供应链攻击（Supply Chain Attack）

供应链攻击（Supply Chain Attack）是一种「借道」式网络攻击：攻击者不直接进攻最终目标，而是先入侵目标所信任的上游环节——如软件官网、开源依赖库、软件包仓库或更新服务器——把恶意代码混入正常软件，再借用户的主动下载安装完成传播。

概述

现代软件很少从零写起，开发者会引入大量第三方组件，普通用户则习惯从官网或应用商店下载程序。供应链攻击正是利用了这条「信任链」：只要污染链条上游的任意一环，下游成千上万的用户就会在毫不知情的情况下装上带毒软件，常被用来投放间谍软件、后门或窃密木马。

与钓鱼、暴力破解等直接攻击相比，供应链攻击更隐蔽也更高效——受害者下载的是「正版渠道」的软件，杀毒软件和用户警惕心都容易被绕过。历史上的 XcodeGhost 事件（污染开发工具影响大量 App）、SolarWinds 事件（污染企业软件更新包）以及 xz 开源组件后门事件，都是典型案例。

常见攻击方式

• 污染官网下载：入侵知名软件的官网服务器，篡改供用户下载的安装包或源代码。
• 投毒软件包仓库：向 npm、PyPI、RubyGems 等开发者常用的包仓库上传恶意包，或接管废弃的老包，安装时即触发恶意行为。
• 仿冒包名（Typosquatting）：注册与热门包只差一两个字母的名字，坑蹭手误安装的开发者。
• 劫持更新渠道：篡改软件自动更新服务器，把恶意代码伪装成正常升级推送。
• 污染开发工具与构建环节：在编译器、CI 构建环境中做手脚，让产出的每个成品都自带后门。

如何防范

• 只从官方渠道下载软件，安装前核对文件哈希值或数字签名。
• 开发者应锁定依赖版本、审查新引入的包，并使用软件成分分析（SCA）工具排查依赖风险。
• 企业可采用软件物料清单（SBOM）梳理组件来源，及时关注上游安全通告。

常见问题

问：从官网下载的软件也可能有毒吗？答：可能。若官网服务器被入侵、安装包被替换，用户照样会中招，因此校验签名和哈希值仍有必要。

问：供应链攻击只针对开发者吗？答：不是。开发者常因引入恶意依赖包中招，但普通用户同样会通过带毒安装包或被劫持的更新受害。

问：它和木马有什么区别？答：木马是恶意程序本身，供应链攻击是投递方式——它把木马、后门等塞进正规软件的分发链条，让受害者「自愿」安装。