Wenn ein staatlicher Akteur mit den entsprechenden Mitteln und Möglichkeiten eine supply-chain-attack (im Sinne eines tatsächlichen Angriffs auf die Lieferkette real existierender Ware, und nicht in Bezug auf Software) fährt, dann sind die Möglichkeiten, dies aufzudecken minimal, wenn man nicht selbst ebenso auf vergleichbare Ressourcen zugreifen kann. Zudem wird von solchen Angriffsszenarien zwar in der Theorie viel geschrieben, praktisch spielen sie aber bislang kaum eine Rolle, da sie extrem aufwändig sind. Und man darf auch nicht vergessen, wo überall die Gefahr eines solchen Angriffs droht, und dass eine intensive Kontrolle in einem an sich nötigen Umfang jegliche Prozesse und jegliche Tätigkeit lahm legen würde.
Insoweit ist das hier schon ein sehr wohl überlegt eingefädelter Angriff gewesen, der erfolgreich an einer Stelle angesetzt hat, wo man von der anderen Seite ganz offensichtlich kein großes Bedrohungspotential gesehen hat, und deshalb recht sorglos war. Und es war zudem auch ein insoweit sehr intelligenter Angriff, weil man hiermit ausschließlich Personen getroffen hat, die in Verwantwortung in der angegriffenen Organisation tätig waren, und zivile Opfer bestmöglich vermeiden konnte (anders als bei den Maßnahmen in Gaza).
Problematisch an so einem Angriff ist aber natürlich, dass er große Aufmerksamkeit auf die Fähigkeiten des Angreifers gelenkt hat, und Bedrohungsszenarien auf der anderen Seite jetzt sicherlich ganz anders gesehen, bewertet und angegangen werden.