欧州ネットワーク情報セキュリティ機関（ENISA）は、SolarWinds Orion、Mimecast、Codecov、Kaseyaを介したものを含む24の最近のソフトウェアサプライチェーン攻撃を分析し、サプライチェーン攻撃が悪化し続けているため、強力なセキュリティ保護ではもはや十分ではないと結論付けました。
ENISAのレポート サプライチェーン攻撃の66％がサプライヤのコードに焦点を合わせているのに対し、マルウェアは62％の攻撃で使用されている攻撃手法であることがわかりました。 の創設者であるIliaKolochenkoからの専門家のコメント イムニウェブ およびEuropolData Protection Experts Networkのメンバー：
「ENISAによって遵守されたサプライチェーン攻撃は、比較的単純なハッキング手法の中でサイバー犯罪者間の非の打ちどころのない調整を浮き彫りにします。 攻撃のほとんどは、ゼロデイ脆弱性の悪用を伴うものであっても、多層防御およびゼロトラストモデルによって防止できた可能性があります。 さらに悪いことに、大規模な侵入の多くは、攻撃対象領域の可視性の欠如、数か月または数年前に公開されたセキュリティ上の欠陥を持つ脆弱なソフトウェア、または0FAやその他の非常に単純なセキュリティメカニズムが欠落しているために成功した原始的なパスワード再利用攻撃を悪用しました。人間に焦点を当てた攻撃を阻止します。 繁栄するフィッシング攻撃は、現代の脅威の状況を支配しており、人的要因が企業のサイバーレジリエンスの基礎であり続けている証拠です。
「誤って構成されたCI / CDパイプラインと脆弱なクラウド展開を悪用する明らかな傾向があります。 パンデミックの中で、トレーニングとクラウド固有のセキュリティ強化にかかる費用を節約しようとしながら、無数の組織がITインフラストラクチャをクラウドに急速に移行しました。 レガシーITインフラストラクチャ、サードパーティの管理対象サーバー、およびソフトウェアと組み合わせることで、2021年のデジタル化により、組織はサイバー犯罪者にとって手に負えない成果を上げました。
「最後に、サイバーギャングは、 サイバーセキュリティー 業界。 彼らは綿密に攻撃を計画および調整し、分業を活用して、最終的には印象的な効率を達成します。 サイバーセキュリティチームとは対照的に、悪者は休暇や病気休暇をとることはなく、被害者の組織が最も準備が整っていないときに意図的に迅速な襲撃を行うことさえあります。」
