La cyber security delle piattaforme di collaborazione

L’adozione delle piattaforme di collaborazione

I dati parlano di un’adozione in forte crescita tant’è che, secondo Gartner, queste piattaforme, più che strumenti per la collaborazione, sono veri e propri ecosistemi collaborativi integrati. Ingredienti che le rendono appetibili al cyber crimine.

Va considerato che queste piattaforme, oltre a sfruttare ambienti cloud e strumenti Software-as-a-Service (SaaS), tendono a essere integrate con delle intelligenze artificiali (AI). Tutto ciò va ad aumentare i potenziali rischi per la sicurezza e la privacy.

Facili da usare e da personalizzare, stanno trasformando il modo di lavorare. Come contropartita ampliano la superficie d’attacco: la loro stessa duttilità – la capacità di integrarsi con strumenti di terze parti o di esservi integrate – apre nuovi varchi ai rischi relativi alle identità digitali, ai documenti condivisi, alle API, ai bot e altri ancora.

Nell’ambito delle piattaforme per la collaborazione, in generale, gli obiettivi a cui possono tendere i criminal hacker includono il movimento laterale, l’esfiltrazione di dati, la compromissione della supply chain interna e la manipolazione dei flussi operativi.

Tre aree di rischio

Per contestualizzare e definire meglio i rischi, è possibile ricondurre a tre aree di rischio le diverse criticità.

La prima è afferente alla fiducia. Gli utenti si fidano delle piattaforme di collaborazione più di quanto si fidino, per esempio, della posta elettronica e questo tende a fare abbassare loro la guardia.

Un link ricevuto via email può sollevare dei sospetti, mentre un link ricevuto da una di queste piattaforme viene percepito come “interno” e quindi sicuro, anche quando non lo è.

La seconda area di rischio è la centralizzazione. Una volta compromessa una piattaforma, gli attaccanti possono avere accesso a una quantità di dati e informazioni tra chat, file, calendari, repository, documentazione interna, contatti e automazioni.

L’ultima area è l’integrazione di queste piattaforme che tramite webhook, plugin, bot, automazioni, token OAuth e connettori SaaS aggiungono tasselli alle superfici di attacco.

All’interno di queste aree si posiziona l’esposizione involontaria di dati, problema che non deriva per forze di cose da un attacco propriamente detto, deriva dalla combinazione tra condivisione rapida, automazione, integrazioni esterne e scarsa governance interna.

Documenti strategici, credenziali, informazioni finanziarie, dati personali, codice sorgente, chat interne o file confidenziali possono essere condivisi accidentalmente tramite link pubblici, permessi errati, sincronizzazioni cloud automatiche, canali configurati male o applicazioni terze con accessi eccessivi.

In molti casi gli utenti non percepiscono più il confine tra ambiente interno ed esterno, perché queste piattaforme sono progettate per ridurre gli attriti nella collaborazione e favorire la circolazione immediata delle informazioni.

Un semplice invito a un collaboratore esterno, la pubblicazione involontaria di un file in un workspace condiviso o l’autorizzazione concessa a un’app OAuth possono trasformarsi in una perdita silenziosa di dati aziendali sensibili senza che vi sia alcuna compromissione tecnica evidente.

Il rischio aumenta ulteriormente quando le piattaforme integrano chatbot IA, workflow automatici, repository documentali e sistemi SaaS eterogenei, poiché i dati possono propagarsi rapidamente tra servizi differenti rendendo difficile tracciare chi ha avuto accesso a cosa e in quale momento.

Per questo oggi la sicurezza delle piattaforme collaborative travalica la cybersecurity classica e diventa un problema di governance delle identità, classificazione dei dati, controllo dei privilegi e monitoraggio continuo degli ambienti cloud collaborativi.

I casi reali

Uno dei casi più noti riguarda Microsoft al cui interno, nel 2023, un team di ricerca AI ha esposto accidentalmente 38 TB di dati tramite una cattiva configurazione di un link su Azure mettendo così a rischio chiavi private, password e oltre 30.000 messaggi interni Microsoft Teams.

Nel 2024 The Walt Disney Company ha deciso di ridurre l’uso di Slack dopo che il collettivo NullBulge ha compromesso parte della supply chain interna inducendo gli utenti a prelevare file malevoli e ottenendo accesso a diversi sistemi, Slack inclusa.

Anche Slack Technologies stessa è stata vittima di incidenti di sicurezza. Nel 2023 l’azienda ha comunicato che alcuni token dei dipendenti sono stati rubati e utilizzati per accedere a repository GitHub privati ospitati esternamente.

Sebbene Slack abbia dichiarato che i dati clienti non risultavano compromessi, questo episodio mostra bene il rischio associato a token, integrazioni e supply chain collegate agli strumenti collaborativi.

Sono tutti casi in cui le piattaforme per la collaborazione o i sistemi integrati hanno contribuito a esposizioni involontarie o compromissioni operative in seguito a configurazioni errate o, comunque, ad abusi degli ambienti collaborativi stessi.

Strategie di protezione

Tra limitazioni dei bot, il monitoraggio continuo e le tecnologie di supporto alla cybersecurity, possono essere introdotte diverse strategie di protezione.

Uno degli aspetti più critici riguarda la gestione di bot, di plugin e di applicazioni terze che rappresentano contemporaneamente un fattore di produttività e una delle principali superfici d’attacco.

Ha quindi senso adottare politiche che limitano l’installazione autonoma di applicazioni da parte degli utenti, imponendo processi di approvazione centralizzata, privilegi minimi e revisione periodica dei token OAuth per ridurre il rischio di accessi persistenti non autorizzati.

Parallelamente assume un ruolo di rilievo il monitoraggio continuo delle attività all’interno delle piattaforme collaborative, attraverso sistemi capaci di analizzare comportamenti anomali, accessi insoliti, trasferimenti massivi di dati, condivisioni esterne sospette o utilizzo anomalo delle API.

Questo tipo di controllo si basa sempre più su strumenti di threat detection cloud-native, strumenti Security Information and Event Management (SIEM, ai quali abbiamo dedicato un approfondimento), tecnologie XDR e modelli di analisi comportamentale supportati dall’intelligenza artificiale, progettati per identificare attività compatibili con phishing interno, furto di credenziali, abuso di token o movimenti laterali all’interno dell’ecosistema collaborativo.

Non di meno, le architetture di sicurezza moderne applicano principi Zero Trust, nei quali nessun utente, dispositivo o applicazione viene considerato affidabile anche se già presente nell’ambiente aziendale, imponendo autenticazione multifattore, verifica continua dell’identità e segmentazione degli accessi ai dati sensibili.

Un ulteriore elemento fondamentale è rappresentato dalle soluzioni CASB e SSPM, nate specificamente per governare gli ambienti SaaS e monitorare configurazioni errate, applicazioni autorizzate, permessi eccessivi e rischi di esposizione involontaria dei dati.

La tecnologia Cloud Access Security Broker (CASB) si interpone tra gli utenti e i servizi cloud per monitorare e proteggere l’uso di piattaforme SaaS e, in breve, consente di controllare chi accede a quale risorsa cloud, da dove, con quale dispositivo accede, quali dati consulta e come li usa.

Gli strumenti SaaS Security Posture Management (SSPM) sono pensati per esaminare e correggere le configurazioni nelle applicazioni SaaS aziendali, passando in rassegna i settaggi, i permessi eccessivi, gli account non utilizzati, le integrazioni rischiose, le condivisioni a cui prestare attenzione e le violazioni della compliance.

In questo contesto la cybersecurity va al di là della difesa del perimetro aziendale tradizionale e assume la capacità di controllare un ecosistema distribuito di identità, workflow, API, bot e servizi cloud interconnessi, nel quale la velocità della collaborazione digitale deve essere costantemente bilanciata con visibilità, governance e capacità di risposta agli incidenti.