Ataque a la cadena de suministro
Ataque que no golpea al objetivo directamente, sino a un proveedor o componente de confianza que este utiliza, para colarse a través de él.
Qué es Ataque a la cadena de suministro
Un ataque a la cadena de suministro compromete un eslabón intermedio —un proveedor de software, una librería de código, una actualización automática, un servicio gestionado— sabiendo que ese eslabón es de confianza para muchas víctimas. Cuando estas reciben la actualización o usan el componente "limpio en apariencia", quedan infectadas.
Cómo funciona
El atacante penetra al proveedor (o a un mantenedor de software libre, o a un MSP), introduce código malicioso en el producto y deja que la distribución normal haga el resto: la actualización firmada y legítima llega a miles de clientes con el regalo dentro. La confianza en la fuente es justo lo que se explota.
Cómo protegerte
Para usuarios y pequeñas empresas: aplicar actualizaciones (paradoja: la mayoría son seguras y necesarias) pero de fuentes oficiales, tener copias de seguridad aisladas y vigilar avisos de seguridad. Para organizaciones: revisar a sus proveedores, firmar y verificar dependencias, y aplicar el principio de mínimo privilegio a las herramientas de terceros.
Datos curiosos
- El caso SolarWinds (2020) infectó a miles de organizaciones, incluidas agencias de EE.UU., vía una actualización troyanizada.
- Las librerías de código abierto poco mantenidas son un objetivo recurrente.
- Es uno de los vectores que más preocupa a los equipos de seguridad por su efecto multiplicador.
Preguntas frecuentes
¿Entonces no debo actualizar?
Sí debes: la inmensa mayoría de actualizaciones corrigen fallos y son seguras. Estos ataques son raros y la alternativa (no parchear) es peor.
¿Cómo me protejo si confío en el proveedor?
Copias de seguridad aisladas, mínimo privilegio para las herramientas externas y estar atento a alertas de seguridad para reaccionar rápido.
¿Afecta solo a software?
No: también a hardware, servicios gestionados y componentes web de terceros incrustados en una página.