信頼された供給元や依存先を通じて標的に到達するこの攻撃は何と呼ばれる?

サプライチェーン攻撃は、信頼されているベンダーを侵害することで、通常のソフトウェアアップデートのような、顧客がすでに信頼しているものの中に悪意あるコードを紛れ込ませる手口である。ソーラーウィンズの事例では、攻撃者は正規のアップデートに汚染されたコードを忍び込ませ、それが世界中の数千の組織によって自動的にインストールされた。これにより、信頼していたベンダーを疑う理由が何もなかったネットワークの内部に、ハッカーは足がかりを得ることができた。

サービス拒否攻撃はシステムに大量のトラフィックを送りつけてオフラインに追い込むもので、信頼されたアップデートを通じて静かにネットワークへ侵入するのとは全く異なる目的を持つ。ブルートフォース攻撃は単純にパスワードを繰り返し推測して当てるだけの手口であり、これも正規のソフトウェアにマルウェアを隠す手法とは無関係だ。

ソーラーウィンズの事件は「ソフトウェア部品表」という概念の普及を後押しした。これはアプリケーション内のあらゆる構成要素と依存関係を開示する、いわば原材料リストのようなもので、組織がソフトウェアのサプライチェーンの奥深くに潜むリスクを見つけ出せるようにするものだ。