சப்ளை செயின் தாக்குதல்கள்: சைபர் குற்றவாளிகள் மென்பொருள் வழங்குநர்களை குறிவைக்கின்றனர்

• ஆசிரியர் பற்றி:
• ஆசிரியர் பெயர்

  குவாண்டம்ரன் தொலைநோக்கு
• பிப்ரவரி 9, 2023

விநியோகச் சங்கிலித் தாக்குதல்கள் உலகளவில் வணிகங்கள் மற்றும் நிறுவனங்களுக்கு வளர்ந்து வரும் கவலையாகும். ஒரு சைபர் கிரைமினல் ஒரு நிறுவனத்தின் விநியோகச் சங்கிலியில் ஊடுருவி, இலக்கு அமைப்பின் அமைப்புகள் அல்லது தரவை அணுக அதைப் பயன்படுத்தும்போது இந்தத் தாக்குதல்கள் நிகழ்கின்றன. இந்தத் தாக்குதல்களின் விளைவுகள், நிதி இழப்புகள், நிறுவனத்தின் நற்பெயருக்கு சேதம், முக்கியத் தகவல்களை சமரசம் செய்தல் மற்றும் செயல்பாடுகளை சீர்குலைத்தல் உள்ளிட்ட கடுமையானதாக இருக்கலாம். 

சப்ளை செயின் தாக்குதல் சூழல்

விநியோகச் சங்கிலி தாக்குதல் என்பது மூன்றாம் தரப்பு மென்பொருளைக் குறிவைக்கும் ஒரு சைபர் அட்டாக் ஆகும், குறிப்பாக இலக்கு அமைப்பின் அமைப்புகள் அல்லது தரவை நிர்வகிக்கும். 2021 ஆம் ஆண்டின் “விநியோகச் சங்கிலித் தாக்குதல்களுக்கான அச்சுறுத்தல் நிலப்பரப்பு” அறிக்கையின்படி, கடந்த 66 மாதங்களில் 12 சதவீத விநியோகச் சங்கிலி தாக்குதல்கள் சப்ளையர் சிஸ்டம் குறியீடு, 20 சதவீதம் இலக்கு தரவு மற்றும் 12 சதவீதம் இலக்கு உள் செயல்முறைகளை இலக்காகக் கொண்டுள்ளன. இந்த தாக்குதல்களில் மால்வேர் மிகவும் பொதுவாக பயன்படுத்தப்படும் முறையாகும், இது 62 சதவீத சம்பவங்களுக்கு காரணமாகும். இருப்பினும், வாடிக்கையாளர்கள் மீதான தாக்குதல்களில் மூன்றில் இரண்டு பங்கு தங்கள் சப்ளையர்கள் மீதான நம்பிக்கையைப் பயன்படுத்திக் கொண்டது.

சப்ளை செயின் தாக்குதலுக்கு ஒரு உதாரணம், CCleaner என்ற மென்பொருள் நிறுவனத்தின் மீதான 2017 தாக்குதல். ஹேக்கர்கள் நிறுவனத்தின் மென்பொருள் விநியோகச் சங்கிலியை சமரசம் செய்து, மென்பொருள் புதுப்பிப்புகள் மூலம் தீம்பொருளை விநியோகிக்க முடிந்தது, இது மில்லியன் கணக்கான பயனர்களை பாதித்தது. மூன்றாம் தரப்பு வழங்குநர்களை நம்பியிருப்பதால் ஏற்படும் பாதிப்புகள் மற்றும் இந்தத் தாக்குதல்களில் இருந்து பாதுகாக்க வலுவான பாதுகாப்பு நடவடிக்கைகளின் முக்கியத்துவத்தை இந்தத் தாக்குதல் எடுத்துக்காட்டுகிறது.

மூன்றாம் தரப்பு வழங்குநர்கள் மற்றும் சிக்கலான டிஜிட்டல் விநியோகச் சங்கிலி நெட்வொர்க்குகள் மீதான அதிகரித்துவரும் நம்பகத்தன்மை டிஜிட்டல் விநியோகச் சங்கிலி குற்றங்களின் வளர்ச்சிக்கு முக்கிய பங்களிப்பாகும். வணிகங்கள் தங்கள் செயல்பாடுகள் மற்றும் சேவைகளை அவுட்சோர்ஸ் செய்வதால், தாக்குபவர்களுக்கான சாத்தியமான நுழைவு புள்ளிகளின் எண்ணிக்கை அதிகரிக்கிறது. இந்த போக்கு குறிப்பாக சிறிய அல்லது குறைவான பாதுகாப்பான சப்ளையர்களுக்கு வரும்போது, ​​அவர்கள் பெரிய நிறுவனத்தைப் போன்ற அதே அளவிலான பாதுகாப்பு நடவடிக்கைகளைக் கொண்டிருக்காமல் இருக்கலாம். மற்றொரு காரணி காலாவதியான அல்லது இணைக்கப்படாத மென்பொருள் மற்றும் அமைப்புகளின் பயன்பாடு ஆகும். ஒரு நிறுவனத்தின் டிஜிட்டல் விநியோகச் சங்கிலிக்கான அணுகலைப் பெற, சைபர் குற்றவாளிகள் பெரும்பாலும் மென்பொருள் அல்லது அமைப்புகளில் அறியப்பட்ட பாதிப்புகளைப் பயன்படுத்திக் கொள்கிறார்கள். 

சீர்குலைக்கும் தாக்கம்

விநியோகச் சங்கிலித் தாக்குதல்கள் கடுமையான நீண்ட கால சேதத்தை ஏற்படுத்தும். அரசாங்க நிறுவனங்களுக்கும் வணிகங்களுக்கும் IT மேலாண்மை மென்பொருளை வழங்கும் SolarWinds மீதான டிசம்பர் 2020 சைபர் தாக்குதல் ஒரு உயர்மட்ட உதாரணம். ஹேக்கர்கள் மென்பொருள் புதுப்பிப்புகளைப் பயன்படுத்தி நிறுவனத்தின் வாடிக்கையாளர்களுக்கு மால்வேரை விநியோகித்தனர், இதில் பல அமெரிக்க அரசு நிறுவனங்கள் அடங்கும். சமரசத்தின் அளவு மற்றும் பல மாதங்களாக அது கண்டறியப்படாமல் போனதால் இந்த தாக்குதல் குறிப்பிடத்தக்கதாக இருந்தது.

இலக்கு நிறுவனம் அத்தியாவசிய சேவைகளை வழங்கும்போது சேதம் இன்னும் மோசமாக உள்ளது. மற்றொரு உதாரணம், மே 2021 இல், உலகளாவிய உணவு நிறுவனமான JBS ransomware தாக்குதலால் பாதிக்கப்பட்டது, இது அமெரிக்கா, கனடா மற்றும் ஆஸ்திரேலியா உட்பட பல நாடுகளில் அதன் செயல்பாடுகளை சீர்குலைத்தது. நிறுவனத்தின் மூன்றாம் தரப்பு மென்பொருளில் உள்ள பாதிப்பைப் பயன்படுத்தி REvil எனப்படும் குற்றவியல் குழுவால் இந்தத் தாக்குதல் நடத்தப்பட்டது. இந்த சம்பவம் இறைச்சி பேக்கிங் ஆலைகள் மற்றும் மளிகை கடைகள் உட்பட JBS இன் வாடிக்கையாளர்களையும் பாதித்தது. இந்த நிறுவனங்கள் இறைச்சிப் பொருட்களின் பற்றாக்குறையை எதிர்கொண்டது மற்றும் மாற்று ஆதாரங்களைக் கண்டறிய அல்லது அவற்றின் செயல்பாடுகளைச் சரிசெய்ய வேண்டியிருந்தது.

டிஜிட்டல் சப்ளை செயின் தாக்குதல்களுக்கு எதிராக பாதுகாக்க, வணிகங்கள் நெகிழ்வான மற்றும் நெகிழ்வான பாதுகாப்பு நடவடிக்கைகளை வைத்திருப்பது அவசியம். இந்த நடவடிக்கைகளில் மூன்றாம் தரப்பு வழங்குநர்கள் மீது முழுமையான கவனம் செலுத்துதல், மென்பொருள் மற்றும் அமைப்புகளை தொடர்ந்து புதுப்பித்தல் மற்றும் ஒட்டுதல் மற்றும் வலுவான பாதுகாப்பு கொள்கைகள் மற்றும் நடைமுறைகளை செயல்படுத்துதல் ஆகியவை அடங்கும். ஃபிஷிங் முயற்சிகள் உட்பட சாத்தியமான தாக்குதல்களை எவ்வாறு கண்டறிவது மற்றும் தடுப்பது என்பது குறித்து நிறுவனங்கள் தங்கள் ஊழியர்களுக்கு கல்வி கற்பிப்பதும் முக்கியம்.

விநியோக சங்கிலி தாக்குதல்களின் தாக்கங்கள் 

விநியோகச் சங்கிலித் தாக்குதல்களின் பரவலான தாக்கங்கள் பின்வருமாறு:

• மூன்றாம் தரப்பு மென்பொருளின் குறைக்கப்பட்ட பயன்பாடு மற்றும் முக்கியமான தரவுகளுக்கு, குறிப்பாக அரசு நிறுவனங்களிடையே உள்ள தீர்வுகளில் அதிக நம்பிக்கை உள்ளது.
• குறிப்பாக பயன்பாடுகள் மற்றும் தொலைத்தொடர்பு போன்ற அத்தியாவசிய சேவைகளை வழங்கும் நிறுவனங்களிடையே, உள்நாட்டில் உருவாக்கப்பட்ட இணைய பாதுகாப்பு நடவடிக்கைகளுக்கான அதிகரித்த பட்ஜெட்.
• ஃபிஷிங் தாக்குதல்களுக்கு ஊழியர்கள் பலியாகும் அல்லது கவனக்குறைவாக அந்தந்த நிறுவனத்தின் அமைப்புகளில் தீம்பொருளை அறிமுகப்படுத்தும் சம்பவங்கள் அதிகரித்து வருகின்றன.
• வழக்கமான பேட்ச் புதுப்பிப்புகளைச் செயல்படுத்தும் மென்பொருள் உருவாக்குநர்களை சைபர் குற்றவாளிகள் பயன்படுத்திக் கொள்வதால் ஜீரோ-டே தாக்குதல்கள் பொதுவானதாகி வருகிறது, இந்த ஹேக்கர்கள் சுரண்டக்கூடிய பல பிழைகள் இருக்கலாம்.
• மென்பொருள் மேம்பாட்டு செயல்முறைகளில் உள்ள பாதிப்புகளைத் தேடுவதற்காக பணியமர்த்தப்பட்ட நெறிமுறை ஹேக்கர்களின் பயன்பாடு அதிகரித்து வருகிறது.
• விற்பனையாளர்கள் தங்கள் மூன்றாம் தரப்பு சப்ளையர்களின் முழுப் பட்டியலையும், மென்பொருள் மேம்பாட்டு செயல்முறைகளின் சாத்தியமான தணிக்கைகளையும் வழங்க வேண்டிய விதிமுறைகளை அதிகமான அரசாங்கங்கள் நிறைவேற்றுகின்றன.

கருத்து தெரிவிக்க வேண்டிய கேள்விகள்

• தினசரி வணிகத்திற்காக நீங்கள் எத்தனை மூன்றாம் தரப்பு பயன்பாடுகளை நம்பியிருக்கிறீர்கள், எவ்வளவு அணுகலை அனுமதிக்கிறீர்கள்?
• மூன்றாம் தரப்பு விற்பனையாளர்களுக்கு எவ்வளவு பாதுகாப்பு போதுமானது என்று நீங்கள் நம்புகிறீர்கள்?
• மூன்றாம் தரப்பு விற்பனையாளர்களுக்கான ஒழுங்குமுறை தரநிலைகளை அமல்படுத்த அரசாங்கம் முன்வர வேண்டுமா?