I clienti Framework hanno ricevuto l'email per primi

Il 7 agosto Framework, produttore di laptop riparabili e modulari, ha scritto all'intera base clienti per comunicare che i loro dati erano stati esposti. L'azienda aveva saputo il giorno prima, il 6 agosto, che un aggressore era penetrato nella sua istanza Metabase il 3 agosto ed aveva sottratto record clienti. Framework ha confermato che sono stati presi nomi, indirizzi email, numeri di telefono e indirizzi di fatturazione e spedizione. I dati di pagamento sono stati esplicitamente esclusi, una distinzione che Framework ha tracciato con chiarezza nel proprio avviso.

Framework in sé non è stata violata in senso diretto. Nessuna riga di codice difettosa nel proprio sistema ne è stata la causa. L'azienda era cliente di Metabase, la piattaforma di business intelligence che molte imprese usano per interrogare i propri dati operativi e di vendita, e l'aggressore è entrato tramite Metabase, non tramite Framework.

La falla era in Metabase, non in nessuno dei suoi clienti

Metabase ha reso nota una falla critica zero-day di SQL injection non autenticata nell'endpoint API di reset password. Un aggressore privo di qualsiasi credenziale poteva iniettare SQL arbitrario contro il database dell'applicazione sottostante, il che bastava a garantirgli direttamente accesso amministrativo a un'istanza Metabase. Metabase ha dichiarato che la falla riguardava anche il proprio prodotto Cloud SaaS ed ha confermato lo sfruttamento attivo prima di pubblicare una correzione. Le versioni corrette partono dalla 0.58.24 e arrivano fino alla 0.63.5 e successive, coprendo tutte le linee di versione supportate.

Questo è il dettaglio che gli imprenditori tendono a trascurare: la vulnerabilità risiedeva nel codice stesso di Metabase, non nel modo in cui Framework, Tally o LexisNexis avevano configurato i propri account. Ogni cliente con un'istanza interessata e non aggiornata è stato esposto allo stesso modo, senza colpa propria.

Tre aziende, un fornitore, un solo pomeriggio

Framework non era sola. Anche Tally, un prodotto di moduli e questionari, e LexisNexis, la società di dati e ricerca giuridica, sono state colpite dalla stessa falla di Metabase. Tre aziende senza nulla in comune sul piano operativo, che servono mercati diversi con prodotti diversi, si sono ritrovate a informare i propri clienti sulla stessa causa di fondo a distanza di pochi giorni l'una dall'altra. Nessuna condivideva con le altre una base di codice, un team di sicurezza o un rapporto con lo stesso fornitore. Condividevano uno strumento di business intelligence.

Questo è lo schema che merita attenzione. Un'unica falla in una piattaforma SaaS ampiamente usata non produce una sola violazione. Produce tante violazioni quanti sono i clienti di quella piattaforma con dati sfruttabili al suo interno, tutte insieme, tutte riconducibili a un fornitore di cui i clienti delle aziende colpite non avevano mai sentito parlare.

Cosa è stato preso e cosa l'avviso esclude esplicitamente

L'avviso di Framework è un modello utile per leggere qualsiasi notifica di violazione. Elenca quattro categorie sottratte: nomi, indirizzi email, numeri di telefono e indirizzi di fatturazione o spedizione. Elenca una categoria esplicitamente esclusa: i dati di pagamento. Questa esclusione conta, ma non è il quadro completo. Nomi, email, telefoni e indirizzi fisici sono esattamente la materia prima per phishing mirato, tentativi di SIM-swap e furto di account altrove, anche senza un solo numero di carta coinvolto.

Leggi ogni avviso di violazione cercando entrambe le liste, ciò che è stato confermato preso e ciò che è stato confermato non preso, e tratta ciò che non viene menzionato come sconosciuto, non come sicuro. Un avviso che ti rassicura sui dati di pagamento non ti ha detto nulla sul tuo numero di telefono.

La domanda che ogni imprenditore dovrebbe porsi questa settimana

La maggior parte delle aziende sa nominare senza esitare la propria banca e il proprio assicuratore. Molte meno sanno nominare ogni strumento SaaS e di business intelligence che custodisce una copia viva dei dati dei propri clienti, o dire con sicurezza come sia la postura di sicurezza di quel fornitore. Metabase, Salesforce, HubSpot, una dashboard di analytics, una piattaforma di supporto: ognuno è una porta verso il tuo elenco clienti che non controlli e raramente verifichi. Per le aziende italiane vale anche l'obbligo, previsto dal GDPR e vigilato dal Garante Privacy, di notificare tempestivamente una violazione che riguarda dati personali, indipendentemente da dove risieda la falla originaria.

Il passo pratico non è abbandonare gli strumenti SaaS di business intelligence. È stilare un breve elenco di ogni fornitore con accesso in scrittura o lettura ai dati personali dei clienti, verificare quali hanno l'autenticazione a più fattori attiva e aggiornano rapidamente, e chiedere direttamente a ciascuno quali sono i suoi tempi di notifica degli incidenti. I clienti Framework lo hanno saputo al quarto giorno. Pianifica che il tuo avviso arrivi in tempi altrettanto brevi e decidi ora, non dopo l'arrivo dell'email, cosa dirai ai tuoi stessi clienti.

Da leggere ora: L'interruttore off di Rovo non spegne niente  |  I vostri server hanno ereditato un bug Linux di 18 anni