供應鏈攻擊是什麼？四種手法、中小企業風險與發包系統時的防護清單

供應鏈攻擊是駭客不直接打你，改去打「你信任的東西」：你系統裡用的開源套件、你安裝的軟體更新、幫你維護系統的外包廠商帳號，或是工程師寫程式用的開發工具。只要其中一環被動了手腳，惡意程式就會跟著正常流程，大大方方走進你的公司。

我們每天早上都會做一件事：把所有維護中的系統用到的程式套件，拿去比對國際公開漏洞資料庫和台灣 TWCERT/CC 的漏洞通報，有新的高風險項目才通知負責的工程師。做這件事的原因很單純，一套系統裡自己寫的程式碼往往只占一小部分，其餘大多是別人寫好的套件。這篇把供應鏈攻擊從定義、常見手法、中小企業為什麼會被盯上，一路講到自家系統怎麼防、發包時合約要寫什麼。

供應鏈攻擊是什麼？一句話定義與白話比喻

一句話：攻擊者先拿下你的上游（軟體、套件、服務商），再借你對上游的信任進到你家。美國網路安全局 CISA 與 NIST 在 Defending Against Software Supply Chain Attacks 這份指引裡，把它描述成攻擊者滲透軟體廠商、在產品交到客戶手上之前就先植入惡意程式碼，並且指出攻擊可能發生在設計、開發、發布、部署到維護的任何一個階段。

生活化一點講：你家大門裝了最好的鎖，但每週有固定的清潔公司拿鑰匙進來打掃。小偷不撬你的門，他去偷清潔公司的鑰匙。這就是供應鏈攻擊的意思。先看這張速覽表，三十秒抓到重點：

這裡的「供應鏈」講的是軟體與服務的供應鏈。製造業常說的原物料斷鏈、物流延誤，跟這篇是不同的事；不過兩者有一個共通點：你的安全程度，取決於鏈條上最弱的那一環。

供應鏈攻擊的四種常見手法：從套件到外包帳號

先講結論：供應鏈攻擊的手段可以歸成四類，每一類都在利用「平常不會去懷疑」的環節。CISA 的指引把常見技術列為劫持更新、破壞程式簽章、污染開源程式碼三種；我們依台灣中小企業的實際情況，再把「外包廠商帳號」拉出來單獨看，因為這是最多公司沒管好的地方。

套件被植入：最常見、量也最大

現代系統大量使用開源套件，就像蓋房子不會自己燒磚。問題是磚頭可能被動過手腳。Sonatype 的 2026 軟體供應鏈報告 統計，光是 2025 年一年，新發現的惡意開源套件就超過 45 萬個。最經典的例子是 xz utils 後門：攻擊者花了好幾年在開源社群累積信任、取得維護權，再把後門藏進壓縮程式庫，2024 年 3 月才被一位工程師因為 SSH 連線變慢而意外發現。

更新管道被入侵：正式更新檔裡藏著後門

這類攻擊最難防，因為你下載的就是原廠簽章、原廠網站上的正式更新。SolarWinds 在美國證管會的 年度報告 裡寫到，惡意程式碼被植入 2020 年 3 到 6 月發布的 Orion 版本，裝了受影響版本的客戶估計少於 18,000 家。攻擊者只打一家廠商，就拿到上萬個組織的入口。

外包廠商帳號被盜：一把鑰匙開很多扇門

很多公司的主機、網站後台、資料庫，都開了帳號給外包廠商遠端維護。2021 年 Kaseya 的遠端管理工具被利用，TechTarget 報導 指出受影響的下游企業接近 1,500 家，多數是透過幫他們管電腦的 IT 服務商被波及。今年 ConnectWise 被打的過程與自查重點，我們在 ARTEX 事件拆解 裡寫過，核心教訓相同：廠商那把「不用密碼的鑰匙」，就是你家的後門。

開發工具被污染：從工程師的電腦一路擴散

攻擊者也會盯上工程師每天用的工具：套件管理器、自動化建置流程、程式碼編輯器的擴充功能。2026 年 5 月的 TanStack 事件，攻擊者沒有偷任何人的密碼，改去污染自動化發布流程，讓正常的發版帶出惡意版本，連 OpenAI 都受影響。完整的攻擊鏈與六條防線，可以看我們的 TanStack npm 供應鏈攻擊全解析。更多真實事件的整理，會放在同系列的供應鏈攻擊案例文，這篇點到為止。

為什麼中小企業反而是供應鏈攻擊的目標？

一句話：你可能是別人的上游，也可能是防守最鬆的那一環。很多老闆覺得「我們公司小，駭客看不上」，但供應鏈攻擊看的是你連得到誰、你家門鎖有多舊，跟公司大小關係不大。

有一個數字很值得注意：Verizon 的 2025 資料外洩調查報告 分析了一萬兩千多起確認外洩事件，其中有第三方參與的比例來到 30%，比前一年翻倍。也就是說，每十起外洩就有三起跟廠商、合作夥伴或服務商有關。

我們的看法比較直接：中小企業最大的供應鏈破口，是「做完就沒人顧」的系統。駭客很少為一家小公司量身打造攻擊，他們用自動化程式大量掃描，看到誰還在用有已知漏洞的套件就進去。今年 10 月群暉 NAS 被大規模勒索加密，受害者多半就是裝好之後沒人更新的設備，過程可以看 NAS 勒索病毒拆解。外部帳號沒收回也是同一類問題，EVERY8D 簡訊平台遭駭 就是服務商被打穿、客戶跟著受影響的例子。

自家系統怎麼防供應鏈攻擊？五道日常防線

先講結論：知道自己用了什麼、每天看有沒有新漏洞、只處理真正要緊的、修之前先判斷、權限給到剛好就好。這五件事不需要買昂貴的設備，需要的是有人每天固定去做。

我們自己怎麼做：每天早上的漏洞巡檢

這套做法我們自己每天在跑，範圍是所有我們在維護的系統，包含自家產品 秒發報價Pro 與 SalesKing。流程只有四步：

• 每天早上自動檢查：把每套系統用到的程式套件，比對國際公開漏洞資料庫與台灣 TWCERT 的漏洞通報。
• 只看高風險與重大等級：中低風險的項目留給每週一次的總覽，不在每天的通知裡出現。
• 只在「有新增」時通知負責人：昨天已經通知過、還在處理中的項目不重複通知，避免大家對警報麻木。
• 由人判斷、排修補：工程師確認這個漏洞會不會影響到系統實際的用法，再決定要馬上修還是排進下一次更新。整個檢查流程只讀不改，不會自動去動程式。

結果是：多數日子早上沒有任何通知，有通知的那天，負責人當天就知道該看哪一套系統、哪一個套件。像 PHP 重大漏洞 PHP2Shell 公告那次，我們當天就完成自家網站的修補，過程記錄在 PHP2Shell 拆解與修補實錄。

修補優先序怎麼排

收到通知之後，最常卡住的是「到底要多快修」。我們用兩個問題來排：漏洞有多嚴重、這個功能有沒有對外開放。下表是我們的做法，可以直接拿去跟你的維護廠商對齊：

這套做法屬於「持續看著」，跟上線前做一次完整檢查是兩回事。想知道弱點掃描、滲透測試各在做什麼，可以看 三種資安檢測的差別；要挑掃描工具，弱點掃描工具比較 有九套工具的對照。

發包系統時，供應鏈防護要寫進合約與驗收的六條條款

一句話：合約沒寫的，上線後就沒人負責。系統外包最常見的狀況是：驗收那天功能都正常，一年後某個套件爆出重大漏洞，原廠商說「維護不在合約範圍」，新廠商說「要先花時間看懂程式」，中間的空窗期就是駭客的機會。

政府這邊已經往這個方向走。2025 年 9 月公布的資通安全管理法修正，明訂機關委外辦理資安相關業務時，要跟受託廠商簽書面契約、寫清楚權利義務與違約責任（重點整理可以看 理律法律事務所的摘要）。民間企業沒有被法律強制，但同樣的道理一樣適用。下面六條，是我們建議發包時寫進合約的最低限度：

條款的完整寫法可以參考 軟體開發合約範本 與 維護合約範本；維運合約要選哪一種模式，維運合約三種模式比較 有逐條說明。驗收當天要怎麼一項一項對，照 系統交付驗收 SOP 走；如果想在上線前請第三方看程式碼品質，程式碼審計指南 整理了必查項目。

帳號這一條特別容易被忽略。外包廠商的人員會換、合作會結束，帳號卻常常一路留著。員工離職權限回收 SOP 的做法同樣適用於外包廠商；想再往前一步，可以參考 零信任導入步驟，讓每一次存取都要重新驗證身分。

老闆十分鐘自我盤點：你的公司對供應鏈攻擊有多少準備

不用懂技術也能做。拿下面五個問題去問你的 IT 人員或維護廠商，答得出來就打勾，答不出來的就是今年要補的地方：

五題中答不出兩題以上，建議先從「套件清單」和「外部帳號」這兩件做起，花的時間最少、降低的風險最多。備份與災難復原的完整做法，可以看 資料備份與營運持續指南；想要一份 60 天的整體資安行動表，AI 駭客時代的中小企業資安行動清單 有分週的做法。

看到這裡，如果你的系統是外包做的、上線後沒有人固定在看套件漏洞，我們很樂意 聽你聊聊現在的情況。我們做系統開發與維運，交付的系統都會納入每天的漏洞監控；你現有的系統適不適合接手、要先補哪一塊，我們會直接告訴你。

這篇屬於恆遠的資安系列，同系列還有：供應鏈攻擊案例整理、資安健檢是什麼、網站弱點掃描怎麼做、資安健檢費用怎麼算。

供應鏈攻擊常見問題