Las empresas tienen conexiones con otras empresas, que les suministran tanto piezas como software. Estas conexiones se conocen como cadena de suministro. Puede ser largo y complicado y se ha convertido en un vector de ataque favorito para los ciberdelincuentes., refirió Claudia Rincón Pérez, CEO de Factoría IT. En muchos casos, una empresa tiene su propia cadena de suministro y al mismo tiempo forma parte de la cadena de suministro de otras empresas, probablemente más grandes.
Si un atacante puede violar cualquier eslabón de esta cadena, puede atacar más fácilmente a otras empresas más abajo de la cadena. Toda empresa tiene el deber de proteger a sus clientes de los ataques a la cadena de suministro y, al mismo tiempo, tomar medidas para evitar ser una víctima de la cadena de suministro de sus propios proveedores.
Rincón Pérez señala que en TI, la cadena de suministro puede involucrar tanto hardware como software. Hay pocos ataques documentados a la cadena de suministro de hardware, pero es una amenaza constante. Un ejemplo de inquietudes se puede encontrar con los equipos de telecomunicaciones de Huawei. El Reino Unido tiene acceso al código fuente de Huawei. Le preocupan las puertas traseras ocultas a las que podrían acceder los servicios de inteligencia de China. El Reino Unido nunca ha encontrado una puerta trasera, pero sigue preocupado por las numerosas vulnerabilidades de Huawei que China podría explotar. Si esto sucediera, cada usuario del equipo vulnerable de Huawei podría verse potencialmente comprometido por China.
La mayoría de los ataques documentados a la cadena de suministro se basan en software. El ejemplo clásico de la posible escala de un ataque a la cadena de suministro de software se puede encontrar en el hackeo de SolarWinds 2020 en los EE. UU. Después de una brecha no detectada en SolarWinds, los atacantes pudieron agregar subrepticiamente malware a su software Orion . Todos los clientes que posteriormente descargaron el software Orion se infectaron automáticamente con el malware, y esto incluyó a cientos de empresas de todo el mundo y docenas de agencias gubernamentales de EE. UU.
Los ataques a la cadena de suministro son un problema global. Un ataque en un país puede afectar a empresas de otros países, a veces de muchos. Esto es lo que sucedió con NotPetya en 2017. Los piratas informáticos rusos se infiltraron en la empresa de contabilidad fiscal ucraniana MEDoc y envenenaron el software. Todos los clientes ucranianos que posteriormente descargaron el software de contabilidad MEDoc estaban infectados con NotPetya. Sin embargo, el malware tenía capacidades similares a las de un gusano, y NotPetya salió rápidamente de Ucrania y se propagó por todo el mundo, lo que posiblemente provocó el incidente cibernético más caro de la historia.
A veces, los ataques a la cadena de suministro tienen un objetivo más limitado. En el Reino Unido, esto sucedió con British Airways a quien le robaron los detalles del cliente (con estimaciones de hasta 400,000 detalles de pago con tarjeta) en 2018.Se cree que un grupo de piratas informáticos, parte de un grupo paraguas conocido como Magecart, se infiltró en un proveedor de software de BA. para acceder a los sistemas de BA con la próxima descarga de software.