供应链攻击：C&M Software案与外包环节的风险
攻破第三方为何比攻破目标更容易——C&M之袭为何在金融系统掀起数十亿级连锁反应
适用对象: 企业与运营 · 风险等级: 严重
Blindfy 情报中心 · Blindfy 技术审核
场景
企业签约了一家客户阵容亮眼、口碑可靠的金融软件供应商。数月后供应商宣布遭到入侵。犯罪分子借其合法访问权限在数十家关联机构间横向移动。C&M Software案揭示了这一模式：攻破单一环节便在巴西金融系统引发数十亿级连锁后果
骗局如何发生
攻击者绘制目标的关键供应商图谱（薪资、ERP、支付网关、集成商），专挑最薄弱者下手。一旦得手，便利用合法凭证、有效证书和获授权的VPN隧道横向移动，直至触达最终客户的系统
常见错误
把"供应商资质认证"当作安全保证。金融合规认证不等于网络安全认证
影响
多个系统同时沦陷、客户数据泄露、大规模欺诈及监管风险（LGPD、BACEN）。作为间接受害者的企业，仍须对自己的客户负责
有效措施
Blindfy搭建第三方风险管理(TPRM)体系、监控关键供应商的安全态势、评估供应链泄露暴露，并对外包访问实施严格分段
保护清单
- 绘制可触及数据或系统的关键供应商图谱
- 要求提供SOC 2、ISO 27001或同等认证
- 用专用VPN和MFA分段第三方访问
- 为外包凭证的异常行为配置警报
- 在合同中保留事件强制通报条款
- 每季度审计供应商访问日志
- 保留关键供应商事件的响应预案
编辑来源
- CERT.br / NIC.br — Cartilha de Segurança para Internet
- ENCCLA / Ministério da Justiça — Enfrentamento a golpes digitais
您的安全是所有集成方安全的平均值。最弱的一环决定整体的水位。
