网络犯罪如何利用供应链合作伙伴发动攻击：真实案例深度解析
供应链本质上要求人与组织间的协作伙伴关系。这虽有助于共同目标与增长，却也暗藏隐患。
共生关系成攻击跳板
通过这些共生关系，企业无意中暴露了敏感业务面。这一被忽视的弱点，让网络犯罪分子得以在目标组织建立立足点。
Opus与Ponemon研究所研究显示：至少59%组织遭受过第三方公司渠道的网络攻击。更令人不安的是，仅16%研究对象声称能有效缓解第三方网络安全风险。
识别风险是第一步
保护公司免受此类风险的第一步是识别它们。以下通过真实案例说明恶意行为者如何通过供应链合作伙伴发起攻击。
1. 外部软硬件供应链漏洞
几乎所有组织使用外部软硬件。开源繁荣导致几乎所有业务运营环节大规模外包。便利背后风险巨大。2018年Equifax泄露源于运行在线数据库软件的缺陷，Equifax也归咎于来自另一供应商的恶意下载链接。这些供应链弱点导致至少1.43亿人个人数据泄露。
2. 物联网设备成入侵网关
众多企业使用联网但缺乏安全措施的暖通空调（HVAC）系统。2014年Target大规模泄露即源于此：黑客获取Target HVAC供应商登录凭证，登入支付系统，窃取约7000万人信息（姓名、地址、邮箱、电话等敏感数据）。
3. 云服务商存储风险
企业将机密数据存储于云服务商。虽投入巨资安保，但系统仍易受攻击。2018年“天堂文件”泄露约1340万敏感文件，揭露全球企业与超级富豪财务往来。其中至少一半（约680万）来自离岸法律服务商Appleby。
2018年夏Deep Root Analytics泄露约2亿选民个人数据。该营销公司服务于两党，因误将数据放入公开可访问服务器导致泄露。虽仅50员工，但类似事件也发生在大型组织：Verizon泄露中，Nice Systems将600万客户记录置于公开Amazon S3存储桶（含6个月客服通话日志、个人账户信息），Nice员工超3500人。德勤（25万+员工）2018年9月遭攻击，黑客通过其管理账户弱访问控制获取蓝筹客户机密计划与邮件。
4. 供应商IT系统成软肋
大企业内部安保可能滴水不漏，但供应商IT系统未必。2018年秋多米诺披萨澳大利亚分公司即因前供应商弱网安系统泄露客户姓名邮箱。虽声称自身系统无过错，但损害已造成——泄露因受害客户收到个性化垃圾邮件而暴露。
5. 物联网传感器被忽视的攻击面
企业对电脑、手机、网络安全警惕，却常忽视IoT设备。这些传感器联网通信，供应链中常用于机器故障预测、库存管理。功能价值背后，它们是热门攻击向量，可窃取敏感数据、实施破坏与僵尸网络攻击。
例：Mirai僵尸网络攻击Dyn（为Reddit、Netflix、Github等提供域名服务）。Mirai专为IoT设计的DDoS攻击僵尸网络。
责任在己：客户不关心你怎么被攻破，只关心数据安全
上述案例佐证：攻击者可利用供应链弱环进入系统。虽无法直接控制合作伙伴安全措施，但客户不关心你如何被攻破，只关心数据安全。确保安全的责任在你手中。
尽职调查与漏洞优先封堵
对第三方安全系统与隐私政策的尽职调查至关重要。大小组织皆可能中招，无论合作伙伴规模，评估其安全承诺都是必须。将识别弱点、优先封堵所有漏洞作为首要目标。
Olivia Scott为VPNpro.com市场经理。
工业技术