Ataques à cadeia de suprimentos: o risco que não está no seu código

O vetor que ninguém vê até ser tarde

Seu código pode estar perfeito — sem SQL injection, com autenticação robusta. E ainda assim você pode ser comprometido por uma biblioteca de terceiros que usa no projeto.

Como ataques de supply chain funcionam

• Typosquatting — pacotes com nome similar ao legítimo publicados em registries esperando erros de digitação.
• Dependency confusion — pacotes internos com o mesmo nome de pacotes públicos, explorados em ambientes que preferem o registry público.
• Comprometimento de conta — credencial de mantenedor comprometida permite publicação de versão maliciosa.
• Backdoor em código open source — contribuição maliciosa que passa pelo processo de revisão (caso XZ Utils, 2024).

O que sua empresa precisa implementar

1. SBOM — inventário completo de componentes de software, atualizado a cada build.
2. Lock files — fixar versões exatas de dependências.
3. SCA automatizado — varredura de dependências contra bases de vulnerabilidades em cada PR.
4. Registry privado — espelhar dependências críticas internamente para controle de integridade.
5. Assinatura de artefatos — Sigstore/Cosign para verificar integridade.