Gli anni passano ma le cose che succedono sono sempre le stese: una credenziale del 2022, nata per un progetto pilota limitato, ancora valida quattro anni dopo. Non abbiamo idea se fosse una password, un token o un altro segreto tecnico, né perché quell’accesso non sia stato revocato. Sappiamo, però, che è accaduto l’inevitabile: qualcuno non autorizzato l’ha usata.

La notizia risale a qualche settimana fa e riguarda Klue, società canadese di market e competitive intelligence, che ha rilevato attività non autorizzate nella propria infrastruttura dedicata alle integrazioni. L’attaccante sarebbe riuscito a ottenere alcuni token OAuth usati per collegare Klue ai sistemi dei clienti, tra cui Salesforce, noto servizio cloud. Per chiarezza potete immaginare un token come una delega: consente a un servizio di entrare senza chiedere ogni volta nome utente e password. È comodo, almeno fino a quando non finisce nelle mani sbagliate.

La sequenza è semplice e inquietante: una vecchia credenziale apre l’infrastruttura di Klue; l’infrastruttura custodisce i token dei clienti; i token aprono gli ambienti Salesforce; da quegli ambienti escono i dati. Non è stato necessario espugnare ogni azienda una per una. È bastato colpire il punto in cui molte avevano concentrato una parte della propria fiducia. La supply chain digitale assomiglia a un filo di lucine di Natale di quelli che, quando si brucia una lampadina le altre smettono di funzionare e così scopriamo che l’interdipendenza distribuisce i servizi ma concentra le conseguenze.

Tra le organizzazioni coinvolte figurano anche imprese della cybersecurity. Sorridere è comprensibile, ma sarebbe un sorriso di cattivo gusto. Anche loro, come qualsiasi altra organizzazione vivono di deleghe, integrazioni e fornitori; per quanto bravi a proteggere il proprio perimetro, poco possono quando al nemico le chiavi di casa le consegna chi viene a farti le pulizie.

Altro “film già visto” i clienti che minimizzano. I dati sottratti comprendono soprattutto nomi, email, numeri telefonici, ruoli professionali, dati commerciali e dettagli relativi a ticket di assistenza. Così LastPass, noto fornitore di gestione sicura delle credenziali, esclude il coinvolgimento dei vault delle password e della propria infrastruttura principale; Snyk, piattaforma di sicurezza, parla soprattutto di dati commerciali e di un numero circoscritto di ticket. Qualcuno, sbagliando, potrebbe considerarli dati di serie B. Per costruire un buon messaggio di phishing non serve conoscere chissà quali segreti: bastano il nome giusto, il ruolo giusto, il cliente giusto e un problema reale già segnalato all’assistenza.

Klue ha dichiarato di avere revocato credenziali e token, rimosso codice non autorizzato, disabilitato integrazioni potenzialmente coinvolte e avviato un’indagine. Ha inoltre informato le forze dell’ordine, contattato i clienti colpiti e annunciato una revisione della gestione delle credenziali, degli accessi dei fornitori e del monitoraggio. È la risposta necessaria, ma il punto decisivo viene prima dell’incidente: ogni progetto temporaneo dovrebbe avere accessi temporanei, ogni delega una scadenza, ogni progetto pilota una procedura di chiusura. Diciamo che una credenziale vecchia di quattro anni non appartiene a nessuna di queste buone pratiche. La lezione è sempre la stessa. Nel digitale la fiducia non è un sentimento: è un’autorizzazione con una data di scadenza.