從原始碼到部署都可能失守：奧義智慧資安研究處長陳仲寬拆解 4 大供應鏈威脅、3 階段防禦策略

TechOrange 科技報橘 · Jul 30, 2026

當企業傾全力築起資安高牆，日常依賴的軟體供應鏈，卻可能成為駭客長驅直入的特洛伊木馬。奧義智慧資安研究處長陳仲寬今（30）日出席由 TechOrange 科技報橘與經濟部產業發展署智慧電子產業計畫推動辦公室共同主辦的「半導體供應鏈競爭力論壇」，以「軟體供應鏈的奧德賽征途：近十年安全威脅回顧」為題，回顧過去十年的供應鏈攻擊演進，並從 2019 年華碩 ShadowHammer 事件到後續的 3CX 供應鏈攻擊，揭示供應鏈攻擊手法不僅愈趨多元，影響範圍也持續擴大。 「供應鏈安全都用同一個詞，但其實大家指的常常都是不同的問題，」陳仲寬分析，供應鏈威脅可以歸納為四種主要樣態：第一種是軟體遭植入惡意程式；第二種是攻擊者不直接鎖定最終目標，而是透過供應商作為跳板的跳島攻擊；第三種是交由委外服務商處理的機敏資料遭到外洩；第四種則是廣泛使用的合法供應商軟體本身存在漏洞。 從原始碼、編譯器到 CI/CD：軟體供應鏈每一環都可能成為攻擊入口 回顧過去十年的重大資安事件，陳仲寬指出，從軟體開發、派發到最終使用者執行，每一個環節都早已成為駭客的標靶。在軟體開發階段，除了開發者可能誤用不安全的開源套件，駭客也曾直接駭入原始碼環境，2020 年的 SolarWinds SUNSPOT 事件就是一例。另一方面，駭客甚至會針對編譯器下手，讓合法編譯出的軟體自動夾帶後門程式，如同 2015 年的…