Supply chain attack adalah serangan di mana penyerang mengeksploitasi pihak ketiga atau layanan eksternal yang digunakan oleh target untuk menyusup ke sistem atau jaringan target tersebut. Serangan ini sering disebut juga value-chain attack atau third-party attack.

Secara tidak langsung, serangan ini menargetkan ketergantungan pihak ketiga yang mungkin tidak disadari oleh organisasi atau target utama. Misalnya, dalam e-commerce, sebuah ketergantungan pihak ketiga dapat berupa kode JavaScript yang menjalankan chatbot atau melacak aktivitas pengunjung. Ratusan hingga ribuan ketergantungan seperti ini dapat ditemukan di berbagai perangkat lunak dan layanan yang digunakan organisasi untuk menjaga operasionalnya.

Bagaimana Supply Chain Attack Dilakukan?

Serangan supply chain melibatkan dua tahap:

1. Upstream Attack – Penyerang pertama-tama harus mendapatkan akses ke sistem, aplikasi, atau alat dari pihak ketiga. Ini bisa dilakukan dengan mencuri kredensial, mengeksploitasi celah keamanan perangkat lunak, atau memanfaatkan akses sementara vendor ke jaringan target.
2. Downstream Attack – Setelah menyusup, penyerang menyuntikkan kode berbahaya ke dalam alat atau perangkat lunak pihak ketiga. Saat pelanggan atau target mengunduh pembaruan dari sumber terpercaya tersebut, malware akan diinstal di perangkat mereka tanpa disadari. Contoh terkenal dari serangan ini adalah SolarWinds Attack tahun 2020, di mana malware menyebar melalui pembaruan perangkat lunak ke 18.000 pelanggan.

Jenis-Jenis Supply Chain Attack

1. Serangan Berbasis Browser
   • Menargetkan ekstensi browser atau pustaka JavaScript, memanfaatkan kode berbahaya yang dieksekusi di perangkat pengguna saat mereka memuat halaman web.
2. Serangan pada Pembaruan Perangkat Lunak
   • Penyerang menyamarkan malware dalam pembaruan perangkat lunak, seperti dalam kasus serangan SolarWinds. Pengguna mengunduh pembaruan ini secara otomatis, membuka akses bagi malware untuk menyusup.
3. Serangan Open-Source
   • Memanfaatkan celah keamanan dalam kode sumber terbuka. Karena banyak perusahaan menggunakan kode open-source, penyerang dapat menambahkan malware tanpa terdeteksi dan menyusup ke sistem korban.
4. Serangan Magecart
   • Menyuntikkan kode JavaScript berbahaya ke formulir pembayaran di situs web e-commerce untuk mencuri informasi kartu kredit. Ini juga disebut sebagai formjacking.
5. Watering Hole Attack
   • Menargetkan situs web populer atau yang sering dikunjungi banyak orang. Penyerang menyusup ke situs tersebut dan menyebarkan malware kepada pengunjung yang tidak menyadarinya.
6. Cryptojacking
   • Penyerang menyusupkan kode berbahaya untuk menambang cryptocurrency menggunakan sumber daya komputasi korban, baik melalui situs web, unduhan perangkat lunak, atau phishing.

Cara Melindungi Diri dari Supply Chain Attack

1. Evaluasi Risiko Vendor Pihak Ketiga
   • Uji perangkat lunak pihak ketiga sebelum digunakan.
   • Terapkan Content Security Policy (CSP) untuk membatasi sumber daya yang dapat dijalankan oleh browser.
   • Gunakan Subresource Integrity (SRI) untuk memverifikasi integritas JavaScript dari sumber eksternal.
2. Implementasi Zero Trust Security Model
   • Dalam model Zero Trust, setiap pengguna dan perangkat, baik dari dalam maupun luar jaringan, harus diverifikasi secara berkala.
   • Dengan validasi dan pemantauan berkelanjutan, serangan yang memanfaatkan kredensial curian dapat dibatasi.
3. Gunakan Alat Pencegahan Malware
   • Gunakan perangkat lunak antivirus dan pemindai malware untuk mendeteksi kode berbahaya sebelum dijalankan.
4. Adopsi Browser Isolation
   • Dengan isolasi browser, kode web dieksekusi dalam sandbox sebelum mencapai perangkat pengguna, mencegah malware menyebar.
5. Deteksi Shadow IT
   • Shadow IT adalah perangkat lunak atau layanan yang digunakan karyawan tanpa persetujuan tim IT. Gunakan Cloud Access Security Broker (CASB) untuk memantau aplikasi yang tidak terdaftar dan memeriksa keamanannya.
6. Aktifkan Patching dan Deteksi Kerentanan
   • Perbarui perangkat lunak dan aplikasi secara rutin untuk menutup celah keamanan. Identifikasi dan tambal setiap kerentanan yang ditemukan.
7. Mencegah Zero-Day Exploits
   • Gunakan firewall dan alat isolasi browser untuk mencegah eksploitasi zero-day, yaitu celah keamanan yang belum terdeteksi atau belum diperbaiki.
     Contoh: Pada 2021, kerentanan zero-day ditemukan dalam pustaka open-source Log4j, memungkinkan penyerang mengendalikan jutaan perangkat dan meluncurkan serangan tambahan seperti ransomware dan cryptojacking.

Serangan supply chain semakin sering terjadi dan menimbulkan tantangan besar bagi organisasi karena kompleksitasnya. Ketergantungan pada pihak ketiga membuka peluang bagi penyerang untuk menyusup melalui jalur yang tidak terlihat langsung. Seperti dalam kasus serangan SolarWinds dan Log4j, serangan ini membuktikan bahwa setiap celah dalam rantai pasokan dapat berakibat fatal bagi keamanan perusahaan.

Menurut pakar keamanan siber, evaluasi risiko yang komprehensif terhadap vendor dan alat pihak ketiga adalah langkah pertama untuk mengurangi risiko. Penerapan Zero Trust dan pemantauan berkelanjutan sangat direkomendasikan untuk membatasi dampak serangan. Selain itu, perusahaan perlu memastikan bahwa mereka selalu memperbarui sistem dan melatih karyawan untuk mengidentifikasi potensi ancaman.

Meskipun pencegahan total tidak mungkin, kombinasi strategi proaktif ini dapat mengurangi risiko dan meminimalkan dampak dari serangan supply chain, menjaga integritas sistem dan data organisasi.