Supply Chain Attacks: hoe je bedrijf kwetsbaar kan zijn voor aanvallen via leveranciers

Elke organisatie en bedrijf gebruikt producten en diensten van toeleveranciers. Deze toeleverancier maakt ook weer gebruik van andere toeleveranciers en zo ontstaat een wereldwijd web van verbanden. Dit noemen we de toeleveranciers-keten of de “supply-chain”. Ook jouw bedrijf is afhankelijk van toeleveranciers.

Als een leverancier niet meer kan leveren, komt wellicht jouw productie of dienstverlening in gevaar. Naast de fysieke/financiële afhankelijkheid, zijn klanten en toeleveranciers ook digitaal met elkaar verbonden. Dat maakt samenwerken makkelijker, maar creëert ook afhankelijkheden.

Deze afhankelijkheid vergroot het risico van een specifiek type cyberaanval: de supply chain attack, ofwel een aanval op de toeleveringsketen. Maar wat zijn supply chain attacks precies, welke soorten digitale supply-chain risico’s zijn er en hoe kunnen bedrijven zich hiertegen beschermen?

Wat is een Supply Chain Attack?

Deze aanvallen richten zich op de digitale keten van leveranciers en partners. Bedrijven worden kwetsbaar wanneer een toeleverancier of IT-partner wordt getroffen, wat leidt tot risico’s voor de beschikbaarheid, integriteit en vertrouwelijkheid van bedrijfsprocessen. Een voorbeeld hiervan was de cyberaanval op een containerterminal in Rotterdam, die miljoenen euro's aan schade veroorzaakte.

Vier risicoscenario's:

Er zijn meerdere soorten digitale supply chain risico’s die jouw organisatie kunnen aantasten:

1) Toeleverancier valt uit door een cyberaanval

Leveranciers die geraakt worden, kunnen hun producten of diensten niet meer leveren, wat gevolgen heeft voor de hele keten.

Voorbeeld: De “kaashack”, waarbij de logistieke partij Bakker getroffen was door een ransomware-aanval waardoor er geen kaas meer geleverd kon worden aan de Albert Heijn.

2) Toeleverancier gehackt waarbij data van meerdere bedrijven zijn gestolen

Misschien heb jij het wel goed beveiligd maar de leverancier die jouw klantcommunicatie doet, en dus gevoelige persoonsgegevens opslaat van jouw bedrijf, misschien niet.

Voorbeeld: Dit gebeurde dit jaar, 2024, bij het bedrijf AddComm dat klantcommunicatie doet voor o.a. ABN Amro, Eneco, Essent, Vattenfall, een aantal waterschappen, woningbouwcorporaties en Regionale Belasting Groep (RBG).

3) ICT-dienstverlener is gehackt

Via de dienstverlener kunnen hackers toegang krijgen tot het netwerk van het bedrijf.

Voorbeeld: Vijf Limburgse gemeenten die gehackt werden via een softwareleverancier: het administratiesysteem waarbij aanvragen voor bijstandsuitkeringen en energietoeslagen werden verwerkt.

4) Kritieke kwetsbaarheden in software

Een veiligheidslek in een veelgebruikte applicatie kan de hele organisatie in gevaar brengen.

Voorbeeld: de bekende SolarWinds- hack die door spionagemalware werd getroffen en de bekende Kaseya-hack waarbij ransomware wordt verspreid. Alle bedrijven die het softwareprogramma Kaseya gebruikte, die IT- en beveiligingsbeheeroplossingen levert, konden gehackt worden via een kwetsbaarheid in het softwareprogramma Kaseya geinfecteerd worden met ransomware. Er zijn ongeveer 800 tot 1500 slachtoffers van deze aanval. Dit gebeurde ook bij het Nederlands bedrijf Hoppenbrouwers-techniek.

Waarom Supply Chain Attacks zo gevaarlijk zijn

Supply chain attacks zijn complex en gevaarlijk om verschillende redenen:

1. Moeilijk te detecteren: Omdat de aanval via een vertrouwde leverancier komt, worden verdachte activiteiten vaak niet direct opgemerkt.
2. Brede impact: Door één kwetsbaarheid bij de leverancier kunnen tientallen, honderden of zelfs duizenden bedrijven worden getroffen.
3. Toegang tot gevoelige data: Supply chain attacks richten zich vaak op gevoelige gegevens of bedrijfsgeheimen, wat kan leiden tot financiële schade en reputatieschade.

Beschermingsmaatregelen tegen Supply Chain Attacks

Hoewel het lastig is om alle risico’s uit te sluiten, kunnen bedrijven wel maatregelen nemen om de kans op een succesvolle supply chain attack te verkleinen. Enkele belangrijke stappen:

• Grondige selectie van leveranciers: Controleer grondig de beveiligingsmaatregelen van je leveranciers en kies voor partners met een bewezen staat van dienst in cybersecurity.
• Contractuele afspraken over security: Maak afspraken over beveiliging in de contracten met leveranciers en leg vast welke verantwoordelijkheden de leverancier heeft bij een cyberincident.
• Zero Trust-beleid: Dit principe houdt in dat geen enkele gebruiker of systeem automatisch vertrouwd wordt. Dit zorgt ervoor dat leveranciers en derde partijen beperkte toegang hebben tot systemen en data.
• Regelmatige audits en monitoring: Controleer regelmatig de toegang van externe partijen tot je systemen en voer audits uit om zeker te zijn dat hun beveiliging op orde is.
• Multi-factor authenticatie (MFA): Multi-factor authenticatie maakt het voor hackers moeilijker om met gestolen inloggegevens binnen te komen, zelfs via een gecompromitteerde leverancier.
• Monitoring van updates en patches: Beheer software-updates zorgvuldig en installeer deze niet automatisch. Voer waar mogelijk eerst tests uit om de veiligheid te verifiëren.

NIS2-richtlijn

Deze EU-richtlijn verplicht cruciale organisaties om hun keten te beveiligen en passende maatregelen te treffen om hun diensten en informatie te beschermen. Aanbevolen acties vanuit de NIS2:

• Ketengesprekken voeren: Ga in gesprek met toeleveranciers over hun cybersecuritypraktijken.
• Cyberweerbaarheid meenemen in inkoopprocedures: Zorg dat beveiliging en continuïteit worden meegenomen bij de aankoop van producten en diensten.
• Back-ups maken en testen: Regelmatige back-ups van kritieke systemen, inclusief oefeningen voor herstel.
• Eigen verantwoordelijkheid nemen: Implementeer basismaatregelen voor cybersecurity om risico's richting klanten te minimaliseren.

Door bovenstaande stappen te volgen, vergroot je de digitale weerbaarheid binnen je eigen organisatie én binnen de keten als geheel. Dit beperkt niet alleen de kans op incidenten, maar versterkt ook het vertrouwen en de continuïteit van de hele keten.

Vooruitblik: blijvend alert zijn op Supply Chain Threats

Supply chain attacks vormen een blijvende dreiging die in complexiteit blijft toenemen. Naarmate bedrijven steeds meer werken met externe partners en cloudgebaseerde diensten, wordt de beveiliging van de toeleveringsketen een essentieel onderdeel van bedrijfsbeveiliging.

Door als bedrijf alert te blijven, partners te screenen, en preventieve maatregelen te nemen, kun je de kans verkleinen dat jouw organisatie slachtoffer wordt van deze complexe en schadelijke aanvallen.