Κυβερνοασφάλεια: Οι χάκερ στοχεύουν τους αδύναμους κρίκους των αλυσίδων εφοδιασμού

Σε αναζήτηση των… αδύναμων κρίκων των αλυσίδων εφοδιασμού μεγάλων εταιρικών ομίλων έχουν αποδυθεί οι ομάδες χάκερ στο πλαίσιο του ακμάζοντος και παράνομου τομέα ransomware πολλών δισεκατομμυρίων δολαρίων.

Μόνο το 2024 ο αριθμός των κυβερνοεπιθέσεων σε τρίτους προμηθευτές εταιρειών σε όλο τον κόσμο διπλασιάστηκε, σύμφωνα με τις αναφορές των ειδικών του χώρου, οι οποίοι συμπληρώνουν ότι η κατάσταση θα επιδεινωθεί περαιτέρω φέτος.

Η προειδοποίηση έρχεται λίγους μήνες αφότου η βρετανική εταιρεία λιανικής Marks and Spencer δέχτηκε επίθεση μετά από παραβίαση σε ανώνυμο τρίτο μέρος που είχε πρόσβαση στα δεδομένα της, ενώ το NHS England δέχτηκε πέρυσι επίθεση μέσω του συνεργάτη Synnovis, ο οποίος παρείχε υπηρεσίες παθολογίας στον οργανισμό.

Αυτές οι περιπτώσεις αποτελούν ένα μικρό μέρος του παγκόσμιου φαινομένου ανώνυμων συμμοριών χάκερ που στοχεύουν μεγάλες εταιρείες και οργανισμούς, κλείνοντας τις διαδικτυακές τους δραστηριότητες, εκτός εάν είναι διατεθειμένοι να πληρώσουν σημαντικά χρηματικά ποσά σε λύτρα.

Ο Τιμ Έριτζ, αντιπρόεδρος Ευρώπης, Μέσης Ανατολής και Αφρικής στη Μονάδα 42 της Palo Alto Networks, δήλωσε στους Financial Times ότι οι εγκληματίες του κυβερνοχώρου επικεντρώνονται στις αλυσίδες εφοδιασμού για να βρουν έναν «αδύναμο κρίκο» στις άμυνες ασφαλείας των μεγάλων εταιρικών θυμάτων.

«Εάν “παραβιάσετε” τα δικαιώματα ενός προμηθευτή και αυτός έχει πρόσβαση σε πολλούς κορυφαίους οργανισμούς που καταναλώνουν τις υπηρεσίες του ή συνδέονται με αυτούς, έχετε απόδοση επένδυσης “πολλά για ένα”», είπε.

Επιθέσεις μέσω τρίτων

Περίπου το 30% των 7.965 κυβερνοεπιθέσεων το 2024 προήλθε από τρίτο μέρος, διπλάσιο ποσοστό από ένα χρόνο νωρίτερα, σύμφωνα με την Έκθεση Διερευνήσεων Παραβίασης Δεδομένων της Verizon για το 2025. Το 2023, αυτού του είδους οι επιθέσεις χακαρίσματος αντιπροσώπευαν το 14,9% των 7.268 κυβερνοεπιθέσεων.

Οι επιθέσεις μέσω τρίτων εταιρειών περιλαμβάνουν ένα ευρύ φάσμα πιθανών σημείων εισόδου, όπως παρόχους λογισμικού, γραμμές βοήθειας εξυπηρέτησης πελατών και όσους παρέχουν άλλες τεχνολογικές λύσεις, όπως η τεχνητή νοημοσύνη.

Ο Ναθάνιελ Τζόουνς, αντιπρόεδρος ασφάλειας και στρατηγικής τεχνητής νοημοσύνης στην Darktrace, δήλωσε στους Financial Times ότι οι εγκληματίες του κυβερνοχώρου στοχεύουν στα «ευαίσθητα σημεία» των μεγάλων ομάδων, προσπαθώντας να τα χρησιμοποιήσουν για να «ανέβουν στα ύψη».

Έρευνα από την Google Threat Intelligence Group διαπίστωσε ότι οι κρατικά χρηματοδοτούμενοι φορείς χρησιμοποιούσαν επίσης ολοένα και περισσότερο την τακτική.

Ο Τζέιμι Κόλιερ, επικεφαλής σύμβουλος πληροφοριών για απειλές στην Ευρώπη, στην GTIG, δήλωσε από την πλευρά του ότι οι ομάδες που υποστηρίζονται από τη Βόρεια Κορέα ήταν οι πιο παραγωγικές στην περιοχή, με τις επιθέσεις hacking να έχουν «αυξηθεί τόσο σε όγκο όσο και σε πολυπλοκότητα».

Η αυξανόμενη απειλή επίθεσης μέσω τρίτων έχει οδηγήσει τους ειδικούς να προειδοποιήσουν ότι αυτό θα μπορούσε να οδηγήσει σε πιο ευκαιριακές επιθέσεις, με αποτέλεσμα να παραβιάζονται στόχοι που δεν ήταν ο αρχικός στόχος.

«Όταν συμβαίνει μια επίθεση στην εφοδιαστική αλυσίδα, αυτό συμβαίνει είτε επειδή οι απειλητικοί φορείς είχαν μια καλή ευκαιρία είτε επειδή αυτή είναι η μόνη επιλογή που είχαν επειδή ο πραγματικός στόχος ήταν επαρκώς προστατευμένος», δήλωσε από την πλευρά του ο Ράφε Πίλινγκ, διευθυντής πληροφοριών απειλών στη Sophos.

Η αντίδραση των κυβερνήσεων

Η αύξηση του hacking έχει οδηγήσει κυβερνήσεις σε όλο τον κόσμο να θεσπίσουν νομοθεσία τα τελευταία χρόνια για να αναγκάσουν τους παρόχους υπηρεσιών να δώσουν προτεραιότητα στην κυβερνοασφάλεια.

Η οδηγία NIS2 της ΕΕ, η οποία θεσπίστηκε το 2023, ήταν η πρώτη σημαντική νομοθεσία που αυστηροποίησε τους περιορισμούς στις αλυσίδες εφοδιασμού. Οι οντότητες που καλύπτονται από τους κανονισμούς — όπως οι τομείς της ενέργειας, των μεταφορών και των τραπεζών — πρέπει πλέον να διαχειρίζονται πιθανούς κινδύνους από τους προμηθευτές.

Το νομοσχέδιο του Ηνωμένου Βασιλείου για την Κυβερνοασφάλεια και την Ανθεκτικότητα — το οποίο πρόκειται να κατατεθεί στο κοινοβούλιο — θα εντάξει στο πεδίο εφαρμογής του κανονισμού και τους παρόχους διαχειριζόμενων υπηρεσιών, όπως εκείνους που παρέχουν λογισμικό.

Στις ΗΠΑ, η κυβέρνηση Τραμπ έχει υιοθετήσει μια πιο ήπια προσέγγιση, αλλά παρόλα αυτά έχει κινηθεί για να διασφαλίσει ότι οι τρίτοι προμηθευτές της ομοσπονδιακής κυβέρνησης ενισχύουν τις κυβερνοασφάλειες.