به خطر انداختن زنجیره تأمین

مهاجمان وابستگی‌های نرم‌افزاری و ابزارهای توسعه را به خطر می‌اندازند تا کد مخرب را در محصولات نرم‌افزاری تزریق کنند. این شامل آلوده کردن کتابخانه‌های open-source پرطرفدار در npm، PyPI، Maven یا سایر مخازن است. حمله به وابستگی‌ها می‌تواند هزاران برنامه را که از آن وابستگی استفاده می‌کنند تحت تأثیر قرار دهد.

مهاجمان مکانیزم‌های توزیع و به‌روزرسانی نرم‌افزار را به خطر می‌اندازند تا نرم‌افزار مخرب را به کاربران نهایی تحویل دهند. این شامل دستکاری سرورهای به‌روزرسانی، جایگزینی نرم‌افزار قانونی با نسخه‌های آلوده یا تزریق کد مخرب به فرایند build است. حمله SolarWinds نمونه معروفی از این تکنیک است.

مهاجمان سخت‌افزار را در هر مرحله از زنجیره تأمین، از تولید تا تحویل، به خطر می‌اندازند. این شامل تزریق implant های سخت‌افزاری، دستکاری فریمور، نصب keylogger های سخت‌افزاری یا سایر اصلاحات فیزیکی است. سخت‌افزار به خطر افتاده بسیار دشوار شناسایی می‌شود و می‌تواند دسترسی پایدار ایجاد کند.