Cyberattacker med öppen källkod ökade med 700 % under de senaste 3 åren

Företag förlitar sig mer och mer på programvarukod med öppen källkod, och hackare drar fördel. Cyberattacker kopplade till programvara med öppen källkod har ökat med 700 % under de senaste 36 månaderna, har forskare funnit.

Det är en massiv ökning som är ännu högre än tidigare rapporterat, och en som måste åtgärdas.

Google är redan på fallet, efter att ha lanserat sitt första belöningsprogram specifikt för öppen källkod i slutet av förra månaden. Men inte alla företag har miljontals dollar liggandes för att betala buggpremier. Här är vad du ska veta om risker med öppen källkod och hur du undviker dem.

Cyberattacker med öppen källkod ökade snabbt under det senaste året

Sonatype, leverantör av tjänster för hantering av mjukvaruförsörjningskedjan, kom med sin 700-procentiga tillväxtstatistik genom att identifiera nya skadliga paket med öppen källkod när de dyker upp. De hittade 55 000 från de senaste 12 månaderna, vilket drog upp treårssumman till 95 000 och markerade en ökning med 700 % jämfört med föregående period.

Typerna av attacker kan variera. Vissa är “typosquatting”, vilket hänvisar till en typ av social ingenjörsattack som förlitar sig på felstavade domäner för att lura användare; andra är komprometterade programvarupaket.

“Nästan alla moderna företag är beroende av öppen källkod. Uppenbarligen visar användningen av arkiv med öppen källkod som en ingångspunkt för skadliga attacker inga tecken på att sakta ner – vilket gör tidig upptäckt av både kända och okända säkerhetsbrister viktigare än någonsin.” -Brian Fox, medgrundare och CTO för Sonatype, säger till TechRadar

Vi har redan rapporterat att attacker med öppen källkod ökade med 650 % år över år 2021, men dessa nya siffror visar att hotet har ökat i en ihållande takt under flera år också.

Stänga ned hot med öppen källkod

Per definition kan öppen källkod skapas, modifieras och underhållas av vem som helst på internet. I teorin kan vem som helst verifiera om det är skadligt eller inte, bara genom att titta närmare på det. Så varför är det ett hot? För det är så mycket det.

Den stora mängden öppen källkod gör att ingen användare kan verifiera allt. Företag kan (eller vill) inte allokera de resurser som behövs för att veterinära programvara, så de riskerar att halka och ladda ner fel kod.

Företag som Sonatype strävar efter att minska dessa typer av attacker med en kombination av beteendeanalys och automatiserad policytillämpning. Och eftersom manuell analys är tuff med tanke på mängden tillgänglig programvara med öppen källkod, litar de på AI för att skanna koden.

Så länge ett företag har en robust brandvägg förblir de säkra. Men i den pågående kapprustningen mellan cyberbrottslingar och säkerhetsexperter finns det alltid en fara att nästa skadliga attack kan glida igenom.