Hedefe doğrudan değil, kullandığı yazılım, kütüphane ya da hizmet sağlayıcısı üzerinden ulaşan saldırı.
Diğer adları: supply chain attack
Zararlı kod meşru bir güncellemeye ya da açık kaynak pakete gizlenir; bu yüzden binlerce kurumu aynı anda etkileyebilir.
Google, Çinli bir şirketin alan adını satın alması ve kullanıcıları kötü amaçlı ve dolandırıcı sitelere yönlendirmek için JavaScript kitaplığını ("polyfill.js") değiştirmesinin ardından Polyfill.io hizmetini kullanan e-ticaret sitelerinin reklamlarını engellemek için adımlar attı.
Diamond Sleet olarak izlenen Kuzey Kore devlet destekli bir tehdit aktörü, bir tedarik zinciri saldırısı yoluyla alt müşterileri hedeflemek için CyberLink adlı Tayvanlı bir multimedya yazılım geliştiricisi tarafından geliştirilen meşru bir uygulamanın truva atı haline getirilmiş bir sürümünü dağıtıyor.