करने वाले सॉफ़्टवेयर डेवलपर्स का लाभ उठाते हैं, जिसमें कई बग हो सकते हैं जिनका ये हैकर फायदा उठा सकते हैं।
• सॉफ्टवेयर विकास प्रक्रियाओं में कमजोरियों की खोज के लिए नियुक्त एथिकल हैकर्स का बढ़ता उपयोग।
• अधिक सरकारें नियमों को पारित करती हैं जिनके लिए विक्रेताओं को अपने तीसरे पक्ष के आपूर्तिकर्ताओं की पूरी सूची प्रदान करने की आवश्यकता होती है, साथ ही सॉफ्टवेयर विकास प्रक्रियाओं के संभावित ऑडिट भी।

टिप्पणी करने के लिए प्रश्न

• आप दिन-प्रतिदिन के व्यवसाय के लिए कितने तृतीय-पक्ष ऐप्स पर भरोसा करते हैं, और आप कितनी पहुंच की अनुमति देते हैं?
• आपके अनुसार तृतीय-पक्ष विक्रेताओं के लिए कितनी सुरक्षा पर्याप्त है?
• क्या सरकार को तीसरे पक्ष के विक्रेताओं के लिए नियामक मानकों को लागू करने के लिए कदम उठाना चाहिए?