O que é um ataque à cadeia de suprimentos de software e como se proteger

Quando o problema vem de um pacote, script ou fornecedor em que você confia. Entenda o risco e as defesas mais comuns.

Quase todo software moderno usa código de terceiros: bibliotecas, pacotes, scripts de análise, widgets de pagamento. Um ataque à cadeia de suprimentos compromete uma dessas peças para atingir quem a usa. O código malicioso chega pelo caminho normal, com a mesma confiança do código legítimo.

Como esses ataques acontecem

Os caminhos mais comuns são a invasão da conta de um mantenedor, a publicação de um pacote com nome parecido com um popular, a alteração de um script servido por um fornecedor e a atualização maliciosa de uma dependência.

Para quem desenvolve

Fixe as versões das dependências com arquivos de lock e revise as atualizações antes de aceitar. Use apenas os pacotes de que precisa e confira o nome exato antes de instalar. Ative a autenticação em dois fatores nas contas de publicação e mantenha chaves e tokens com o mínimo de permissão.

Para sites que carregam scripts de terceiros

Use o atributo de integridade (Subresource Integrity), que faz o navegador recusar um arquivo cujo conteúdo mudou. Configure uma política de segurança de conteúdo (CSP) para limitar de onde scripts podem ser carregados e reduza o número de fornecedores com acesso às páginas sensíveis, como as de pagamento e de login.

Para quem usa o serviço

Você não controla o código do site, mas pode reduzir o estrago: use autenticação forte, leia o que aprova antes de confirmar transações e mantenha o navegador atualizado.