¿Cómo se llama este ataque que llega a su objetivo a través de un proveedor o dependencia de confianza?

Un ataque a la cadena de suministro funciona comprometiendo a un proveedor de confianza para que el código malicioso viaje oculto dentro de algo que los clientes ya dan por seguro, como una actualización de software habitual. En el caso de SolarWinds, los atacantes introdujeron código contaminado en actualizaciones legítimas, que miles de organizaciones de todo el mundo instalaron de forma automática, dando a los piratas un punto de apoyo dentro de redes que no tenían motivo alguno para sospechar de su proveedor de confianza.

Un ataque de denegación de servicio inunda un sistema de tráfico para dejarlo fuera de línea, un objetivo muy distinto al de infiltrarse silenciosamente en redes a través de una actualización de confianza. Un ataque de fuerza bruta simplemente prueba contraseñas repetidamente hasta acertar, algo que tampoco tiene relación con ocultar software malicioso dentro de un programa legítimo.

El incidente de SolarWinds ayudó a popularizar la 'lista de materiales del software', básicamente una lista de ingredientes que revela cada componente y dependencia dentro de una aplicación, para que las organizaciones puedan detectar riesgos ocultos en lo más profundo de su cadena de suministro de software.