Ataque a la cadena de suministro
¿Qué es Ataque a la cadena de suministro?
Ataque a la cadena de suministroAtaque que compromete a un proveedor de software, hardware o servicios de confianza para llegar a sus clientes finales.
Un ataque a la cadena de suministro se dirige al desarrollo, la compilación o la distribución de un proveedor para que código, componentes o actualizaciones maliciosas se entreguen como productos legítimos a muchas víctimas a la vez. Técnicas habituales son comprometer repositorios de código, insertar backdoors en sistemas de build, envenenar dependencias open source, abusar del acceso de proveedores gestionados y manipular hardware durante su fabricación. Como el artefacto malicioso está firmado y se considera confiable, los controles perimetrales tradicionales rara vez lo detectan. La mitigación se basa en SBOM, builds firmados y reproducibles, fijación de dependencias, gestión del riesgo de proveedores, principios zero trust, segmentación y monitorización continua de comportamientos anómalos tras una actualización.
● Ejemplos
- 01
Los atacantes inyectan una backdoor en la actualización firmada de un proveedor, infectando a miles de clientes durante el parcheo habitual.
- 02
Se publica un paquete malicioso en un repositorio público con un nombre parecido al de una librería popular.
● Preguntas frecuentes
¿Qué es Ataque a la cadena de suministro?
Ataque que compromete a un proveedor de software, hardware o servicios de confianza para llegar a sus clientes finales. Pertenece a la categoría de Ataques y amenazas en ciberseguridad.
¿Qué significa Ataque a la cadena de suministro?
Ataque que compromete a un proveedor de software, hardware o servicios de confianza para llegar a sus clientes finales.
¿Cómo defenderse de Ataque a la cadena de suministro?
Las defensas contra Ataque a la cadena de suministro combinan habitualmente controles técnicos y prácticas operativas, como se detalla en la definición.
¿Cuáles son otros nombres para Ataque a la cadena de suministro?
Nombres alternativos comunes: Ataque a terceros, Compromiso de proveedor.