Maria Korolov

供应链攻击也被称为价值链或第三方攻击，攻击者利用有权访问企业系统和数据的外部合作伙伴或提供商入侵企业的系统。随着越来越多的供应商和服务提供商开始接触到敏感数据，企业的攻击面在过去几年里发生了重大变化。

由于攻击类型是新的，加之公众对威胁的意识不断增强和监管部门加大了监管力度，与供应链攻击相关的风险意识并没有提升。与此同时，为了制造一个“完美风暴”，攻击者比以前有了更多的可用资源和工具。

供应链攻击的示例与范围

由供应商导致的重大网络泄密事件从来都没有停止过。2014年美国零售巨头塔吉特（Target）的大规模数据泄露事件是由HVAC（供热通风与空气调节）厂商在安全方面的疏忽所导致的。美国知名征信机构Equifax去年将其出现的严重数据泄漏事件归咎于所使用的外部软件带来漏洞，他们还将网站上出现恶意下载链接的情况归咎于另一家厂商。

此外，还有“天堂文件”事件曝光了大约1300万份详细介绍了知名公司、政治人物、社会名流如何进行离岸避税的文件。源头是什么？和前年的“巴拿马文件”事件一样，法律事务所成为了最薄弱的一环。

这些并不是孤立的事件。据安全研究机构Ponemon Institute去年秋季的调查显示，56%的机构曾经出现过因供应商导致的数据泄露。在每家机构中，有权访问其敏感数据的第三方厂商的平均数量由378家增长到了471家。这个数字可能有点低。仅35%的公司有共享他们敏感数据的所有第三方厂商的名单。……