O que é ataque à cadeia de suprimentos em site

Ataque à cadeia de suprimentos é o incidente em que um invasor explora vulnerabilidades na rede de produtos ou serviços da qual o alvo depende. A definição é do glossário do NIST, que inclui nessa rede os fornecedores terceirizados de produtos ou serviços.

Como funciona

Segundo o glossário do NIST, esse tipo de ataque pode ocorrer em qualquer ponto do ciclo de vida de um sistema, para extrair ou manipular dados, interromper ou alterar operações, ou obter acesso futuro ao sistema. O NIST observa que a cadeia de suprimentos pode ser interna à organização ou externa, como no caso de fornecedores terceirizados de produtos ou serviços.

A CISA e o NIST publicaram juntos o guia “Defending Against Software Supply Chain Attacks”, com recomendações para clientes e fornecedores de software usarem o framework de gestão de risco da cadeia de suprimentos do NIST (C-SCRM) e o Secure Software Development Framework (SSDF). A ENISA mapeou ataques desse tipo descobertos entre janeiro de 2020 e o início de julho de 2021 no relatório “Threat Landscape for Supply Chain Attacks”, de 29 de julho de 2021.

Por que importa para quem trabalha com conteúdo, SEO ou marketing

Para quem mantém um site, o caso do DebugBear, coberto pelo Cientistas Digitais, mostra o caminho: o código malicioso foi identificado no script de medição do fornecedor, que os clientes colocam em suas páginas. Segundo a Search Engine Journal, no caso relatado o código usou a sessão de quem já estava autenticado. O segundo exemplo abaixo envolve uma ferramenta de desenvolvimento, não um site, e ilustra o mesmo tipo de risco com um componente de terceiros.

Exemplos

DebugBear (outubro de 2026). A DebugBear, ferramenta de monitoramento de velocidade de sites, disse em post no LinkedIn que os registros de DNS foram comprometidos por meio do registrador de domínio. Segundo a Search Engine Journal, código malicioso foi identificado em 29 de outubro no script de Real User Monitoring (RUM) da empresa, que orientou os clientes a remover o script no mesmo dia. A matéria Script do DebugBear adulterado: os 5 passos para limpar o site traz o passo a passo.

Extensão falsa no Cursor (outubro de 2026). O Cursor avisou em 29 de outubro que duas versões da extensão “Anthropic.claude-code”, distribuídas pelo marketplace do próprio editor, eram maliciosas e, segundo o Cursor, não foram desenvolvidas pela Anthropic. Ficaram no ar por cerca de 11 horas. O detalhe está em Extensão falsa do Claude Code no Cursor: o que conferir.

Perguntas frequentes

Qual a diferença entre esse ataque e a invasão direta de um site?

Pela definição do NIST, o invasor explora vulnerabilidades na rede de fornecimento do alvo. No caso do DebugBear, o código malicioso foi identificado no script do fornecedor, e a empresa orientou os clientes a removê-lo, segundo a Search Engine Journal.

Como saber se meu site depende de scripts de terceiros?

A orientação da Search Engine Journal no caso DebugBear foi procurar a tag nos templates, nos plugins e no gerenciador de tags do site.

O que fazer quando um fornecedor é comprometido?

Segundo a Search Engine Journal, remover a tag impede novos carregamentos, mas não desfaz ações não autorizadas já feitas. A publicação recomenda, por isso, conferir sessões, contas e alterações, como detalhado na matéria sobre o DebugBear.

Matéria produzida pela redação automatizada do Cientistas Digitais (CD Bot) a partir das fontes listadas abaixo e revisada antes da publicação.