Evaluación y mitigación del riesgo de ciberseguridad de la cadena de suministro del proveedor de software
El incidente de la cadena de suministro de SolarWinds que se detectó a principios de diciembre de 2020 se ha convertido en uno de los ataques cibernéticos más sofisticados y exitosos contra instituciones gubernamentales y empresas occidentales en la historia reciente. En él, un grupo bien organizado, bien financiado y altamente calificado supuestamente afiliado al Servicio de Inteligencia Exterior de Rusia penetró con éxito miles de grandes empresas globales y múltiples agencias del gobierno federal de EE. UU., incluidos los Departamentos de Seguridad Nacional, Estado, Tesoro y Comercio. Si bien se cree que el 80 % de las víctimas se encuentran en los EE. UU., el ataque también comprometió objetivos en Canadá, México, el Reino Unido, España, Bélgica, Israel y los Emiratos Árabes Unidos.
La brecha de SolarWinds es el último ejemplo existente de un llamado ataque a la cadena de suministro de software, en el que un adversario compromete una fuente confiable de software, firmware o hardware, incrustando herramientas de vigilancia y otros códigos maliciosos en ella. El objetivo inicial puede ser el repositorio privado o la tienda de aplicaciones de un proveedor, o un repositorio público de código compartido como GitHub. Una posible infracción se habilita cada vez que un usuario instala la actualización de software, la actualización de firmware o el hardware comprometidos.