การโจมตีแบบที่เข้าถึงเป้าหมายผ่านผู้จัดหาหรือส่วนพึ่งพาที่เชื่อถือได้นี้เรียกว่าอะไร?

การโจมตีห่วงโซ่อุปทาน (supply chain attack) ทำงานโดยการเจาะเข้าไปที่ผู้ขายที่ได้รับความไว้วางใจ เพื่อให้โค้ดร้ายแอบแฝงมาพร้อมกับสิ่งที่ลูกค้าไว้ใจอยู่แล้ว เช่นการอัปเดตซอฟต์แวร์ตามปกติ ในกรณี SolarWinds ผู้โจมตีแอบใส่โค้ดปนเปื้อนลงในการอัปเดตที่ถูกต้องตามกฎหมาย ซึ่งถูกติดตั้งอัตโนมัติโดยองค์กรนับพันแห่งทั่วโลก ทำให้แฮกเกอร์ได้จุดยืนอยู่ในเครือข่ายที่ไม่มีเหตุผลจะสงสัยผู้ขายที่พวกเขาไว้วางใจเลย

การโจมตีแบบปฏิเสธการให้บริการ (denial-of-service attack) ท่วมระบบด้วยทราฟฟิกจนล่ม ซึ่งเป็นเป้าหมายที่ต่างไปจากการแทรกซึมเครือข่ายอย่างเงียบๆ ผ่านการอัปเดตที่ได้รับความไว้วางใจ ส่วนการโจมตีแบบบรูทฟอร์ซเป็นเพียงการเดารหัสผ่านซ้ำๆ จนกว่าจะสำเร็จ ก็ไม่เกี่ยวข้องกับการซ่อนมัลแวร์ไว้ในซอฟต์แวร์ที่ถูกต้องตามกฎหมายเช่นกัน

เหตุการณ์ SolarWinds ช่วยทำให้แนวคิด 'บัญชีรายการส่วนประกอบซอฟต์แวร์' (software bill of materials) เป็นที่รู้จักมากขึ้น ซึ่งโดยพื้นฐานแล้วคือรายการส่วนผสมที่เปิดเผยทุกองค์ประกอบและสิ่งที่แอปพลิเคชันพึ่งพา เพื่อให้องค์กรสามารถตรวจพบความเสี่ยงที่ซ่อนลึกอยู่ในห่วงโซ่อุปทานซอฟต์แวร์ของตนได้