Software Supply Chain Attack: Ancaman dari Dependency, Package Registry, dan Developer Tooling
Serangan rantai pasok perangkat lunak menjadi salah satu ancaman paling serius karena menargetkan proses pembuatan software, bukan hanya aplikasi yang sudah berjalan. Penyerang dapat menyisipkan malware ke package manager, dependency, build pipeline, container image, plugin IDE, atau repositori kode. Dampaknya bisa sangat luas karena satu paket populer dapat dipakai oleh ribuan hingga jutaan proyek.Pada 2026, perhatian terhadap serangan ini semakin besar karena kampanye seperti Shai-Hulud dan variasinya menargetkan ekosistem npm, PyPI, dan developer tooling. Sonatype melaporkan bahwa sepanjang 2025 terdapat lebih dari 454.600 paket open-source berbahaya baru, dengan total paket berbahaya yang diketahui dan diblokir mencapai lebih dari 1,233 juta di npm, PyPI, Maven Central, NuGet, dan Hugging Face. Secara teknis, serangan software supply chain dapat terjadi melalui beberapa pola. Pertama, dependency confusion, yaitu ketika paket palsu dengan nama mirip atau versi lebih tinggi dipilih oleh sistem build. Kedua, typosquatting, yaitu paket berbahaya memakai nama yang hampir sama dengan paket populer. Ketiga, maintainer account takeover, yaitu akun pengelola paket diretas dan dipakai untuk menerbitkan versi berbahaya. Keempat, post-install script abuse, yaitu kode berbahaya berjalan otomatis saat paket dipasang. Kelima, kompromi CI/CD pipeline, sehingga artefak produksi ikut tercemar.Risiko ini meningkat karena developer sering menggunakan dependensi tanpa audit mendalam. Banyak proyek modern memiliki ratusan hingga ribuan dependensi transitif. Satu paket kecil bisa menarik banyak dependensi lain yang tidak diperiksa langsung oleh tim pengembang. Dalam lingkungan yang memakai otomasi tinggi, paket berbahaya dapat masuk ke pipeline dengan sangat cepat.Kontrol teknis yang diperlukan meliputi dependency pinning, lockfile enforcement, artifact signing, provenance verification, SBOM, SCA scanning, secret scanning, repository firewall, dan pemisahan lingkungan build. CISA menjelaskan bahwa SBOM membantu memberi visibilitas terhadap komponen software dan hubungan rantai pasoknya, sehingga organisasi lebih mudah mengidentifikasi risiko pada dependensi.
