Злоумышленники, атакующие цепочку поставок, стремятся не только внедрить вредоносный код в надежное программное обеспечение. Они пытаются похитить права доступа, которые и делают работу надежного ПО возможной. Недавно в течение 48 часов три отдельных кампании нанесли удар по npm, PyPI и Docker Hub, и все три были нацелены на секретные данные из сред разработчиков и конвейеров CI/CD, включая ключи API, учетные данные облачных сервисов, ключи SSH и токены. Это постоянная проблема, которая самовоспроизводится, как видно на примере таких атак, как кампании «mini Shai Hulud».
Эта тенденция должна изменить подход команд безопасности к цепочке поставок программного обеспечения.