Ataque a la cadena de suministro
Atacar por la cadena de suministro del software —puerta trasera en una biblioteca, servidor de compilación comprometido, actualización falsa— en vez de ir de frente contra el objetivo.
SolarWinds (2020): se coló una puerta trasera en una compilación de Orion, 18 000 organizaciones instalaron la actualización y actores del SVR ruso acabaron dentro de agencias federales estadounidenses. xz-utils (2024): «Jia Tan» insertó una puerta trasera sigilosa en una biblioteca ligada a SSH tras dos años de ingeniería social sobre el mantenedor, y la descubrió un ingeniero de Microsoft que estaba midiendo tiempos de arranque por casualidad.
Mitigaciones: SBOM, compilaciones reproducibles, firmas con sigstore, fijar versiones en el lockfile y revisar las dependencias antes de actualizar. No hay defensa total, y todo apunta a que este será el vector dominante de la próxima década.