Η έκθεση της Black Kite για την αλυσίδα εφοδιασμού της ΤΝ το 2026: Οι κίνδυνοι που κρύβουν οι συνεργασίες σας στον τομέα της ΤΝ

Η Έκθεση της Black Kite για την αλυσίδα εφοδιασμού της ΤΝ το 2026: Οι κίνδυνοι που κρύβουν οι συνεργασίες σας στον τομέα της ΤΝ διαπιστώνει ότι οι εταιρείες που παρέχουν προηγμένες λύσεις ΤΝ συχνά παρουσιάζουν γνωστές αδυναμίες κυβερνοασφάλειας. Η εξωτερική αξιολόγηση 18.160 εταιρειών ΤΝ εντόπισε κρίσιμες, μη επιδιορθωμένες ευπάθειες στο 34,2% των οργανισμών που εξετάστηκαν, καθώς και αδυναμίες στην επαλήθευση ταυτότητας email σε ακόμη μεγαλύτερο ποσοστό.

Το βασικό επιχείρημα της έκθεσης είναι ότι η αγορά λύσεων ΤΝ δημιουργεί κάτι περισσότερο από μια σχέση με έναν προμηθευτή λογισμικού. Οι πελάτες αναλαμβάνουν επίσης την έκθεση σε κινδύνους που αφορούν τις υποδομές του προμηθευτή, τα στοιχεία στα οποία βασίζεται το προϊόν του και τα δικαιώματα πρόσβασης που παραχωρούνται στις διασυνδέσεις του. Καθώς τα εργαλεία ΤΝ αποκτούν τη δυνατότητα να ενεργούν μέσα στα επιχειρηματικά συστήματα, αυτές οι σχέσεις απαιτούν τον ίδιο έλεγχο με τις σχέσεις με άλλους κρίσιμους προμηθευτές.

«Η αλυσίδα εφοδιασμού της ΤΝ δεν αποτυγχάνει με εξωτικούς τρόπους. Αποτυγχάνει με συνηθισμένους», δήλωσε ο Ferhat Dikbiyik, επικεφαλής έρευνας και πληροφοριών της Black Kite. Τα ευρήματα αναδεικνύουν ως βασικά ζητήματα την εγκατάσταση ενημερώσεων ασφαλείας, την προστασία των διαπιστευτηρίων και την πρόσβαση μέσω διασυνδέσεων.

Βασικά κενά ασφαλείας σε ένα μεγάλο σύνολο προμηθευτών ΤΝ

Η Black Kite συγκρότησε το δείγμα της μελέτης από μια εμπορική βάση δεδομένων εταιρειών και στη συνέχεια εξέτασε περιγραφές επιχειρηματικής δραστηριότητας και δημόσιους ιστότοπους, για να επιβεβαιώσει ότι η ΤΝ αποτελούσε βασικό στοιχείο των προϊόντων ή των υπηρεσιών κάθε εταιρείας. Οι παρατηρήσεις για την ασφάλεια σε επίπεδο εταιρείας βασίζονται σε δεδομένα του Σεπτεμβρίου και του Οκτωβρίου 2026.

Η αξιολόγηση διαπίστωσε ότι:

• 34,2% είχαν τουλάχιστον μία κρίσιμη, μη επιδιορθωμένη ευπάθεια που εντοπίστηκε εξωτερικά.
• 9,8% είχαν ευπάθεια καταχωρισμένη στον κατάλογο Γνωστών Εκμεταλλεύσιμων Ευπαθειών της CISA.
• 61,7% παρουσίαζαν αδυναμίες στο DMARC, ενώ αδυναμίες στα DKIM και SPF εντοπίστηκαν στο 37,3% και στο 11,2% αντίστοιχα.
• 29,7% έφταναν ή ξεπερνούσαν το 0,4 στον Δείκτη Ευπάθειας σε Επιθέσεις Λυτρισμικού της Black Kite, το κρίσιμο όριο που έχει ορίσει η εταιρεία.
• 6,8% είχαν εταιρικά στοιχεία σύνδεσης που συνδέονταν με αυτές σε αρχεία τα οποία συλλέχθηκαν από κακόβουλο λογισμικό υποκλοπής πληροφοριών.

Οι δείκτες αυτοί απαντούν σε διαφορετικά ερωτήματα. Μια ευπάθεια που περιλαμβάνεται στον κατάλογο KEV έχει τεκμηριωμένο ιστορικό εκμετάλλευσης κάπου στον κόσμο· η παρουσία της δεν αποδεικνύει ότι δέχθηκε επίθεση ο προμηθευτής της συγκεκριμένης μελέτης. Αντίστοιχα, η βαθμολογία ευπάθειας σε επιθέσεις λυτρισμικού αποτελεί δείκτη για την ιεράρχηση των ελέγχων και όχι την πιθανότητα να πληγεί μια συγκεκριμένη εταιρεία από επίθεση λυτρισμικού.

Η επαλήθευση ταυτότητας email έχει σημασία, επειδή οι προμηθευτές ΤΝ εξακολουθούν να χρησιμοποιούν συνήθεις εταιρικούς τομείς και επιχειρηματικές διαδικασίες. Η απουσία αυστηρών μέτρων επιβολής ή η αδυναμία τους μπορεί να διευκολύνει την πλαστοπροσωπία τομέα, ακόμη κι όταν το ίδιο το προϊόν ΤΝ είναι τεχνικά προηγμένο. Τα στοιχεία για τα DMARC, DKIM και SPF αλληλεπικαλύπτονται και δεν πρέπει να αθροίζονται.

Οι ρόλοι των προμηθευτών έχουν μεγαλύτερη σημασία από την προβολή τους ως εταιρειών ΤΝ

Η έκθεση χωρίζει το οικοσύστημα σε έξι ευρείες ομάδες δραστηριοτήτων. Οι βασικές τεχνολογίες —μεταξύ των οποίων τα μοντέλα, οι υπολογιστικές υποδομές και οι υπηρεσίες δεδομένων— αντιστοιχούν περίπου στο 10% του συνόλου. Οι καθημερινές επιχειρηματικές εφαρμογές αντιπροσωπεύουν περίπου το 31%, ενώ οι εταιρείες που αναπτύσσουν και υλοποιούν λύσεις ΤΝ για άλλους οργανισμούς αντιστοιχούν σε περίπου 23%.

Αυτό εξηγεί γιατί η εστίαση αποκλειστικά στους γνωστούς παρόχους μοντέλων παραβλέπει ένα σημαντικό μέρος της έκθεσης των επιχειρήσεων σε κινδύνους. Οι εταιρείες που αναλαμβάνουν την ενσωμάτωση λύσεων, οι πάροχοι υπηρεσιών νέφους, οι διαχειριστές δεδομένων και οι πλατφόρμες εξυπηρέτησης πελατών μπορεί να λειτουργούν σε στενή επαφή με τα συστήματα και τις πληροφορίες των πελατών.

Τα ευρήματα σχετικά με τα διαπιστευτήρια ήταν ιδιαίτερα έντονα σε αυτούς τους ρόλους. Η Black Kite εντόπισε εταιρικά στοιχεία σύνδεσης που συνδέονταν με εταιρείες σε αρχεία κακόβουλου λογισμικού υποκλοπής πληροφοριών στο 19,9% των παρόχων λύσεων ΤΝ νέφους, έναντι 4,1% των εταιρειών ανάπτυξης μοντέλων και πλατφορμών. Το αντίστοιχο ποσοστό ήταν 13,9% για τις εταιρείες δεδομένων και επισήμανσης και 11,5% για τις πλατφόρμες εξυπηρέτησης πελατών.

Το ζήτημα είναι τι θα μπορούσαν να επιτρέψουν αυτά τα διαπιστευτήρια, αν εξακολουθούν να είναι έγκυρα, και όχι η υπόθεση ότι έχουν χρησιμοποιηθεί όλα τα εκτεθειμένα στοιχεία σύνδεσης. Κατά την αξιολόγηση των προμηθευτών, το εύρημα πρέπει να συνδέεται με την υπηρεσία που αγοράζεται: ένα διαπιστευτήριο για ένα άσχετο επιχειρηματικό εργαλείο μπορεί να έχει εντελώς διαφορετικές συνέπειες από ένα διαπιστευτήριο που παρέχει πρόσβαση σε περιβάλλον παραγωγής το οποίο χρησιμοποιούν οι πελάτες.

Οι προμηθευτές ΤΝ έχουν και οι ίδιοι εξαρτήσεις

Το δεύτερο επίπεδο της έκθεσης εξετάζει τα στοιχεία λογισμικού στα οποία βασίζονται τα προϊόντα ΤΝ. Η Black Kite εντόπισε 105 εταιρείες ΤΝ με ευρήματα που σχετίζονταν με τα n8n, Langflow ή LiteLLM — εργαλεία που μπορεί να λειτουργούν ως ενδιάμεσος κρίκος μεταξύ μοντέλων, ροών εργασίας και συνδεδεμένων υπηρεσιών.

Μια κοινή εξάρτηση μπορεί να δημιουργήσει κίνδυνο συγκέντρωσης, ακόμη κι όταν το μητρώο προμηθευτών φαίνεται διαφοροποιημένο. Αρκετές υπηρεσίες ΤΝ που αγοράζονται ξεχωριστά μπορεί να βασίζονται στην ίδια πλατφόρμα ροών εργασίας, στον ίδιο δρομολογητή μοντέλων, στην ίδια βιβλιοθήκη ή στην ίδια υποδομή νέφους. Επομένως, ένα πρόβλημα ασφαλείας σε αυτό το κοινό επίπεδο μπορεί να απαιτήσει συντονισμένη δράση στο πλαίσιο πολλών σχέσεων με προμηθευτές.

Το πρακτικό ερώτημα είναι αν ένας προμηθευτής μπορεί να εντοπίσει το επηρεαζόμενο στοιχείο, να προσδιορίσει ποια περιβάλλοντα το χρησιμοποιούν και να αποκαταστήσει το πρόβλημα ή να το απομονώσει γρήγορα. Οι πελάτες πρέπει επίσης να κατανοούν ποια διαπιστευτήρια και δικαιώματα πρόσβασης διαθέτει το στοιχείο, καθώς η έκθεση λογισμικού έχει σοβαρότερες συνέπειες όταν προσφέρει δίοδο προς άλλα συστήματα.

Τα ευρήματα για το MCP αναδεικνύουν τη σημασία των δικαιωμάτων πρόσβασης μέσω διασυνδέσεων

Η Black Kite εξέτασε χωριστά 305 δημόσια εντοπίσιμες καταχωρίσεις διακομιστών του Model Context Protocol, οι οποίες αποδίδονταν σε 179 εταιρείες ΤΝ. Στο σύνολο αυτών των καταχωρίσεων, κατέγραψε 1.732 ευρήματα, εκ των οποίων το 48,8% αξιολογήθηκε ως υψηλής ή κρίσιμης σοβαρότητας. Από τα 77 ευρήματα κρίσιμης σοβαρότητας, το 87% αφορούσε εισαγωγή κακόβουλου κώδικα ή εντολών.

Το MCP παρέχει στις εφαρμογές ΤΝ ένα τυποποιημένο περιβάλλον διεπαφής για εργαλεία και πηγές δεδομένων. Ανάλογα με την υλοποίηση, ένας συνδεδεμένος διακομιστής μπορεί να διαθέτει λειτουργίες για την ανάγνωση εγγράφων, την υποβολή ερωτημάτων σε βάσεις δεδομένων, την ενημέρωση εγγραφών ή την εκτέλεση άλλων ενεργειών. Επομένως, ένα ευάλωτο στοιχείο με εκτεταμένα δικαιώματα μπορεί να θέσει σε κίνδυνο περισσότερα από την ίδια την εφαρμογή ΤΝ.

Σημασία έχει ο παρονομαστής: το 48,8% αφορά τα ευρήματα που καταγράφηκαν, όχι το ποσοστό όλων των εταιρειών ΤΝ ή των εγκαταστάσεων MCP σε περιβάλλοντα παραγωγής που είναι ευάλωτες. Το σύνολο δεδομένων καλύπτει δημόσια εντοπίσιμα αποθετήρια, πακέτα και φιλοξενούμενα στοιχεία· η απόδοση σε έναν τομέα δεν αποδεικνύει ενεργή χρήση σε περιβάλλον παραγωγής, ενώ τα ιδιωτικά περιβάλλοντα MCP δεν συμπεριλήφθηκαν στην ανάλυση.

Για τις εταιρικές ομάδες, το συμπέρασμα είναι να καταγράψουν τις συνδέσεις, να περιορίσουν τα δικαιώματα σε όσα απαιτεί η εργασία και να ελέγξουν πόσο γρήγορα μπορεί να ανακληθεί η πρόσβαση. Η εξωτερική εικόνα ενός προμηθευτή δεν μπορεί να αποκαλύψει όλα τα δικαιώματα που έχει παραχωρήσει ένας πελάτης στο δικό του περιβάλλον.

Πώς να αξιοποιείτε τα ευρήματα χωρίς να βγάζετε υπερβολικά συμπεράσματα

Η έρευνα διεξήχθη εξωτερικά, χωρίς πρόσβαση στα συστήματα των εταιρειών που αξιολογήθηκαν. Τα ευρήματα για κρίσιμες ευπάθειες συνήθως προκύπτουν από την αντιστοίχιση των παρατηρημένων εκδόσεων λογισμικού με γνωστοποιημένες ευπάθειες· η Black Kite δεν δοκίμασε να τις εκμεταλλευτεί. Τα σήματα που σχετίζονται με botnet, τα οποία αναφέρθηκαν στο 6,5% των εταιρειών, και η ασυνήθιστη δραστηριότητα δικτύου, η οποία αναφέρθηκε στο 44,3%, χρήζουν διερεύνησης, αλλά δεν αποδεικνύουν από μόνα τους ότι έχει σημειωθεί παραβίαση.

Η ορατότητα επηρεάζει επίσης τις συγκρίσεις. Σε ένα συμπληρωματικό δείγμα εταιρειών της λίστας Forbes AI 50, το 52% είχε ευρήματα κρίσιμων ευπαθειών και στο 28% εντοπίστηκαν σχετικά διαπιστευτήρια σε αρχεία καταγραφής κακόβουλου λογισμικού κλοπής πληροφοριών. Το μεγαλύτερο ψηφιακό αποτύπωμα προσφέρει περισσότερες ευκαιρίες για τον εντοπισμό προβλημάτων, επομένως αυτά τα ποσοστά δεν πρέπει να θεωρηθούν απλή κατάταξη των τύπων εταιρειών με βάση το ποιος είναι ασφαλέστερος.

Η Black Kite διαθέτει πληροφορίες και υπηρεσίες παρακολούθησης για τον κυβερνοκίνδυνο τρίτων, συμπεριλαμβανομένης της ανάλυσης της έκθεσης προμηθευτών σε κινδύνους και δεικτών ευπάθειας σε επιθέσεις ransomware. Η έκθεσή της είναι έρευνα που έχει εκπονήσει ο ίδιος ο πάροχος και συνοδεύεται από δηλωμένο πληθυσμό και μεθοδολογία· δεν αποτελεί απογραφή όλων των εταιρειών ΤΝ ούτε απόδειξη ότι όλα τα συστήματα που επισημάνθηκαν έχουν παραβιαστεί.

Το σημαντικότερο επιχειρησιακό συμπέρασμα είναι να αξιολογούνται από κοινού τρία αλληλένδετα στοιχεία: ο προμηθευτής, οι εξαρτήσεις του και η πρόσβαση που λαμβάνει το προϊόν του. Η πλήρης Έκθεση 2026 για την αλυσίδα εφοδιασμού ΤΝ: Οι κίνδυνοι πίσω από τις σχέσεις σας στον χώρο της ΤΝ παρουσιάζει αναλυτικά τα ευρήματα και τη μεθοδολογία της Black Kite για την εφαρμογή αυτής της προσέγγισης στις αξιολογήσεις προμηθευτών ΤΝ.