W logice atakującego to efektywność: jedna kompromitacja dostawcy daje dostęp do wielu klientów naraz. Wektory obejmują złośliwe aktualizacje oprogramowania, przejęte repozytoria zależności, skompromitowanych dostawców zarządzanych (MSP), nadużycie zaufanych połączeń sieciowych lub API oraz złośliwy kod wstawiony w rozwoju lub budowie.
Skala sprawia, że pojedynczy incydent dostawcy staje się incydentem wielu organizacji — często odkrytym po stronie ofiary, nie dostawcy. Obrona jest warstwowa: wiedzieć, od kogo zależy się krytycznie, ograniczać, co dostawcy mogą osiągnąć, monitorować dostęp stron trzecich i planować reakcję na cudzą kompromitację.
Najważniejsze punkty
WektoryZłośliwe lub trojanizowane aktualizacje oprogramowania, kompromitacja repozytoriów i zależności (typosquatting pakietów, przejęcia opiekunów), złośliwi dostawcy usług zarządzanych, nadużycie zaufanych połączeń i uprawnień oraz złośliwe komponenty sprzętowe lub firmware.
Kontrole prewencyjneInwentaryzacja zależności, ocena bezpieczeństwa dostawców, umowne wymagania bezpieczeństwa, ograniczony i monitorowany dostęp stron trzecich oraz listy materiałów oprogramowania (SBOM) tam, gdzie wspierane.
Detekcja i reakcjaMonitoruj nieoczekiwaną aktywność z zaufanych źródeł, utrzymuj zdolność odcięcia dostępu dostawców, zachowuj dowody i planuj komunikację z klientami i regulatorami jako ofiara cudzej kompromitacji.
Istotne ograniczenieAudyt dostawców i SBOM redukują, ale nie eliminują ryzyka — głębokie łańcuchy zależności mają widoczność graniczną, a „zaufany" dostęp może być nadużyty, zanim jakakolwiek zmiana stanie się widoczna.