De ce atacurile asupra lanțului de aprovizionare determină adoptarea unor noi reglementări în domeniul securității cibernetice

Atacurile asupra lanțului de aprovizionare au devenit una dintre cele mai perturbatoare și costisitoare forme de risc cibernetic. Un singur furnizor compromis poate expune la risc sute sau chiar mii de organizații, inclusiv pe cele cu un sistem solid de securitate internă. Această schimbare în dinamica amenințărilor este unul dintre principalele motive pentru care reglementări precum DORA și NIS2 pun un accent mult mai mare pe gestionarea riscurilor asociate terților, pe reziliența operațională și pe supravegherea bazată pe dovezi. Autoritățile de reglementare răspund la o realitate simplă: reziliența organizațiilor este limitată de veriga cea mai slabă din lanțul lor de aprovizionare.

Mai jos sunt prezentate patru atacuri asupra lanțului de aprovizionare bine documentate, care, împreună, ilustrează motivul pentru care gestionarea structurată a riscurilor nu mai este o opțiune, indiferent de dimensiunea companiei:

• MOVEit Transfer (2023): peste 2.600 de organizații și 90 de milioane de persoane au fost afectate de o singură vulnerabilitate de tip „zero-day” dintr-un instrument de transfer de fișiere utilizat pe scară largă
  

• Kaseya VSA (2021): un ransomware s-a răspândit la aproximativ 1.500 de întreprinderi prin intermediul unei platforme de gestionare la distanță compromisă, utilizată de furnizorii de servicii gestionate
  

• JBS (2021): cel mai mare furnizor de carne din lume a fost nevoit să-și suspende activitatea în Statele Unite, Australia și Canada în urma unui atac cu ransomware
  

• Jaguar Land Rover (2025): un atac cibernetic direct asupra producătorului a oprit producția timp de aproximativ șase săptămâni, generând pierderi estimate la 485 de milioane de lire sterline într-un singur trimestru
  

Atacul asupra lanțului de aprovizionare al MOVEit Transfer (2023)

Breșă de securitate MOVEit este unul dintre cele mai grave incidente din lanțul de aprovizionare din ultimii ani. MOVEit, un instrument de transfer de fișiere utilizat pe scară largă, a fost compromis printr-o vulnerabilitate de tip „zero-day” necunoscută până atunci. Atacatorii au exploatat această vulnerabilitate pentru a accesa date sensibile deținute de clienții MOVEit din diverse sectoare, printre victimele de renume numărându-se BBC, British Airways, Shell și mai multe agenții federale din SUA. În total, au fost afectate peste 2.600 de organizații, iar numărul persoanelor afectate a depășit 90 de milioane. Avizul CISA privind incidentul rămâne una dintre cele mai cuprinzătoare relatări publice despre modul în care s-a desfășurat atacul.

Ceea ce a făcut ca breșa de securitate MOVEit să fie deosebit de semnificativă este faptul că multe dintre organizațiile afectate dispuneau de măsuri solide de securitate internă. Acestea nu au oferit însă o protecție semnificativă atunci când riscul provenea dintr-un instrument al unei terțe părți. Acesta este exact tipul de eșec în cascadă pe care DORA și NIS2 sunt menite să îl abordeze.

Atacul cu ransomware asupra Kaseya VSA (2021)

Atacul asupra Kaseya este un exemplu clar al modului în care incidentele din lanțul de aprovizionare afectează în mod disproporționat organizațiile mai mici. Kaseya, un furnizor de software de gestionare la distanță pentru furnizorii de servicii gestionate, a fost compromisă prin vulnerabilități ale produsului său VSA. Această breșă de securitate a permis răspândirea rapidă a ransomware-ului către aproximativ 1.500 de întreprinderi din aval, din sectoarele comerțului cu amănuntul, logisticii, producției și serviciilor profesionale. În zilele care au urmat, CISA a emis orientări specifice pentru organizațiile afectate și furnizorii lor de servicii.

Incidentul Kaseya scoate în evidență un aspect esențial: punctele slabe ale terților devin rapid și punctele slabe ale organizației dumneavoastră. Organizațiile mai mici sunt adesea mai expuse, deoarece se bazează în mare măsură pe furnizori externi și nu dispun de resursele necesare pentru a evalua în mod continuu riscurile asociate furnizorilor. Tocmai de aceea, autoritățile de reglementare solicită acum evaluări documentate ale furnizorilor, monitorizare continuă și o responsabilitate clară.

Atacul cu ransomware asupra JBS (2021)

Atacul asupra JBS, cel mai mare furnizor de carne din lume, a demonstrat cât de repede un atac cibernetic poate evolua de la o problemă informatică la o preocupare legată de reziliența națională. Programele de tip ransomware au forțat oprirea operațiunilor în SUA, Australia și Canada, perturbând lanțurile globale de aprovizionare cu alimente și generând costuri semnificative de redresare. Așa cum a raportat Reuters la momentul respectiv, Casa Albă a confirmat că atacul a provenit de la o organizație criminală cu sediul probabil în Rusia, ceea ce a dus la comparații cu incidentul de la Colonial Pipeline, care avusese loc cu doar câteva săptămâni înainte.

Aprovizionarea cu alimente este considerată o infrastructură critică, ceea ce explică de ce autoritățile au consolidat de atunci cerințele privind reziliența, raportarea și gestionarea riscurilor în cadrul unor reglementări precum NIS2.

Atacul cibernetic asupra Jaguar Land Rover (2025)

În august 2025, Jaguar Land Rover a fost ținta unui atac cibernetic direct, care a obligat compania să oprească producția în toate unitățile sale din Marea Britanie pentru aproximativ șase săptămâni. Conform informațiilor publicate de Computer Weekly, compania a înregistrat o pierdere de 485 de milioane de lire sterline în trimestrul în care a avut loc atacul, comparativ cu un profit de 398 de milioane de lire sterline în aceeași perioadă a anului precedent. Costul economic global pentru Marea Britanie a fost estimat la 1,5 miliarde de lire sterline. Mii de angajați au fost trimiși acasă, furnizorii au întâmpinat dificultăți în a-și primi plățile, iar efectele în lanț s-au propagat de-a lungul întregului lanț de aprovizionare din industria auto.

Incidentul JLR evidențiază modul în care un atac cibernetic asupra unei singure organizații se poate propaga rapid în întregul ecosistem de furnizori, parteneri și prestatori de servicii logistice — și de ce înțelegerea acestor dependențe reprezintă acum o cerință reglementară, nu doar o bună practică.

De ce aceste incidente sunt importante pentru conformitatea cu NIS2 și DORA

Toate aceste cinci incidente conduc la aceeași concluzie: reziliența cibernetică nu se mai limitează doar la propriile sisteme. Ea depinde de fiecare furnizor și prestator de servicii pe care vă bazați. Conform DORA și NIS2, organizațiile trebuie să identifice și să evalueze furnizorii terți, să documenteze și să monitorizeze riscurile din lanțul de aprovizionare, să asigure continuitatea chiar și atunci când un furnizor este compromis și să mențină procese clare și dovezi ale supravegherii. Acestea sunt domenii în care multe organizații se confruntă cu dificultăți, în special cele care nu dispun de echipe dedicate de conformitate sau de securitate.

Cum contribuie Trustlinks la gestionarea riscurilor din lanțul de aprovizionare

Gestionarea riscurilor din lanțul de aprovizionare reprezintă unul dintre cele mai exigente aspecte ale conformității cu DORA și NIS2. Trustlinks este conceput pentru a aduce structură și claritate în fața acestei provocări, oferind fluxuri de lucru ghidate pentru evaluarea riscurilor furnizorilor, documentație centralizată, mementouri automate pentru revizuiri și reînnoiri, precum și cerințe de reglementare corelate direct cu acțiunile pe care organizația dumneavoastră trebuie să le întreprindă. O singură platformă, supraveghere completă, întotdeauna pregătită pentru audit.