https://www.informationsecurity.com.tw/Seminar/2024_PaloAlto/
https://www.informationsecurity.com.tw/Seminar/2024_PaloAlto/

觀點

調查:高達98%依賴供應鏈的企業至少經歷一次資料外洩

2024 / 03 / 04
編輯部
調查:高達98%依賴供應鏈的企業至少經歷一次資料外洩
根據SecurityScorecard調查,98%依賴第三方供應鏈的企業曾經歷至少一次的資料外洩事件。網路犯罪集團愈來愈鍾情以第三方為攻擊目標,因為這種手法能讓他們輕鬆入侵大量受害者。據調查,超過75%資料外洩事件與企業對企業相連的軟體或技術服務相關。
 
2023年有高達64%可歸因第三方遭駭而引發外洩事件中都與Cl0p組織有關。Lockbit僅占7%。Cl0p之所以如此活躍,主要是大舉利用了MOVEit檔案傳輸軟體的零日漏洞CVE-2023-34362。這個漏洞更是整體第三方攻擊中被最頻繁利用的弱點。據了解,最常被利用的三大漏洞MOVEit、CitrixBleed和Proself涵蓋了77%可具體指出利用漏洞的第三方遭駭事件。MOVEit漏洞影響範圍遍及第三方、第四方甚至第五方等供應鏈層層對象,因而造成災情廣泛。

相關文章:MOVEit再爆新漏洞! 多個版本受影響
 
第三方攻擊如此蔚為風潮,不僅是因為成本低且容易擴大規模,同時也有29%的遭駭事件都能歸因於第三方攻擊向量。但專家認為不只29%。多數事件與技術產品或服務有關,醫療保健和金融服務業成為遭受第三方攻擊影響最嚴重的產業,前者佔了35%的遭駭事件總數,後者則佔了16%。
 
在醫療保健業,許多其他風險因素都可能導致第三方攻擊事件更常發生,如易受攻擊的醫療設備、受到勒索軟體勒索的潛在威脅、個人健康資訊對詐欺更有用等。金融業則由於第三方提供的金融服務軟體或技術遭受攻擊。
 
雖然第三方遭駭事件在全球都很常見,但日本的比例(48%)明顯較高。日本是全球汽車、製造、科技和金融服務重要地,與國際單位緊密連接,據了解,日本企業目前面臨著重大供應鏈網路風險。
 
供應鏈生態系統對駭客有無比吸引力,他們能夠暗中滲透多家企業長達數週或數月之久。受害者往往得等到收到勒索訊息時,才驚覺遭駭。有鑑於第三方遭駭成本比內部資安事件修復成本高出40%,隨著2023年資料外洩事件的平均成本高達445萬美元,企業必須主動落實供應鏈網路風險管理,以降低營運風險。
 
專家表示,在數位時代企業的信任等同於網路防護,企業必須全面檢視供應鏈生態,持續導入以指標為基礎、與營運緊密結合的風險控管機制,提升企業的韌性。

本文轉載自Helpnetsecurity。