Furnizorii de servicii, expuşi atacurilor cibernetice

Riscurile cibernetice privind lanţurile de aprovizionare pot lua multe forme, de la ransomware şi furt de date la atacuri de tip denial-of-service (DDoS) şi fraudă, iar un raport din 2022 a arătat că 90% dintre furnizorii de servicii gestionate (MSP) au suferit un atac cibernetic, în ultimele 18 luni. Potrivit expertului producătorului de soluţii antivirus Eset, Phil Muncaster: "Lanţurile de aprovizionare reprezintă reţeaua conectoare care facilitează comerţul global şi prosperitatea. Însă aceste reţele de companii care se suprapun şi sunt legate între ele sunt din ce în ce mai complexe şi mai opace. Majoritatea implică utilizarea de software şi servicii digitale sau, cel puţin, depind într-un anumit nivel de interacţiunile online. Iar acest lucru le expune riscului de perturbare şi de compromitere (...) Riscurile cibernetice privind lanţul de aprovizionare pot lua multe forme, de la ransomware şi furt de date la atacuri de tip denial-of-service (DDoS) şi fraudă. Acestea pot avea impact asupra companiilor ce oferă servicii profesionale (de exemplu, avocaţi, contabili) sau a celor care furnizează software de business. Atacatorii pot, de asemenea, aibă în vizor furnizorii de servicii gestionate (MSP), deoarece, prin compromiterea unei singure companii în acest mod, ar putea obţine acces la un număr potenţial mare de utilizatori corporativi din aval. Un raport din 2022 a arătat că 90% dintre MSP au suferit un atac cibernetic în ultimele 18 luni".

Potrivit sursei citate, unul dintre principalele tipuri de atacuri cibernetice asupra lanţului de aprovizionare se referă la compromiterea software-ului proprietar. Astfel, infractorii cibernetici au reuşit să găsească o modalitate de a compromite dezvoltatorii de software şi să introducă programe malware în codul care este ulterior livrat clienţilor. "Acest lucru s-a întâmplat în cadrul campaniei de ransomware Kaseya. Într-un caz mai recent, un software popular de transfer de fişiere, MOVEit, a fost compromis, atacatorii descoperind o vulnerabilitate de tip «zero-day», iar datele au fost sustrase de la sute de utilizatori corporativi, afectând milioane de clienţi. Între timp, compromiterea software-ului de comunicaţii 3CX a rămas în istorie ca fiind primul incident documentat public în care un atac de tip lanţ de aprovizionare a condus la un altul".

De asemenea, au fost consemnat atacuri asupra lanţurilor de aprovizionare de tip "open source" (cu o creştere de 633%, de la an la an, conform unui raport de specialitate), atacuri sofisticate, cunoscute sub numele de Business Email Compromise (BEC - compromiterea e-mail-urilor de business), precum şi furtul de credenţiale, prin care atacatorii sustrag datele de conectare ale furnizorilor în încercarea de a pătrunde fie în reţeaua acestora, fie în cea a clienţilor, cum s-a întâmplat în cazul breşei masive din 2013, când hackerii au sustras informaţiile unuia dintre furnizorii de HVAC (ventilaţie şi aer condiţionat) ai retailerului Target. În ceea ce priveşte gestionarea acestor riscuri, experţii în securitate cibernetică recomandă: verificarea prealabilă a oricărui furnizor nou, utilizarea instrumentelor de analiză a compoziţiei software (SCA - software composition analysis) pentru a obţine vizibilitate asupra componentelor software, alături de scanarea continuă a vulnerabilităţilor şi a programelor malware şi corectarea promptă a oricăror erori, autorizarea şi actualizarea periodică a listei de furnizori, stabilirea unei politici oficială pentru furnizori, elaborarea unui plan de răspuns la incidente, implementarea standardelor din industrie, precum ISO 27001 şi ISO 28000. O statistică oficială relevă faptul că, anul trecut, în SUA, au existat cu 40% mai multe atacuri asupra lanţului de aprovizionare decât atacuri bazate pe malware. Acestea au condus la breşe care au afectat peste zece milioane de persoane.