Zo werkt een aanval via een vertrouwde appwinkel

Wat is een supply-chain-aanval?

Denk aan een bakker die elke week meel bij dezelfde leverancier haalt. Een oplichter hoeft de bakkerij niet binnen te komen als hij het meel zelf kan vervuilen. De bakker vertrouwt zijn leverancier, dus hij controleert niet elke zak.

Met software werkt het hetzelfde. Je haalt een app of extensie uit een appwinkel, want je gaat ervan uit dat de winkel en de maker kloppen. Een extensie is een klein programma dat je aan een ander programma toevoegt.

Aanvallers kiezen deze route omdat één gelukte aanval veel mensen tegelijk raakt. Ze hoeven geen duizend gebruikers apart te misleiden. Ze nemen één punt over waar iedereen zijn spullen vandaan haalt.

Waarom zijn updates bij zo'n aanval belangrijk?

Veel programma's werken hun onderdelen automatisch bij. Dat is handig, want fouten en lekken verdwijnen zonder dat jij iets doet. Je telefoon doet dat met je apps ook.

Daardoor werkt het ook andersom. Komt er een slechte versie onder de naam van de maker binnen, dan krijg je die net zo makkelijk als een goede. Een bekend logo of een officiële afzender bewijst dus niets over de inhoud.

Het gevaar is groter bij tools die veel mogen. Een AI-hulp voor programmeurs moet bestanden en code kunnen lezen, anders kan hij niet meedenken. Een nepversie krijgt die toegang dan ook, en dat maakt zo'n tool aantrekkelijk voor aanvallers.

Hoe beperk je het risico van een supply-chain-aanval?

Een voorbeeld is de nepversie van de Claude Code-extensie in de appwinkel van Cursor, een programmeertool met AI. Hij kwam binnen via een officiële winkel. Hoe de aanvallers daarbij konden, hebben Cursor en Anthropic nog niet uitgelegd.

Je kunt zelf drie dingen doen. Kijk in de instellingen of je automatische updates kunt aanpassen. Installeer alleen wat je echt gebruikt, want elke extra extensie is een extra deur. Weet ook welke wachtwoorden en sleutels op je computer staan.

Gaat er toch iets mis, dan kun je dankzij dat overzicht snel de juiste wachtwoorden vervangen. Volg bij een incident de meldingen van de maker van je tool. Daarin staat welke versies je moet nakijken.