--- title: "Apa Itu Supply Chain Attack dan Contoh Kasusnya" description: "Penjelasan supply chain attack, contoh kasus nyata seperti SolarWinds, xz Utils, dan polyfill.io, serta langkah praktis mengurangi risikonya bagi bisnis." url: "https://nivelva.com/insight/apa-itu-supply-chain-attack-contoh-kasusnya" category: "Keamanan/Cyber Security" tags: ["supply chain attack","xz utils","solarwinds","open source","keamanan aplikasi"] author: "Theresia Candiawan" published: "2026-11-07T02:40:00+07:00" updated: "2026-11-07T02:40:00+07:00" language: "id" publisher: "Nivelva (https://nivelva.com)" --- # Apa Itu Supply Chain Attack dan Contoh Kasusnya > **Jawaban singkat:** Supply chain attack adalah serangan yang masuk lewat pihak yang kamu percayai, misalnya pembaruan software resmi, library open-source, atau skrip pihak ketiga di website. Contohnya SolarWinds Orion (2020), event-stream di npm (2018), xz Utils (2024), dan polyfill.io (2024). Supply chain attack (serangan rantai pasok) adalah serangan yang tidak langsung menyerang sistemmu, melainkan menyusup lewat pihak yang kamu percayai: vendor software, pembaruan resmi, library open-source, plugin, atau skrip pihak ketiga yang dipasang di website. Begitu komponen itu disusupi, semua pemakainya ikut terdampak, dan biasanya tanpa curiga karena kodenya datang dari sumber "resmi". Yang dipertaruhkan besar. Pertahanan yang bagus di sisi sendiri, seperti password kuat dan firewall rapat, tidak banyak membantu bila kode berbahaya justru kamu pasang sendiri lewat pembaruan rutin. Karena itu memahami pola serangannya membantu menentukan di mana kepercayaan perlu diverifikasi. ## Bagaimana supply chain attack bekerja? Polanya sama: penyerang mencari titik yang dipakai banyak korban sekaligus, lalu menyisipkan kode di sana. Titik yang umum diincar: - **Proses build vendor software.** Kode berbahaya disisipkan sebelum aplikasi ditandatangani dan didistribusikan. - **Paket open-source.** Pengelola paket diambil alih, akun mereka dibobol, atau penyerang membangun kepercayaan bertahun-tahun sebagai kontributor. - **Skrip pihak ketiga di website.** Widget chat, analitik, atau CDN library JavaScript yang dimuat langsung dari domain luar. - **Penyedia layanan TI.** Alat remote management milik vendor yang punya akses ke banyak klien. ## Contoh kasus nyata ### SolarWinds Orion (2020) Penyerang menyusup ke lingkungan build SolarWinds dan menyisipkan kode berbahaya ke pembaruan perangkat lunak pemantauan jaringan Orion. Pembaruan itu didistribusikan lewat jalur resmi kepada pelanggan. Pada Desember 2020, CISA mengeluarkan Emergency Directive 21-01 yang memerintahkan lembaga federal Amerika Serikat memutus atau mematikan produk Orion yang terdampak. Kasus ini menunjukkan bahwa pembaruan yang ditandatangani resmi pun bisa membawa pintu belakang. ### event-stream di npm (2018) event-stream adalah paket JavaScript populer di npm. Pengelola aslinya menyerahkan pengelolaan kepada orang lain yang menawarkan bantuan. Pengelola baru lalu menambahkan dependensi bernama flatmap-stream yang berisi kode berbahaya. Menurut penjelasan resmi npm, kode itu menargetkan aplikasi dompet bitcoin tertentu yang memakai paket tersebut. Pelajarannya: paket yang sudah lama dipercaya bisa berubah ketika pengelolanya berganti. ### xz Utils (2024, CVE-2024-3094) Pada akhir Maret 2024, pengembang Andres Freund melaporkan di milis oss-security bahwa paket kompresi xz versi 5.6.0 dan 5.6.1 mengandung pintu belakang. Kode berbahayanya tersembunyi di file arsip rilis dan bisa memengaruhi server SSH di sejumlah distribusi Linux yang menautkan `sshd` ke liblzma lewat systemd. Celah ini dicatat sebagai CVE-2024-3094 dengan skor CVSS 10.0 di NVD. Yang membuat kasus ini mengkhawatirkan, pelakunya membangun reputasi sebagai kontributor selama bertahun-tahun sebelum menyisipkan kode. Untungnya versi terdampak baru masuk ke rilis pengembangan dan sebagian kecil distribusi sebelum ketahuan. ### polyfill.io (2024) polyfill.io adalah layanan yang menyediakan skrip JavaScript untuk kompatibilitas browser lama, dan dimuat oleh banyak website langsung dari domainnya. Menurut Cloudflare, domain itu berpindah pemilik pada Februari 2024, lalu pada Juni 2024 layanannya dipakai menyisipkan kode yang dalam kondisi tertentu mengalihkan pengunjung ke situs lain. Website yang pemiliknya tidak mengubah apa pun ikut menyajikan kode berbahaya, hanya karena memuat skrip dari domain luar. ## Perbandingan singkat kasusnya | Kasus | Titik yang disusupi | Siapa terdampak | Pelajaran utama | |:--|:--|:--|:--| | SolarWinds Orion | Proses build dan pembaruan resmi vendor | Pelanggan Orion, termasuk lembaga pemerintah | Pembaruan bertanda tangan tetap perlu dipantau perilakunya | | event-stream | Paket open-source dengan pengelola baru | Aplikasi yang memakai paket tersebut | Pantau perubahan pengelola dan dependensi baru | | xz Utils | Arsip rilis library sistem | Distribusi Linux yang sempat memakai versi 5.6.0 dan 5.6.1 | Kepercayaan pada kontributor juga bisa disalahgunakan | | polyfill.io | Domain penyedia skrip pihak ketiga | Website yang memuat skrip dari domain itu | Kurangi skrip yang dimuat langsung dari domain luar | > **Kode resmi belum tentu aman:** > > Pembaruan dari vendor dan paket dari repositori resmi tetap perlu dipasang, karena menunda pembaruan juga berbahaya. Yang perlu ditambahkan adalah verifikasi dan pemantauan, bukan berhenti update. ## Kapan risiko ini relevan untuk bisnis kecil? Bisnis kecil jarang menjadi target langsung, tapi sering menjadi korban ikutan. Risikonya paling relevan bila kamu: - Memakai website dengan banyak plugin, tema dari sumber tidak resmi, atau skrip dari berbagai domain luar. - Membangun aplikasi sendiri dengan banyak dependensi npm, PyPI, atau Composer. - Memberi vendor TI akses jarak jauh permanen ke komputer atau server. - Memasang software "versi gratis" dari situs pihak ketiga. Kalau usahamu hanya memakai beberapa layanan SaaS besar, fokusnya cukup pada pengelolaan akses dan memilih vendor yang terbuka soal keamanannya. Kalau kamu mengelola server dan aplikasi sendiri, langkah teknis di bawah lebih penting. ## Langkah praktis mengurangi risiko - **Inventaris komponen.** Catat plugin, library, dan skrip pihak ketiga yang dipakai. Hapus yang tidak lagi diperlukan. - **Kunci versi dependensi.** Pakai lockfile (`package-lock.json`, `composer.lock`) supaya build tidak diam-diam menarik versi baru. - **Pantau peringatan keamanan.** Fitur seperti `npm audit` atau peringatan dependensi di repositori kode membantu tahu bila ada paket bermasalah. - **Host sendiri skrip penting** atau pakai Subresource Integrity (atribut `integrity`) untuk skrip dari CDN, sehingga browser menolak file yang isinya berubah. - **Batasi akses vendor.** Beri akses seperlunya, dengan akun terpisah dan 2FA, lalu cabut setelah pekerjaan selesai. - **Siapkan backup dan rencana respons.** Saat kasus besar terjadi, kamu perlu cepat tahu apakah terdampak dan bisa memulihkan sistem. Lihat [panduan respons insiden siber](https://nivelva.com/insight/panduan-respons-insiden-siber). Untuk website WordPress, langkah dasarnya ada di [dasar keamanan WordPress](https://nivelva.com/insight/keamanan-wordpress-dasar), termasuk memasang plugin hanya dari sumber resmi. ## Pertanyaan yang sering diajukan ### Apa bedanya supply chain attack dengan peretasan biasa? Peretasan biasa menyerang sistem korban secara langsung. Supply chain attack menyusup lewat pihak ketiga yang dipercaya korban, sehingga satu penyusupan bisa mengenai banyak korban sekaligus. ### Apakah software open-source lebih berisiko? Tidak otomatis. Kode yang terbuka justru memungkinkan masalah seperti xz Utils ditemukan oleh pihak luar. Risikonya ada pada pengelolaan, misalnya proyek penting yang hanya dirawat satu atau dua orang. ### Bagaimana tahu apakah sistem kami terdampak kasus seperti xz Utils? Periksa versi paket yang terpasang dan ikuti pengumuman keamanan distribusi Linux atau vendor yang kamu pakai. Untuk xz, versi yang terdampak adalah 5.6.0 dan 5.6.1. ### Apakah antivirus bisa mencegah supply chain attack? Antivirus bisa mendeteksi sebagian setelah kode berbahaya dikenali, tapi sering terlambat karena kodenya datang dari sumber resmi. Pemantauan perilaku, pembatasan akses, dan verifikasi integritas lebih berperan. ## Sumber - - - - - --- Diterbitkan oleh Nivelva Insight (https://nivelva.com/insight/). Artikel ini: https://nivelva.com/insight/apa-itu-supply-chain-attack-contoh-kasusnya Kontak Nivelva: WhatsApp https://wa.me/6285111245007, email hello@nivelva.com