Een supply-chain-aanval is een aanval waarbij een bedrijf of individu wordt getroffen door een aanval die vanuit een leverancier (een ‘supplier’) wordt uitgevoerd. In veel gevallen is dat een aantrekkelijke manier van malware verspreiding of spionage.

Supply-chain-aanvallen hebben een paar voordelen ten opzichte van andere aanvallen

Het kan bijvoorbeeld soms makkelijker zijn om een bedrijf te infecteren. Een keten is zo sterk als zijn zwakste schakel: een willekeurig slecht beveiligd bedrijf in de toeleveringsketen kan dan makkelijk al zijn klanten én diens klanten infecteren. Dat is best logisch: waarschijnlijk heeft een maker van bijvoorbeeld boekhoudsoftware zijn beveiliging minder goed op orde dan een bedrijf dat beveiligingssoftware maakt. McAfee zag bijvoorbeeld ooit een voorbeeld van een supply-chain-aanval die via een update voor de gpu van computers werd uitgevoerd. “Dat is slim, want je verwacht van een gpu-update niet dat er veel mis mee kan zijn”, vertelt Christiaan Beek, lead scientist & principle engineer bij McAfee. “Je vertrouwt het dus eerder. Een gpu-fabrikant controleert updates waarschijnlijk minder goed dan een bedrijf dat zich enkel richt op software.”

Het opzetten van een supply-chain-aanval

Het opzetten van een supply-chain-aanval is op zichzelf niet moeilijk, maar het efficiënt uitvoeren van een aanval wel. “Een command-and-control-server beginnen en malware schrijven die daar bepaalde gegevens naartoe stuurt is simpel. Het lastige is juist om het zo lang stil te houden.” In veel gevallen wordt de malware niet (of erg laat) opgemerkt door antivirussoftware.