惡意駭客利用開源軟體進行供應鏈攻擊 開源社群成為代罪羊

駭客攻擊手法與入侵型態日趨多元，在企業網路橫行多年的APT攻擊也逐步將場域轉移至供應鏈安全上，其中又以開源軟體安全問題最容易被資安團隊忽略，所以更受駭客青睞。著名的開源碼專案GitHub便曾被駭客鎖定，直接將惡意程式植入開源專案中，讓所有引用開源碼的開發人員無意間成了為駭客建立後門程式的幫手，這些含有後門程式的產品上市後，便會散布在家用網路、企業網路、關鍵基礎設施等，直接讓駭客擴大攻擊場域。對產品製造商而言，隨之而來的就是修補弱點工作，甚至會有金錢與商譽的損失。

其實上述的狀況只要可以在產品上市前，將資安意識提前至開發過程中執行便可以避免；其中一個最經濟實惠的方式，是在開發期間，藉由自動化工具找出第三方開放源始碼套件弱點，管理並修補發現的弱點，才能避免成為供應鏈中的安全破口，降低弱點被利用的風險。