Una violazione del fornitore che continua a peggiorare
Quando è emersa la notizia che la piattaforma di market intelligence Klue aveva subito una violazione dei dati, la storia inizialmente sembrava familiare: una credenziale compromessa, un accesso non autorizzato e un'ondata di organizzazioni a valle che cercavano di valutare l'esposizione. Degli aggressori, legati a un gruppo che si fa chiamare Icarus, hanno ottenuto accesso all'ambiente di Klue tra l'11 e il 12 giugno, sfruttando una credenziale legacy legata a un account di servizio per integrazioni che apparentemente non era mai stata revocata dopo la conclusione di un programma pilota limitato. Nessuna autenticazione a più fattori si è frapposta.
Già questo basterebbe a descrivere una storia piuttosto comune di sicurezza nella catena di fornitura. Ma la violazione di Klue ha preso una piega insolita. Un secondo gruppo avrebbe ottenuto i dati rubati e avrebbe iniziato a estorcere denaro in modo indipendente alle stesse organizzazioni colpite, dicendo esplicitamente alle vittime di non fidarsi di Icarus. In altre parole, gli hacker stessi sono stati hackerati e i dati rubati dei clienti sono diventati una merce contesa all'interno del sottobosco criminale, non solo una merce di scambio tra aggressore e vittima.
Perché questo cambia il calcolo del ransomware
Per anni, le organizzazioni che hanno dovuto affrontare una richiesta di ransomware o di estorsione hanno valutato una serie familiare di compromessi: pagare e sperare che l'aggressore cancelli i dati, oppure rifiutare e rischiare l'esposizione pubblica. L'incidente di Klue complica notevolmente questa logica. Se i dati rubati possono essere rivenduti, rubati di nuovo o riutilizzati da un gruppo criminale concorrente dopo che una vittima ha già pagato o negoziato, allora l'ipotesi che un singolo pagamento risolva la minaccia non regge più.
Questo aspetto è importante soprattutto per la privacy, perché le persone le cui informazioni risiedono in questi sistemi – clienti, potenziali clienti e dipendenti citati nei dati commerciali o di intelligence – non hanno visibilità su quante parti siano ora in possesso di copie dei loro dati. Una notifica di violazione che descrive un singolo gruppo di aggressori sottostima l'esposizione reale se un secondo gruppo, non correlato, sta monetizzando autonomamente lo stesso insieme di dati. Per gli utenti comuni, questo rafforza una lezione che si applica anche agli strumenti di messaggistica e comunicazione sicura: gli aggressori prendono sempre più di mira l'anello più debole di una catena di fiducia piuttosto che la tecnologia stessa. Lo stesso schema emerge dai report sul perché gli utenti di Signal vengono hackerati, non l'app, dove la piattaforma sottostante è solida ma le falle umane e procedurali creano l'apertura.
Il vero punto di cedimento: l'igiene del fornitore, non la sofisticazione
Ciò che colpisce della violazione di Klue è quanto sia stata ordinaria l'intrusione iniziale. Nessun exploit zero-day, nessun malware innovativo e nessuna tecnica da attore statale. Secondo quanto riportato, gli aggressori hanno utilizzato una credenziale legacy associata a un account di integrazione che Klue apparentemente non aveva disattivato dopo la conclusione del programma pilota e che non era protetto da autenticazione a più fattori. Questa combinazione – una credenziale orfana e nessuna MFA – è una delle modalità di cedimento più comuni e prevenibili nella sicurezza aziendale.
Questo è importante per il dibattito sulla privacy perché dimostra che il rischio per i dati personali e aziendali spesso non deriva dalla sofisticazione degli aggressori, ma da banali mancanze amministrative presso fornitori terzi che i clienti hanno poche possibilità di verificare direttamente. Le organizzazioni che utilizzavano la piattaforma di Klue, inclusa la sua integrazione con Salesforce, si sono trovate esposte non per qualcosa che avevano fatto, ma per il modo in cui un fornitore gestiva le credenziali di accesso lato server.
Cosa significa per te
Se la tua organizzazione utilizza fornitori terzi che si integrano con sistemi aziendali principali come Salesforce, piattaforme HR o database clienti, la violazione di Klue ricorda che la sicurezza dei tuoi dati dipende da pratiche di sicurezza che non puoi vedere né controllare completamente. Chiedi direttamente ai fornitori se le credenziali di programmi legacy o pilota vengono controllate e disattivate e se l'MFA è applicata su ogni punto di integrazione, non solo sugli accessi principali degli utenti.
Per i singoli individui le cui informazioni potrebbero trovarsi nei sistemi dei fornitori come clienti, lead o contatti, vale la pena ricordare che una notifica di violazione potrebbe descrivere solo il primo attore noto ad aver avuto accesso ai dati. Come dimostra il caso Klue, i dati rubati possono circolare ulteriormente all'interno delle reti criminali, portando talvolta a tentativi di estorsione secondari che non hanno nulla a che fare con la divulgazione della violazione originale.
Cosa fare per ridurre il rischio legato a terze parti
La violazione di Klue sottolinea che il rischio informatico legato a terze parti non è una voce ipotetica da inserire in un report di conformità. È una minaccia attiva e in evoluzione, in cui i dati rubati possono essere venduti, ri-sottratti o monetizzati in modo indipendente molto tempo dopo l'incidente iniziale. Le aziende dovrebbero considerare l'igiene delle credenziali dei fornitori – inclusa la tempestiva disattivazione degli account di integrazione non utilizzati e l'applicazione universale dell'MFA – come un requisito di base piuttosto che una best practice. Gli individui dovrebbero rimanere vigili contro tentativi imprevisti di estorsione o phishing che facciano riferimento a dettagli personali, anche da parti non collegate a un avviso di violazione iniziale, poiché quei dati potrebbero ora circolare ben oltre il loro primo punto di compromissione.
