Quasi 200 aziende hanno subito l’esposizione dei propri dati senza che i loro sistemi venissero compromessi direttamente. È bastato colpire un fornitore con accesso autorizzato ai loro ambienti CRM. Il caso Klue riguarda meno un attacco sofisticato e più una domanda che ogni organizzazione dovrebbe porsi: chi può accedere ai nostri dati tramite terze parti e per quanto tempo?

Cosa è successo, dal punto di vista del business

Klue, piattaforma di competitive intelligence, manteneva integrazioni con gli ambienti Salesforce dei propri clienti. Una credenziale obsoleta mai revocata ha consentito a un gruppo di estorsione di accedere ai dati aziendali di centinaia di organizzazioni.

Non è stato necessario compromettere ogni singola azienda. Colpire un unico rapporto di fiducia è stato sufficiente per coinvolgere quasi 200 organizzazioni.

Perché questo è un rischio di business e non solo un problema IT

Le informazioni esposte comprendevano nomi, ruoli, indirizzi e-mail aziendali, numeri di telefono, note sulle opportunità commerciali e dettagli contrattuali. Informazioni ideali per campagne mirate contro dirigenti, clienti e prospect.

L’aspetto più importante è che il rischio non era interno all’azienda, ma nascosto in un’integrazione di terze parti spesso invisibile alle funzioni di business. Le tradizionali valutazioni dei fornitori basate esclusivamente su questionari non hanno individuato questa esposizione.

Un segnale che il management non può ignorare

Tra le vittime confermate figurano aziende leader della cybersecurity come Huntress, Recorded Future, LastPass, Tanium e BeyondTrust. Organizzazioni con processi di vendor due diligence molto maturi sono state comunque colpite dallo stesso punto di fiducia.

L’incidente ha avuto inoltre un’evoluzione insolita: durante la negoziazione, lo stesso gruppo criminale sarebbe stato compromesso da un secondo threat actor, che ha ottenuto parte dei dati sottratti. Per il board il messaggio è chiaro: negoziare con gli attaccanti non elimina il rischio quando i dati sono già stati diffusi.

Le decisioni che spettano al management

Questo non è soltanto un tema tecnico. Richiede decisioni di governance.

1. Rendere visibile ciò che oggi è invisibile: mantenere un inventario completo di tutte le integrazioni e dei fornitori con accesso ai sistemi critici come CRM, Finance e HR. Non è possibile proteggere ciò che non si conosce.

2. Eliminare gli accessi permanenti: considerare credenziali e token di lunga durata come un rischio. L’accesso dei fornitori dovrebbe scadere automaticamente.

3. Sostituire i questionari con evidenze: passare dalle valutazioni annuali al monitoraggio continuo dei fornitori critici.

4. Preparare la risposta: definire in anticipo chi prende le decisioni relative a notifica, comunicazione e negoziazione quando l’incidente coinvolge un fornitore.

Conclusione

L’attacco a Klue non ha richiesto tecniche particolarmente sofisticate. Ha sfruttato uno degli elementi più trascurati del software aziendale: i rapporti di fiducia tra organizzazioni e fornitori. Finché gli accessi di terze parti resteranno estesi e permanenti, compromettere un singolo fornitore continuerà a significare esporre centinaia di vittime. La resilienza dipende meno dall’aggiungere nuove tecnologie e più dal sapere esattamente chi può accedere ai propri dati e revocare rapidamente tale accesso.

Fonti: Klue · Huntress · Recorded Future · ReliaQuest · BleepingComputer · SecurityWeek · TechCrunch.