ניתוח אירוע: מתקפת SolarWinds — כשהעדכון עצמו היה הנשק

מתקפת SolarWinds (שכונתה SUNBURST) נחשבת לאחת ממתקפות שרשרת האספקה המתוחכמות בהיסטוריה.

מה קרה?

תוקפים (מיוחסים לקבוצה מדינתית) חדרו לצינור הבנייה (build pipeline) של חברת SolarWinds והשתילו דלת אחורית בתוך עדכון חתום ורשמי של מוצר הניטור Orion. כש-~18,000 לקוחות התקינו את העדכון — הם התקינו בעצמם את הנוזקה.

הערמומיות

• העדכון היה חתום דיגיטלית ונראה לגיטימי לחלוטין.
• הנוזקה "ישנה" שבועיים לפני שהתעוררה, והתחזתה לתעבורה רגילה של Orion.
• היא בחרה מטרות בקפידה — לא תקפה את כולם.

🔍 תובנות / מה למדנו

1. "מהימן" זו לא ערובה. אם תוכנה מאושרת יכולה להיות נשק — צריך לנטר גם אותה. זה בדיוק הרעיון של Zero Trust.
2. צינור ה-CI/CD הוא נכס קריטי. מי ששולט בבנייה שולט במוצר. הקשחת ה-pipeline = הקשחת המוצר.
3. זיהוי לפי התנהגות > חתימות. חתימת קוד תקינה לא עצרה את זה; מה שתפס היה התנהגות רשת חריגה.
4. פגיעה אחת, אלפי קורבנות. זו הסיבה שתוקפים אוהבים שרשרת אספקה — אפקט מכפיל.

הלקח: בעולם מודרני, אתם בוטחים בעשרות ספקים. כל אחד מהם הוא דלת — שמישהו צריך לשמור.