Ataque a cadena de suministro
# Ataque a cadena de suministro

Un ataque a la cadena de suministro (en inglés supply chain attack), también llamado ataque de cadena de valor o ataque de terceros, consiste en comprometer proveedores digitales de servicios externos (proveedores de servicios de internet, proveedores de telecomunicaciones, proveedores de software, proveedores de servicios externos, proveedores de hardware,...) como instrumento para infiltrarse desde allí en una organización objetivo. El asegurarse de que los proveedores de servicios externos son confiables es extremadamente difícil. La indirección dificulta la identificación del atacante. Este tipo de ataques tienen gran potencial debido a que un proveedor puede dar servicio a muchos clientes, los cuales a su vez pueden ser proveedores de otros. De esta forma, en una sola operación puede infectar todos los clientes .

## Tipos

Las formas más habituales de realizar ataques a la cadena de suministro son:

* Malware preinstalado en dispositivos (cámaras, USB, teléfonos, etc.)
* Software que sirve de base para la creación de otro software infectado. Por ejemplo, en 2019 se detectó que había tres bibliotecas Python maliciosas en el Índice de Paquete Python oficial (PyPI). Contenían una puerta trasera oculta que se activaría cuando las bibliotecas se instalaran en sistemas Linux. En 2019 se detectó que el compilador Microsoft Visual Studio que estaban usando tres compañías de videojuegos instalaba puertas traseras.
* Código malintencionado firmado digitalmente usando claves privadas de del proveedor del servicio.
* Código especializado comprometido usado en firmware o hardware.
* Ataques que explotan puertas traseras en hardware y software.
* Código malicioso dentro de programa instalador o actualizador. Esto da al atacante el beneficio inmediato de tener privilegios elevados en la máquina. El ejemplo más famoso de este tipo de ataque fue el ataque NotPetya en 2017 en el que un grupo de hackers rusos secuestró actualizaciones de un software de contabilidad ucraniano que descargaba un gusano destructivo y causó un daño récord de 10.000 millones de dólares a empresas de todo el mundo. Otro ejemplo fue la infección de decenas de miles de ordenadores ASUS con un malware introducido a través del software de actualización de software de la marca.
* Atacantes recrean la infraestructura de proveedor en un servidor réplica que los atacantes controlan.
