Serangan Rantai Pasok: Cara Kerja, 8 Contoh Nyata, dan Cara Mencegahnya
CyberRank Research
Serangan rantai pasok adalah serangan siber yang membobol pemasok, produk, atau layanan tepercaya untuk menjangkau pelanggan pemasok tersebut. Alih-alih membobol setiap target secara langsung, penyerang memanipulasi sesuatu yang sudah dipercaya target, seperti pembaruan perangkat lunak, paket open source, koneksi layanan terkelola, atau platform transfer file, lalu membiarkan kepercayaan itu membawa serangan ke hilir. CyberRank membantu pembeli melihat kondisi dari luar yang dimanfaatkan serangan ini, seperti perangkat lunak rentan yang terekspos, kredensial bocor, dan riwayat insiden, di seluruh pemasok, dinilai ulang setiap malam.
Intisari
- Serangan rantai pasok menyalahgunakan kepercayaan: pembaruan bertanda tangan, paket populer, alat layanan terkelola, dan platform bersama.
- ENISA menemukan bahwa sekitar 62% serangan yang dianalisis memanfaatkan kepercayaan pelanggan kepada pemasoknya, dan sekitar 66% menyasar kode milik pemasok.
- Kasus terkenal (SolarWinds, Kaseya, MOVEit, 3CX, XZ Utils, Shai-Hulud) masing-masing mengajarkan pelajaran kontrol yang berbeda.
- Pencegahan adalah tanggung jawab bersama: pembeli mendata dan menetapkan tingkat pemasok, memverifikasi apa yang dipasang, membatasi akses vendor, dan memantau perubahan; vendor mengamankan jalur build dan rilisnya.
- CyberRank memberi pembeli pandangan independen dari luar: menilai setiap pemasok dari sinyal publik, memetakan pemasok milik mereka, dan menilai ulang vendor yang dipantau setiap malam sehingga vendor yang baru terekspos cepat terlihat.
Apa itu serangan rantai pasok?
ENISA menggambarkan serangan rantai pasok sebagai gabungan sedikitnya dua serangan: satu terhadap pemasok, lalu satu terhadap pelanggan pemasok tersebut, menggunakan akses yang diperoleh dari serangan pertama. Pemasok jarang menjadi target akhir; pemasok adalah sarana pengirimnya.
NIST mendefinisikan kompromi rantai pasok TIK sebagai kejadian ketika penyerang membahayakan kerahasiaan, integritas, atau ketersediaan sebuah sistem atau informasinya, dan mencatat bahwa hal ini dapat terjadi di mana saja dalam siklus pengembangan sistem (NIST SP 800-161).
Serangan rantai pasok adalah bentuk paling tajam dari risiko pihak ketiga, sebagaimana dijelaskan secara rinci dalam artikel kami tentang manajemen risiko pihak ketiga.
Mengapa serangan rantai pasok berhasil?
Serangan rantai pasok berhasil karena pelanggan memang dirancang untuk menerima apa yang dikirim pemasok tepercaya.
Pembaruan bertanda tangan lolos pemeriksaan endpoint, integrasi SaaS yang disetujui memegang akses permanen, dan dependensi datang otomatis lewat package manager. Analisis ENISA terhadap 24 serangan antara Januari 2020 dan awal Juli 2021 menemukan:
| Temuan (ENISA, 2021) | Porsi |
|---|---|
| Serangan terhadap pelanggan yang memanfaatkan kepercayaan mereka kepada pemasok | Porsisekitar 62% |
| Insiden ketika penyerang menyasar kode milik pemasok | Porsisekitar 66% |
| Serangan yang menggunakan malware sebagai teknik | Porsisekitar 62% |
| Serangan yang menyasar data pelanggan (termasuk data pribadi dan kekayaan intelektual) | Porsisekitar 58% |
| Pemasok yang tidak tahu, atau tidak melaporkan, bagaimana mereka dibobol | Porsisekitar 66% |
Mengapa pandangan independen terhadap pemasok penting
Jika dua dari tiga pemasok yang dibobol tidak dapat menjelaskan bagaimana mereka dibobol, pembeli tidak bisa hanya mengandalkan laporan pemasok. Itulah celah yang ingin ditutup CyberRank: pandangan independen dari luar terhadap postur setiap pemasok yang tidak bergantung pada apa pun yang dilaporkan pemasok kepada Anda.
Apa saja jenis serangan rantai pasok?
Jenis utamanya menyasar build dan pembaruan perangkat lunak, paket open source, alat layanan terkelola, platform bersama, rantai pasok lain (serangan berantai), dan akses pihak ketiga.
| Jenis | Cara kerja | Contoh | Bagaimana CyberRank membantu |
|---|---|---|---|
| Build dan pembaruan perangkat lunak | Cara kerjaKode berbahaya disisipkan ke proses build atau pembaruan vendor dan dikirim sebagai rilis bertanda tangan | ContohSolarWinds Orion | Bagaimana CyberRank membantuTidak dapat melihat ke dalam server build; tingkat dampak dan tampilan pihak keempat menunjukkan vendor kritis mana yang harus dihubungi lebih dulu |
| Paket dan dependensi open source | Cara kerjaVersi berbahaya sebuah paket diterbitkan ke registry publik dan ditarik ke build di hilir | ContohXZ Utils, Shai-Hulud (npm) | Bagaimana CyberRank membantuSinyal kerentanan pada sistem vendor yang menghadap internet menunjukkan di mana perangkat lunak rentan terekspos setelah diungkapkan |
| Layanan terkelola dan manajemen jarak jauh | Cara kerjaPenyerang menyalahgunakan alat administrasi penyedia untuk menjangkau setiap pelanggan | ContohKaseya VSA | Bagaimana CyberRank membantuMemindai domain utama dan minimal 50 subdomain setiap vendor untuk layanan rentan yang terekspos |
| Kerentanan platform bersama | Cara kerjaCelah pada produk yang banyak dipakai dieksploitasi di seluruh basis pelanggannya | ContohMOVEit Transfer | Bagaimana CyberRank membantuPenilaian ulang setiap malam memberi daftar awal vendor yang terekspos ketika celah diungkapkan |
| Rantai pasok berantai (cascading) | Cara kerjaSatu kompromi rantai pasok dipakai untuk meluncurkan kompromi lain | Contoh3CX melalui X_Trader | Bagaimana CyberRank membantuMemetakan pihak keempat dan menggabungkan risiko rantai pasok pada jarak 1 dan 2 |
| Akses pihak ketiga | Cara kerjaKredensial vendor yang dicuri dipakai untuk masuk ke jaringan pelanggan | ContohTarget melalui kontraktor HVAC | Bagaimana CyberRank membantuMemeriksa setiap vendor untuk kredensial staf yang bocor dan memunculkan event ketika ada yang baru |
Apa saja 8 contoh nyata serangan rantai pasok?
Target, SolarWinds, Kaseya, Toyota, MOVEit, 3CX, XZ Utils, dan Shai-Hulud adalah contoh serangan rantai pasok yang paling sering dikutip, dan masing-masing mengajarkan pelajaran kontrol yang berbeda. Kolom terakhir menunjukkan apa yang akan terlihat oleh pembeli di CyberRank untuk setiap kasus.
| Insiden | Tahun | Vektor | Apa yang terjadi | Pelajaran | Bagaimana CyberRank membantu |
|---|---|---|---|---|---|
| Target | Tahun2013 | VektorKredensial vendor | Apa yang terjadiPenyerang memakai kredensial yang dicuri dari kontraktor pendingin dan HVAC untuk masuk ke jaringan Target dan mencapai sistem pembayaran | PelajaranBatasi dan segmentasikan akses jaringan vendor | Bagaimana CyberRank membantuPemeriksaan kredensial bocor per vendor menandai pemasok yang kredensial stafnya terekspos, pintu masuk yang dipakai di sini |
| SolarWinds Orion | Tahun2020 | VektorBuild perangkat lunak | Apa yang terjadiKode berbahaya disisipkan ke pembaruan Orion yang ditandatangani dan didistribusikan ke pelanggan; SolarWinds memperkirakan kurang dari 18.000 pelanggan memasang versi terdampak | PelajaranTanda tangan yang sah tidak membuktikan build yang bersih | Bagaimana CyberRank membantuTidak ada alat outside-in yang bisa melihat ke dalam server build; tingkat dampak dan pemetaan pihak keempat menunjukkan vendor kritis mana yang harus dihubungi lebih dulu setelah kompromi diungkapkan |
| Kaseya VSA | Tahun2021 | VektorAlat layanan terkelola | Apa yang terjadiKerentanan pada platform manajemen jarak jauh yang dipakai penyedia layanan terkelola dieksploitasi untuk menyebarkan ransomware ke bisnis di hilir | PelajaranSatu alat MSP dapat menjangkau banyak perusahaan kecil sekaligus | Bagaimana CyberRank membantuMemindai domain utama dan minimal 50 subdomain setiap vendor untuk perangkat lunak rentan yang menghadap internet, diperiksa ulang setiap malam untuk vendor yang dipantau |
| Toyota dan Kojima Industries | Tahun2022 | VektorGangguan pemasok | Apa yang terjadiToyota menghentikan operasi pabrik domestiknya selama sehari setelah pemasok suku cadang terkena dugaan serangan siber | PelajaranKetergantungan operasional juga merupakan risiko rantai pasok | Bagaimana CyberRank membantuMenggabungkan rating setiap vendor dengan tingkat dampak Anda, sehingga pemasok kritis dengan postur lemah menonjol di heat map |
| MOVEit Transfer | Tahun2023 | VektorZero-day platform bersama | Apa yang terjadiZero-day SQL injection pada produk managed file transfer dieksploitasi untuk pencurian data massal di seluruh penggunanya | PelajaranPlatform transfer file dan integrasi memusatkan risiko | Bagaimana CyberRank membantuPenilaian ulang setiap malam dan event kebocoran baru memberi daftar awal vendor terdampak, seperti dalam analisis PHP2Shell kami |
| 3CX | Tahun2023 | VektorKompromi berantai | Apa yang terjadiAplikasi trading bertrojan yang dipasang seorang karyawan menyebabkan perangkat lunak desktop 3CX yang bertanda tangan ikut dipersenjatai | PelajaranPemasok dari pemasok Anda dapat memulai rantainya | Bagaimana CyberRank membantuMenampilkan pemasok milik vendor Anda (pihak keempat) beserta rating dan menggabungkan risiko rantai pasok pada jarak 1 dan 2 |
| XZ Utils | Tahun2024 | VektorPengelola open source | Apa yang terjadiBackdoor disisipkan ke pustaka kompresi yang banyak dipakai setelah rekayasa sosial jangka panjang terhadap proyeknya; berhasil ditemukan sebelum rilis luas | PelajaranKepercayaan pada pengelola adalah permukaan serangan | Bagaimana CyberRank membantuPemeriksaan outside-in tidak bisa melihat ke dalam pustaka open source; setelah diungkapkan, sinyal kerentanan membantu menunjukkan vendor mana yang mungkin mengekspos perangkat lunak rentan |
| Shai-Hulud (npm) | Tahun2025 | VektorWorm paket yang mereplikasi diri | Apa yang terjadiCISA melaporkan worm yang membobol lebih dari 500 paket npm dengan masuk sebagai developer yang telah dibobol dan menerbitkan versi berbahaya | PelajaranRotasi kredensial developer, kunci versi, wajibkan MFA tahan phishing | Bagaimana CyberRank membantuPemeriksaan kredensial bocor menandai vendor yang kredensial stafnya muncul dalam kebocoran yang diketahui, jenis akses yang disalahgunakan worm ini |
Bagaimana cara mencegah serangan rantai pasok?
Tidak ada satu kontrol pun yang menghentikan serangan rantai pasok. Pencegahan dan mitigasinya berarti menerapkan manajemen risiko rantai pasok siber di sepanjang hubungan, seperti yang direkomendasikan CISA dan NIST: kenali pemasok kritis, nilai dan pantau mereka selama hubungan berlangsung, dan rencanakan seluruh siklusnya.
Jika Anda membeli perangkat lunak dan layanan
- Data dan tetapkan tingkat pemasok Anda. Anda tidak bisa melindungi diri dari sesuatu yang tidak Anda ketahui. Urutkan pemasok menurut apa yang berhenti jika mereka gagal dan data apa yang mereka pegang.
- Nilai sebelum onboarding, lalu terus awasi. Gunakan penilaian outside-in untuk gambaran awal dan kuesioner untuk kontrol yang tidak terlihat. Periksa ulang vendor kritis ketika ada berita kerentanan atau insiden baru.
- Batasi akses permanen. Berikan vendor akses dengan hak minimum dan berbatas waktu, dengan MFA; tinjau integrasi OAuth dan API secara berkala, karena akses yang diberikan saat onboarding cenderung bertahan lebih lama dari kebutuhannya.
- Verifikasi apa yang Anda pasang. Periksa tanda tangan dan hash, minta SBOM untuk perangkat lunak kritis, dan kunci versi dependensi.
- Segmentasi dan pantau. Batasi ke mana perangkat lunak vendor boleh terhubung dan beri peringatan untuk lalu lintas keluar yang tidak terduga dari alat tepercaya.
- Rencanakan kegagalan pemasok. Tulis langkah failover untuk perangkat lunak kritis dan libatkan pemasok utama dalam latihan insiden (NIST CSF 2.0 GV.SC-08).
Jika Anda memasok perangkat lunak dan layanan
- Perkuat jalur build. Lindungi repositori kode, sistem build, dan kunci penandatanganan setidaknya sekuat lingkungan produksi.
- Publikasikan bukti integritas. Sediakan hash, rilis bertanda tangan, dan SBOM agar pelanggan dapat memverifikasi apa yang mereka terima.
- Kelola pemasok Anda sendiri. Terapkan due diligence yang sama pada dependensi dan subprosesor Anda seperti yang diterapkan pelanggan kepada Anda.
- Ungkapkan dengan cepat dan jelas. Sampaikan kepada pelanggan apa yang terjadi, apa yang terdampak, dan apa yang harus mereka lakukan.
Peran CyberRank dalam pencegahan
Setiap langkah pembeli di atas terpetakan ke fitur CyberRank, dan Anda bisa mulai hari ini dengan security rating CyberRank gratis untuk pemasok mana pun:
- Data dan tetapkan tingkat: tambahkan setiap pemasok lewat domain atau nama perusahaan dan beri tingkat dampak; heat map menampilkan pemasok yang kritis tetapi lemah lebih dulu.
- Nilai dan terus awasi: rating AAA–D dalam hitungan menit, lalu penilaian ulang setiap malam dengan event untuk perubahan rating, kebocoran data baru, dan perubahan kebijakan privasi.
- Batasi akses permanen: pemeriksaan kredensial bocor menunjukkan pemasok mana yang kredensial stafnya terekspos, sehingga Anda tahu akses siapa yang perlu ditinjau lebih dulu.
- Verifikasi apa yang Anda pasang: di luar cakupan CyberRank. Gunakan tanda tangan, hash, dan SBOM untuk langkah ini.
- Pemasok dari pemasok Anda: CyberRank memetakan pihak keempat beserta rating-nya, sehingga serangan berantai seperti 3CX tidak dimulai sepenuhnya tanpa terlihat.
Apa yang bisa ditunjukkan penilaian outside-in tentang risiko rantai pasok?
Penilaian outside-in tidak dapat melihat ke dalam server build vendor. Penilaian ini dapat menunjukkan kondisi yang membuat vendor lebih mudah dibobol dan lebih lambat merespons.
Kondisi tersebut mencakup perangkat lunak yang menghadap internet yang terekspos dan usang, kerentanan yang diketahui pada subdomain, DMARC yang lemah atau tidak ada, kredensial karyawan yang bocor, riwayat insiden, serta penyedia lain yang menjadi tumpuan vendor. Sinyal-sinyal itu membantu Anda memutuskan vendor mana yang perlu ditanyai lebih dulu ketika insiden rantai pasok baru terjadi.
Apa yang bisa dan tidak bisa dilakukan deteksi dari luar dijelaskan secara rinci dalam artikel kami tentang mendeteksi serangan rantai pasok dari luar vendor.
Bagaimana CyberRank membantu
CyberRank menilai vendor dari sinyal publik, mencakup domain utama dan minimal 50 subdomain, ditambah kerentanan, keamanan email, kredensial yang bocor, kebocoran data, sertifikasi, dan pemasok milik vendor itu sendiri (pihak keempat). Vendor yang dipantau dinilai ulang setiap malam, dan CyberRank memunculkan event ketika rating berubah, kebocoran data baru muncul, atau kebijakan privasi berubah.
Ketika celah yang dieksploitasi secara luas diungkapkan, hal itu memberi Anda daftar awal vendor yang perlu dihubungi. Analisis kami tentang paparan vendor PHP2Shell menunjukkan alur kerja ini dalam praktik.
Kesimpulan
Serangan rantai pasok berhasil karena kepercayaan bergerak lebih cepat daripada verifikasi. Perkecil dampaknya dengan mengetahui pemasok mana yang penting, membatasi apa yang bisa mereka jangkau, memverifikasi apa yang mereka kirim, dan mengawasi perubahan di antara tinjauan. Untuk program di sekitar kontrol ini, mulailah dengan panduan manajemen risiko pihak ketiga kami.
CyberRank menangani bagian pengawasannya: rating independen untuk setiap pemasok, pemasok milik mereka, dan tingkat paparannya, diperbarui setiap malam.
Panduan per sektor: manajemen risiko vendor untuk bank, untuk layanan kesehatan, untuk pemerintah dan BUMN, serta untuk perusahaan terbuka.
Referensi
- ENISA, Threat Landscape for Supply Chain Attacks (2021)
- ENISA, Understanding the increase in Supply Chain Security Attacks (press release)
- CISA and NIST, Defending Against Software Supply Chain Attacks
- CISA, Widespread Supply Chain Compromise Impacting npm Ecosystem (23 September 2025)
- NIST, SP 800-161 Rev. 1 (update 1)
- NIST, CSF 2.0, CSWP 29
Jawaban singkat
Jawaban singkat dan langsung untuk pertanyaan yang muncul dari artikel ini.
Pertanyaan yang sering diajukan
Dapatkan rating keamanan gratis Anda
Jalankan rating keamanan CyberRank gratis untuk organisasi mana pun dan lihat sinyal risiko vendor yang sama seperti yang digunakan pelanggan kami.
Dapatkan rating keamanan gratis Anda