Mga pag-atake sa supply chain: Ang mga cyber criminal ay nagta-target ng mga software provider

• May-akda:
• pangalan Author

  Quantumrun Foresight
• Pebrero 9, 2023

Ang mga pag-atake sa supply chain ay lumalaking alalahanin para sa mga negosyo at organisasyon sa buong mundo. Nagaganap ang mga pag-atake na ito kapag ang isang cybercriminal ay nakapasok sa supply chain ng kumpanya at ginagamit ito upang ma-access ang mga system o data ng target na organisasyon. Ang mga kahihinatnan ng mga pag-atake na ito ay maaaring maging malubha, kabilang ang mga pagkalugi sa pananalapi, pinsala sa reputasyon ng isang kumpanya, kompromiso ng sensitibong impormasyon, at pagkagambala sa mga operasyon. 

Konteksto ng pag-atake ng supply chain

Ang pag-atake sa supply chain ay isang cyberattack na nagta-target ng software ng third-party, partikular na ang mga namamahala sa mga system o data ng target na organisasyon. Ayon sa ulat ng 2021 “Threat Landscape for Supply Chain Attacks,” 66 porsiyento ng mga pag-atake sa supply chain sa nakalipas na 12 buwan ang nag-target sa system code ng supplier, 20 porsiyentong naka-target na data, at 12 porsiyentong naka-target sa mga internal na proseso. Ang malware ang pinakakaraniwang ginagamit na paraan sa mga pag-atakeng ito, na nagkakahalaga ng 62 porsiyento ng mga insidente. Gayunpaman, dalawang-katlo ng mga pag-atake sa mga customer ang sinamantala ang tiwala sa kanilang mga supplier.

Ang isang halimbawa ng pag-atake sa supply chain ay ang pag-atake noong 2017 sa kumpanya ng software, CCleaner. Nagawa ng mga hacker na ikompromiso ang software supply chain ng kumpanya at namahagi ng malware sa pamamagitan ng mga update sa software, na nakaapekto sa milyun-milyong user. Itinampok ng pag-atakeng ito ang mga potensyal na kahinaan ng pag-asa sa mga third-party na provider at ang kahalagahan ng matibay na mga hakbang sa seguridad upang maprotektahan laban sa mga pag-atake na ito.

Ang pagtaas ng pag-asa sa mga third-party na provider at kumplikadong digital supply chain network ay ang mga pangunahing nag-aambag sa paglaki ng mga digital supply chain na krimen. Habang nag-i-outsource ang mga negosyo ng higit pa sa kanilang mga operasyon at serbisyo, tumataas ang bilang ng mga potensyal na entry point para sa mga umaatake. Partikular na may kinalaman ang trend na ito pagdating sa maliliit o hindi gaanong secure na mga supplier, dahil maaaring wala silang parehong antas ng mga hakbang sa seguridad na inilagay sa mas malaking organisasyon. Ang isa pang kadahilanan ay ang paggamit ng hindi napapanahon o hindi na-patch na software at mga system. Madalas na sinasamantala ng mga cybercriminal ang mga kilalang kahinaan sa software o mga system upang makakuha ng access sa digital supply chain ng isang kumpanya. 

Nakakagambalang epekto

Ang mga pag-atake sa supply chain ay maaaring magkaroon ng malubhang pangmatagalang pinsala. Ang isang high-profile na halimbawa ay ang Disyembre 2020 cyber attack sa SolarWinds, na nagbibigay ng IT management software sa mga ahensya ng gobyerno at negosyo. Ginamit ng mga hacker ang mga update sa software upang ipamahagi ang malware sa mga customer ng kumpanya, kabilang ang maraming ahensya ng gobyerno ng US. Ang pag-atake na ito ay makabuluhan dahil sa laki ng kompromiso at ang katotohanang hindi ito natukoy sa loob ng ilang buwan.

Mas malala pa ang pinsala kapag ang target na kumpanya ay nagbibigay ng mahahalagang serbisyo. Ang isa pang halimbawa ay noong Mayo 2021, nang matamaan ang pandaigdigang kumpanya ng pagkain na JBS ng ransomware na pag-atake na nakagambala sa mga operasyon nito sa maraming bansa, kabilang ang US, Canada, at Australia. Ang pag-atake ay isinagawa ng isang kriminal na grupo na kilala bilang REvil, na pinagsamantalahan ang isang kahinaan sa software ng third-party ng kumpanya. Naapektuhan din ng insidente ang mga customer ng JBS, kabilang ang mga meatpacking plants at grocery store. Ang mga kumpanyang ito ay nahaharap sa kakulangan ng mga produktong karne at kinailangan nilang maghanap ng mga alternatibong mapagkukunan o ayusin ang kanilang mga operasyon.

Upang maprotektahan laban sa mga pag-atake ng digital supply chain, mahalaga para sa mga negosyo na magkaroon ng matatag at nababaluktot na mga hakbang sa seguridad. Kasama sa mga hakbang na ito ang pagsasagawa ng masusing due diligence sa mga third-party na provider, regular na pag-update at pag-patch ng software at mga system, at pagpapatupad ng matibay na mga patakaran at pamamaraan sa seguridad. Mahalaga rin para sa mga kumpanya na turuan ang kanilang mga empleyado kung paano matukoy at maiwasan ang mga potensyal na pag-atake, kabilang ang mga pagtatangka sa phishing.

Mga implikasyon ng pag-atake ng supply chain 

Ang mas malawak na implikasyon ng mga pag-atake sa supply chain ay maaaring kabilang ang:

• Ang pinababang paggamit ng software ng third-party at higit na pag-asa sa mga in-house na solusyon para sa sensitibong data, partikular sa mga ahensya ng gobyerno.
• Mga tumaas na badyet para sa mga internal na binuong hakbang sa cybersecurity, partikular sa mga organisasyong nagbibigay ng mahahalagang serbisyo tulad ng mga utility at telekomunikasyon.
• Dumadami ang mga insidente ng mga empleyadong nabibiktima ng mga pag-atake ng phishing o hindi sinasadyang pagpapasok ng malware sa mga system ng kani-kanilang kumpanya.
• Nagiging karaniwan na ang mga zero-day na pag-atake habang sinasamantala ng mga cybercriminal ang mga developer ng software na nagpapatupad ng mga regular na update sa patch, na maaaring magkaroon ng maraming bug na maaaring pagsamantalahan ng mga hacker na ito.
• Ang pagtaas ng paggamit ng mga etikal na hacker na inupahan upang maghanap ng mga kahinaan sa mga proseso ng pagbuo ng software.
• Mas maraming pamahalaan ang nagpapasa ng mga regulasyon na nangangailangan ng mga vendor na magbigay ng buong listahan ng kanilang mga third-party na supplier, pati na rin ang mga potensyal na pag-audit ng mga proseso ng pagbuo ng software.

Mga tanong na ikokomento

• Ilang third-party na app ang iyong umaasa para sa pang-araw-araw na negosyo, at gaano karaming access ang pinapayagan mo?
• Gaano karaming seguridad ang pinaniniwalaan mong sapat para sa mga third-party na vendor?
• Dapat bang pumasok ang gobyerno upang ipatupad ang mga pamantayan ng regulasyon para sa mga third-party na vendor?