Në maj 2023, studiues sigurie zbuluan një dobësi kritike, deri atëherë të panjohur, në MOVEit, një mjet i përdorur gjerësisht për transferim file-sh, mbi të cilin organizatat mbështeten për të lëvizur file të ndjeshme në mënyrë të sigurt mes sistemeve. Grupi ransomware Cl0p e kishte gjetur tashmë i pari, dhe po e përdorte për të hyrë në serverat MOVEit përmes SQL injection, duke vendosur një mjet të personalizuar që i lejonte të nxirrnin të dhëna në heshtje.
Organizatat e prekura s'po xhironin softuer të vjetëruar apo po injoronin paralajmërime - dobësia ishte zero-day, e panjohur për këdo, përfshirë vetë zhvilluesit e MOVEit, deri sa tashmë po shfrytëzohej. Kur mbaroi gjithçka, u konfirmuan mbi 2,700 organizata të komprometuara dhe u ekspozuan të dhënat personale të rreth 93.3 milionë njerëzve.
Ajo që e bën këtë shkelje të denjë për studim s'është vetë dobësia - është kush u përfshi në të. BBC, British Airways, zinxhiri i farmacive Boots, linja ajrore Aer Lingus, firma kontabël Ernst & Young, dhe agjenci qeveritare përfshirë qeverinë e Nova Scotia-s në Kanada (rreth 100,000 punonjës aktualë dhe ish-punonjës të prekur) u ekspozuan të gjithë - jo sepse ndonjëri prej tyre u hakua, por sepse një mjet që përdornin për diçka kaq të thjeshtë sa transferimi i file-ve kishte një dobësi që asnjëri s'do ta kishte gjetur vetë.
Kjo është pjesa e pakëndshme e rrezikut të furnitorëve: siguria jote mund të jetë e shkëlqyer dhe prapë mund të ekspozohesh përmes një furnitori, kontraktori, apo shitësi softueri që ka akses te të dhënat apo sistemet e tua. Është pikërisht boshllëku që kërkesat e Nenit 28 të GDPR-së për përpunuesit e të dhënave synojnë ta mbulojnë - por dokumentacioni i përputhshmërisë vetëm s'e kap dot. Të dish cilët furnitorë prekin vërtet të dhënat e tua të ndjeshme, dhe sa seriozisht e marrin sigurinë, e kap.
Për një biznes më të vogël, instinkti shpesh është të mendosh që rreziku i furnitorëve të tretë është problem i shkallës enterprise. S'është - një biznes i vogël që përdor mjetin e gabuar për transferim file-sh, softuer kontabiliteti, apo ofrues hosting-u ekspozohet saktësisht njësoj, thjesht me më pak vëmendje kur ndodh. Një inventar bazik i cilët furnitorë prekin të dhënat e tua, dhe një rishikim periodik i nivelit të tyre të sigurisë, është zakon i lirë kundër një pike të verbër të shtrenjtë.