Cosa è successo: l'esposizione di Salesforce e ServiceNow

Un recente riepilogo settimanale sulla sicurezza di Help Net Security ha segnalato una storia che merita più di una semplice menzione: i portali clienti di Salesforce e ServiceNow sono rimasti esposti per circa 17 mesi prima che il problema venisse alla luce. Il riepilogo, che ha anche trattato una vulnerabilità zero-day di Metabase sfruttata e un'espansione degli avvisi malware di Dependabot di GitHub, ha raggruppato questi elementi per un motivo. Ognuno di essi illustra una diversa sfumatura dello stesso problema di fondo: le piattaforme software aziendali, che si tratti di strumenti di analisi self-hosted, repository di codice o sistemi CRM cloud, sono sicure tanto quanto le configurazioni e le pratiche dei fornitori che le sostengono.

Salesforce e ServiceNow sono due delle piattaforme più utilizzate per la gestione delle relazioni con i clienti, dei ticket di supporto e dei flussi di lavoro interni nelle grandi organizzazioni. Quando i portali costruiti su queste piattaforme vengono esposti, le conseguenze non si limitano all'azienda che li gestisce. A seconda di come il portale è stato configurato e di quali dati memorizzava, l'esposizione può raggiungere nomi di clienti, dati di contatto, cronologie di assistenza e altri record che gli interessati non hanno mai consegnato direttamente all'azienda che li ha divulgati. Questa è la tensione centrale nei casi di esposizione dei dati nelle violazioni aziendali: la persona i cui dati sono a rischio spesso non ha un account diretto né credenziali con la piattaforma coinvolta. È esposta semplicemente perché un'azienda con cui ha interagito ha scelto quella piattaforma per memorizzare le informazioni.

Perché un ritardo di scoperta di 17 mesi è rilevante per la privacy dei consumatori

Il dettaglio più sorprendente in questa storia non è l'esposizione in sé, ma la durata. Diciassette mesi sono un periodo lungo perché un portale configurato male o vulnerabile rimanga accessibile senza essere rilevato. Durante quel lasso di tempo, qualsiasi dato presente nel sistema esposto potrebbe essere stato visualizzato, estratto o copiato da chiunque lo avesse trovato, e l'organizzazione colpita avrebbe avuto poche possibilità di sapere con certezza cosa è stato effettivamente consultato rispetto a ciò che era semplicemente accessibile.

Questo divario tra esposizione e scoperta è un tema ricorrente nei fallimenti di sicurezza aziendali e riveste un'enorme importanza per la privacy dei consumatori. Una violazione scoperta entro pochi giorni può essere contenuta in tempi relativamente rapidi: credenziali reimpostate, accessi revocati, soggetti interessati notificati. Una violazione che persiste per oltre un anno offre ad attaccanti, scraper e approfittatori una finestra molto più ampia e rende molto più difficile la ricostruzione forense. I team di sicurezza spesso non possono affermare con certezza quante volte i dati siano stati consultati o da chi, solo che la porta è rimasta aperta per molto tempo. Per chiunque abbia visto le proprie informazioni passare attraverso uno di questi portali, quell'incertezza è il costo reale.

Il rischio di terze parti e della supply chain continua a emergere nelle piattaforme CRM

Questo non è un modello isolato. Le esposizioni delle piattaforme CRM e di supporto continuano a emergere proprio perché molte organizzazioni instradano dati sensibili dei clienti attraverso la stessa manciata di sistemi di terze parti. Quando qualcosa va storto a quel livello, raramente colpisce una sola azienda; l'onda d'urto si propaga a ogni attività che ha fatto affidamento sulla stessa piattaforma, integrazione o rapporto con il fornitore.

Un chiaro esempio recente di questa dinamica è la violazione della supply chain di LastPass tramite Klue, in cui gli attaccanti hanno compromesso un fornitore di terze parti e utilizzato token OAuth rubati per accedere all'ambiente Salesforce di LastPass. Quell'incidente e l'esposizione di 17 mesi di Salesforce/ServiceNow indicano entrambi lo stesso problema strutturale: le piattaforme CRM aziendali si trovano all'intersezione dei flussi di dati di molte aziende, e un singolo anello debole — che si tratti di una configurazione errata, di una vulnerabilità non corretta o di un'integrazione con un fornitore compromesso — può esporre informazioni ben oltre l'organizzazione proprietaria del portale.

Cosa significa questo per te

Se hai mai inviato un ticket di supporto, compilato un modulo di contatto o interagito con il servizio clienti di un'azienda che utilizza Salesforce, ServiceNow o piattaforme simili, è probabile che alcune delle tue informazioni risiedano in un sistema in cui non hai mai effettuato l'accesso direttamente. Questo significa che dipendi dalle scelte dei fornitori e dalle pratiche di sicurezza di quell'azienda, non solo dalle tue abitudini, per mantenere i tuoi dati al sicuro.

Una VPN non ti proteggerà da questo tipo di esposizione. Le VPN proteggono la tua connessione e la tua attività di navigazione; non fanno nulla per schermare i dati che risiedono nel sistema CRM backend di un'azienda. Le difese realistiche in questo caso sono diverse: presta attenzione alle notifiche di violazione provenienti dalle aziende con cui fai affari, usa password uniche per ogni account così che una fuga in un luogo non possa essere sfruttata altrove, e abilita l'autenticazione a più fattori ovunque sia offerta. Queste abitudini non impediranno una fuga lato azienda, ma limitano nettamente ciò che un attaccante può fare con qualsiasi dato che venga effettivamente esposto.

Azioni concrete da intraprendere

  • Prendi sul serio le notifiche di violazione dai fornitori di servizi, anche se non ricordi di aver creato direttamente un account con la piattaforma interessata.
  • Usa un gestore di password per mantenere credenziali uniche tra i vari servizi, riducendo il raggio d'azione di qualsiasi singola esposizione dei dati in una violazione aziendale.
  • Abilita l'autenticazione a più fattori sugli account collegati ad aziende che memorizzano i tuoi dati personali o finanziari.
  • Rivedi periodicamente quali aziende e portali hai condiviso informazioni con, e valuta di richiedere la cancellazione dei dati dove non sono più necessari.

Storie come questa esposizione di 17 mesi di Salesforce e ServiceNow sono un promemoria che l'esposizione dei dati in una violazione aziendale è spesso invisibile alle persone che colpisce fino a molto tempo dopo l'accaduto. Rimanere informati su come si svolgono questi incidenti e rafforzare la propria igiene degli account in risposta rimane il modo più pratico per limitare i danni quando il prossimo verrà alla luce.