# Czym jest atak na łańcuch dostaw?

> Atak na łańcuch dostaw (supply-chain attack) kompromituje organizację nie bezpośrednio, lecz przez zaufaną stronę trzecią — dostawcę oprogramowania, usługę zarządzaną, zależność kodu, partnera integracyjnego lub producenta sprzętu — wykorzystując ich uprzywilejowany dostęp lub zaufanie jako kanał.

- Kanoniczny adres URL: https://yellowcube.eu/pl/glossary/supply-chain-attack/
- Wydawca: Yellow Cube
- Język: pl
- Kontakt: hello@yellowcube.eu

## Treść

W logice atakującego to efektywność: jedna kompromitacja dostawcy daje dostęp do wielu klientów naraz. Wektory obejmują złośliwe aktualizacje oprogramowania, przejęte repozytoria zależności, skompromitowanych dostawców zarządzanych (MSP), nadużycie zaufanych połączeń sieciowych lub API oraz złośliwy kod wstawiony w rozwoju lub budowie.

Skala sprawia, że pojedynczy incydent dostawcy staje się incydentem wielu organizacji — często odkrytym po stronie ofiary, nie dostawcy. Obrona jest warstwowa: wiedzieć, od kogo zależy się krytycznie, ograniczać, co dostawcy mogą osiągnąć, monitorować dostęp stron trzecich i planować reakcję na cudzą kompromitację.

### Najważniejsze punkty

- **Wektory:** Złośliwe lub trojanizowane aktualizacje oprogramowania, kompromitacja repozytoriów i zależności (typosquatting pakietów, przejęcia opiekunów), złośliwi dostawcy usług zarządzanych, nadużycie zaufanych połączeń i uprawnień oraz złośliwe komponenty sprzętowe lub firmware.
- **Kontrole prewencyjne:** Inwentaryzacja zależności, ocena bezpieczeństwa dostawców, umowne wymagania bezpieczeństwa, ograniczony i monitorowany dostęp stron trzecich oraz listy materiałów oprogramowania (SBOM) tam, gdzie wspierane.
- **Detekcja i reakcja:** Monitoruj nieoczekiwaną aktywność z zaufanych źródeł, utrzymuj zdolność odcięcia dostępu dostawców, zachowuj dowody i planuj komunikację z klientami i regulatorami jako ofiara cudzej kompromitacji.
- **Istotne ograniczenie:** Audyt dostawców i SBOM redukują, ale nie eliminują ryzyka — głębokie łańcuchy zależności mają widoczność graniczną, a „zaufany" dostęp może być nadużyty, zanim jakakolwiek zmiana stanie się widoczna.

### Powiązane terminy

[Bezpieczeństwo łańcucha dostaw](<https://yellowcube.eu/pl/glossary/supply-chain-security/>) · [Ryzyko cybernetyczne stron trzecich](<https://yellowcube.eu/pl/glossary/third-party-cyber-risk/>) · [Bezpieczeństwo łańcucha dostaw oprogramowania](<https://yellowcube.eu/pl/glossary/software-supply-chain-security/>) · [Wykaz komponentów oprogramowania (SBOM)](<https://yellowcube.eu/pl/glossary/software-bill-of-materials/>) · [Reagowanie na incydenty (IR)](<https://yellowcube.eu/pl/glossary/incident-response/>) · [Atak typu watering hole](<https://yellowcube.eu/pl/glossary/watering-hole-attack/>)

### Źródła

[NIST Glossary: Supply Chain Attack](https://csrc.nist.gov/glossary/term/supply_chain_attack) · [MITRE ATT&CK T1195: Supply Chain Compromise](https://attack.mitre.org/techniques/T1195/) · [NIST SP 800-161 Rev. 1 Update 1: Cybersecurity Supply Chain Risk Management](https://csrc.nist.gov/pubs/sp/800/161/r1/upd1/final)

## Budujmy skuteczniejszą cyberobronę razem

Budujemy trwałe partnerstwa oparte na zaufaniu, wiedzy i wspólnych sukcesach. Chcesz rozwijać firmę, poszerzyć ofertę cyberbezpieczeństwa lub wprowadzić innowacyjne rozwiązania na nowe rynki? Yellow Cube wspiera Cię na każdym z tych etapów.

[Skontaktuj się z Yellow Cube](<mailto:hello@yellowcube.eu?subject=Partnership>)

## Źródło i zakres informacji

Ta wersja Markdown jest generowana z tych samych zatwierdzonych treści co kanoniczna strona HTML. Przy cytowaniu użyj kanonicznego adresu URL.