Kriminelle behøver ikke hacke software for at få en bagdør. De kan købe softwaren. Det skete for 30 programmer.
Handlen
I januar 2025 solgte tre udviklere deres portefølje af 30 udvidelser til en udbredt hjemmesideplatform.
Køberen var anonym, havde baggrund i søgeoptimering, kryptovaluta og online spil, og betalte et sekscifret beløb.
Køberens allerførste ændring i koden var en bagdør. Den blev udgivet som en rutineopdatering i august 2025 med en beskrivelse om kompatibilitet med nyeste version.
Den rutinemæssige ændring indeholdt 191 linjer ny kode.
Otte måneders stilhed
I otte måneder skete der intet. Koden spredte sig via automatiske opdateringer til hundredtusinder af hjemmesider, mens den opførte sig helt normalt.
De otte måneder er ikke tilfældige. Ventetiden afkobler opdagelsen fra ejerskiftet.
I april 2026 blev den aktiveret. Aktiverede sider begyndte at sende skjult indhold, men kun til søgemaskinen. Ejerne så en helt almindelig hjemmeside. Søgemaskinen så noget andet.
Konsekvensen er et usynligt tab af søgesynlighed og omdømme.
Det skete igen samme uge
Denne gang med en anden udvidelse brugt af over 800.000 hjemmesider. Her var indgangen en kompromitteret opdateringsserver hos udvikleren selv.
To angreb på en uge. Samme mekanisme, to forskellige veje ind.
Det er samme mønster som i de sager, hvor bruddet skete hos nogen, I havde en aftale med. Her var aftalen en automatisk opdatering.
Tre ting I kan gøre
Lav en liste over udvidelser og tilføjelser på jeres hjemmeside med udvikler og seneste opdatering.
Undersøg, om nogen af dem har skiftet ejer. Det står som regel i projektets historik.
Overvej, om automatiske opdateringer skal være slået til på alt. Bekvemmeligheden er også angrebsvejen.
Hvad kører på jeres hjemmeside
Ved I, hvem der udvikler de komponenter, der opdaterer sig selv på jeres site?
En leverandøraudit kortlægger hele kæden, også de led der kommer ind gennem en opdateringskanal.
Har du brug for at få kæden kortlagt? Kontakt Nielco IT på telefon 70 13 63 23 eller via kontaktformularen.
Gør som 4.500+ andre. Få mønstre fra 500 dokumenterede sager og konkrete anbefalinger om cybersikkerhed og digital suverænitet hver 14. dag.
