Supply chain-aanval
Aanval via de softwaretoeleveringsketen — een backdoor in een bibliotheek, een gecompromitteerde buildserver, een valse update — in plaats van rechtstreeks op het doelwit. SolarWinds (2020) en xz-utils (2024) zijn de grote voorbeelden.
SolarWinds: een backdoor werd in een Orion-build gesmokkeld, 18.000 organisaties installeerden de update en Russische SVR-actoren kregen toegang tot Amerikaanse overheidsinstanties. xz-utils 2024: ‘Jia Tan’ plaatste een verborgen backdoor in een SSH-gerelateerde bibliotheek, na twee jaar sociale manipulatie van de maintainer — ontdekt door een Microsoft-ingenieur die toevallig een benchmark draaide. Maatregelen: SBOM, reproduceerbare builds, ondertekening met sigstore, lockfiles vastpinnen, dependency-review vóór een upgrade. Een sluitende verdediging bestaat niet — de supply chain wordt de grootste aanvalsvector van het komende decennium.