2025年8月爆發的 Salesloft Drift 供應鏈攻擊事件，為全球資安產業敲響警鐘。威脅行為者 UNC6395 首先入侵行銷自動化平台 Salesloft 的 Drift 應用程式，竊取其 Salesforce 整合的 OAuth 權杖後，進一步擴散至雲端服務供應商 Cloudflare 及數百家企業客戶，最終導致 Adidas、LVMH、Stellantis 等國際大廠的敏感資料外洩。這起事件充分展現供應鏈攻擊的連鎖效應，也讓資安託管服務供應商(MSSP)面臨前所未有的考驗。
MSSP的信任危機：第三方風險激增100%
儘管這類資料外洩事件源自客戶的第三方供應商系統，卻往往引發客戶對 MSSP 威脅防禦能力的質疑。根據 IBM《2025年資料外洩成本報告》，2024年約30%的資安事件源自第三方供應商，較前一年暴增100%。傳統以企業內部防護為主的資安服務模式，已無法因應供應鏈威脅的快速成長。然而，危機也是轉機，能夠建立完善第三方風險管理能力的 MSSP，反而能藉此強化服務組合、提升客戶信任度，並創造新的營收成長動能。
AI驅動的六大防護策略
面對供應鏈威脅的嚴峻挑戰，MSSP 需要實施更智慧化、主動式的安全策略。關鍵需求包括完整的威脅可視性、自主分析能力、快速威脅歸因，以及依情境排定優先順序的處理機制。
第一，啟用持續性供應鏈風險可視性。
AI 驅動的第三方風險管理平台(TPRM)能持續監控客戶供應鏈的安全態勢，整合威脅情報工具後可即時偵測資料外洩或暴露問題，無需人工審查。
第二，偵測外部風險與影子IT。
隨著雲端運算普及，員工經常未經 IT 部門核准即整合第三方工具，形成影子IT(Shadow IT)風險。進階的供應商風險管理工具能掃描這些隱藏的整合，偵測其中的暴露風險並即時警示。
第三，實施同業比較。
將客戶供應商的安全態勢與產業同業進行比較，找出關注領域與法規遵循缺口，協助 MSSP 將威脅資料轉化為策略性建議。
第四，擴大延伸供應商風險可視性。
正如 Salesforce-Salesloft 外洩事件所示，供應商本身的供應鏈弱點可能迅速擴散。因此，監控範圍應涵蓋關聯供應商鏈，識別受害供應商並繪製潛在攻擊路徑。
第五，簡化供應商風險評估流程。傳統 Excel 式評估耗時且容易產生缺口。導入具備持續監控功能的自主評估系統，能即時發現並分析供應商弱點，達成全面的法規遵循與安全管理。
第六，導入自主式法規遵循管理。AI 驅動的法規遵循平台能持續依據 GDPR、HIPAA、ISO 27001 等標準評估客戶環境，偵測缺口並生成稽核報告，確保即時合規並減少人工負擔。
第三方資料外洩已不再是個別事件，而是形塑資安風險管理未來的重大趨勢。對 MSSP 而言，這既是嚴峻挑戰，也是服務升級的契機。採用主動式第三方風險管理策略的業者，不僅能有效降低客戶風險暴露，更能在競爭激烈的市場中取得顯著優勢。在供應鏈攻擊威脅持續升溫的環境下，能夠提供完整外部威脅可視性與智慧化風險管理的 MSSP，將成為客戶最值得信賴的安全夥伴。
本文轉載自 MSSPAlert。