Un attacco alla supply chain del software prende di mira il percorso affidabile usato per compilare, firmare, impacchettare o distribuire il software invece di attaccare direttamente un endpoint. L'obiettivo è inserire codice malevolo in qualcosa di cui utenti e sistemi si fidano già, come un server di aggiornamento, una pipeline di build, un repository di pacchetti o un programma di installazione.
Questo è importante perché la fiducia può aggirare le difese normali. Gli strumenti di sicurezza possono consentire aggiornamenti firmati e gli amministratori possono considerare il traffico del fornitore come sicuro. Gli aggressori sfruttano questa fiducia per diffondere malware, rubare credenziali o compromettere molti sistemi contemporaneamente. I difensori riducono il rischio con la firma del codice, l'isolamento della build, un controllo rigoroso degli accessi, verifiche di integrità e un attento monitoraggio del comportamento degli aggiornamenti. Qualsiasi modifica imprevista in un pacchetto del fornitore, in un artefatto di build o nel flusso di aggiornamento dovrebbe essere considerata sospetta fino a verifica.