入侵通常需要几个月或更长的时间才能公之于众，受害者可能花了几周或几个月的时间才发现了漏洞，这可能在之后的几周或几个月内不会出现在公开报道中。

技术供应链漏洞使威胁参与者能够以最小的努力扩展其运营，在导致第三方入侵的外部B2B关系中，75%涉及软件或其他技术产品和服务，其余25%的第三方违规涉及非技术产品或服务。

与网络犯罪集团有关的第三方入侵

臭名昭著的网络犯罪集团Cl0p在2023年可归因于第三方入侵的事件中占64%，紧随其后的是LockBit，仅占7%，Cl0p的突出表现在很大程度上是因为它大规模利用了MOVEit文件传输软件中的零日漏洞，这也是最常被提及的漏洞。

当人们考虑到为什么威胁参与者一开始就选择共同的第三方攻击载体时，这种在组之间分布的日益不成比例的漏洞是有意义的，这些方法通常使攻击者能够一次危害大量受害者，使他们的操作具有更大的可扩展性，例如，危及一个托管服务提供商(MSP)的安全可能使参与者能够以相对最小的努力损害数十甚至数百个客户的安全，因此，更频繁地使用第三方攻击媒介的威胁行为者将对受害者中不成比例的大部分负有责任，这是有道理的。

61%的第三方违规行为归因于移动(CVE-2023年-34362)，在最初的袭击发生几个月后，这一大规模运动的新确认受害者继续在报道中浮出水面。在涉及特定漏洞的所有第三方漏洞中，77%涉及利用最广泛的三个漏洞(MOVEit、CitrixBleed和Proself)。MOVEit零日漏洞的广泛影响的一个原因是，它允许第三方、第四方甚至第五方相关联。

第三方攻击载体

在2023年的所有入侵事件中，约有29%可归因于第三方攻击载体，这个数字可能低估了实际的百分比，因为许多关于入侵的报告没有具体说明攻击媒介。

医疗保健和金融服务成为受第三方入侵影响最严重的行业，医疗保健占总违规事件的35%，金融服务占16%。

第三方关系的复杂生态系统可能会揭示为什么医疗保健总体上会遭遇如此多的违规行为，尤其是第三方违规行为。医疗保健行业还有许多其他独特的风险因素，可能是其频繁违规的原因，例如易受攻击的医疗设备、被认为易受勒索软件勒索的脆弱性、更详细的PHI对欺诈的更大用处等。

技术关系在第三方入侵中的优势在金融业也是显而易见的，这种活动的大部分归因于专门的金融服务软件或技术。

仅美国就占了63%，然而，由于新闻媒体和安全供应商将压倒性的重点放在美国和其他英语国家的入侵上，地理差异可能更难检测到。

虽然第三方入侵在全球范围内很常见，但日本以高得多的比例脱颖而出(48%)，作为汽车、制造、技术和金融服务的中心，日本公司由于国际依赖，面临着巨大的供应链网络风险。

SecurityScorecard负责威胁研究和情报的高级副总裁Ryan Sherstobitoff说：“供应商生态系统是勒索软件组织非常想要的目标，第三方漏洞受害者通常在收到勒索软件通知后才知道发生了事件，这让攻击者有时间渗透到数百家公司而不被发现”。

第三方网络风险是一种业务风险

根据Gartner的说法，“第三方网络入侵的成本通常比补救内部网络安全漏洞的成本高出40%”，随着2023年数据泄露的平均成本达到445万美元，企业必须主动实施供应链网络风险管理，以降低业务风险。

在数字时代，信任是网络安全的代名词，企业必须通过在其数字和第三方生态系统中实施持续的、指标驱动的、与业务保持一致的网络风险管理来提高韧性。