I plugin dei browser possono filtrare segreti aziendali

A luglio scorso, il ricercatore Sam Jadali ha scoperto diverse estensioni per i browser Chrome e Firefox che registrano la cronologia di navigazione per por inviarla a terze parti. Inoltre, ha scoperto una piattaforma dedicata alla compravendita di questi dati.

Una notizia del genere potrebbe anche non destare allarme. Cosa succederebbe se si venisse a scoprire che uno dei vostri dipendenti ha visitato un sito di un fornitore o si è collegato su un social network con l’account aziendale? Se queste estensioni non accedono ad altre informazioni, qual è il problema? In realtà, tali estensioni si dedicano a filtrare periodicamente i dati aziendali: vediamo come.

Alcuni link rivelano tutto di voi

Probabilmente, i social network e i siti ufficiali di partner e fornitori non divulgano informazioni segrete. Dovresti preoccuparvi invece di quelle pagine “chiuse” alle quali si accede solamente mediante link unici, che potrebbero essere sfruttati per ottenere informazioni. In realtà, è proprio la loro segretezza a proteggere queste pagine, in quanto da fuori non si conoscono i loro indirizzi. Ecco alcuni esempi di queste pagine.

Conferenze online

Immaginate che la vostra azienda organizzi spesso incontri e conferenze via web, momento in cui i dipendenti di diverse divisioni aziendali parlano di questioni lavorative, organizzano sessioni di brainstorming o ricevono informazioni di gestione. Esistono numerose piattaforme dove svolgere questi meeting online; per alcune c’è bisogno di una password per partecipare ma le aziende più piccole spesso utilizzano soluzioni gratuite o low-cost che propongono solamente un link con un unico identificatore per il meeting online, che viene inviato a tutte le parti interessate. Ed è tutto ciò di cui ha bisogno il partecipante alla riunione.

Immaginate che uno dei dipendenti che ha ricevuto questo link abbia installato sul proprio browser una di queste estensioni che passa informazioni all’esterno. Non appena partecipa alla conferenza online, il plugin senza scrupoli invia l’URL al mercato di compravendita corrispondente. Un cybercriminale che sta raccogliendo informazioni sulla vostra azienda o semplicemente è alla ricerca di un’occasione, acquista la cronologia di navigazione del vostro dipendente e visualizza i meeting a cui sta partecipando in tempo reale.

Niente impedisce all’acquirente del link di prendere parte alla conferenza; naturalmente, gli altri partecipanti riceveranno una notifica che avvisa della presenza di una nuova persona all’evento. Tuttavia, se al meeting sono invitate decine di partecipanti, è probabile che non tutti si conoscano tra loro per cui è molto difficile che si dubiti della presenza di una persona in particolare. Di conseguenza, l’intruso verrà a conoscenza di tutto ciò che si dirà durante il meeting.

Fatture online dei fornitori

I fornitori della vostra azienda potrebbero utilizzare servizi online per la fatturazione. In alcuni di questi servizi, per accedere alle fatture di pagamento si utilizza un link unico e al contempo disponibile per tutti. Se un cybercriminale ottiene l’accesso a una fattura, verrà a conoscenza del nome e dell’indirizzo della vostra azienda e della compagnia che vi fa da fornitore, la somma pagata e altri dati.

È vero che, nella maggior parte dei casi, se queste informazioni andassero a finire nelle mani sbagliate, non accadrebbe nulla di male. Ma se queste informazioni le riceve un cybercriminale specializzato in ingegneria sociale, allora queste fatture contengono informazioni di grande valore.

Documenti di lavoro

Molte aziende utilizzano servizi online come Google Drive per collaborare con altre aziende. In teoria, è possibile restringere l’accesso ai file per evitare che possano essere aperti dall’esterno; tuttavia, non tutti configurano queste restrizioni sui file condivisi. Spesso, chiunque abbia accesso al link che reindirizza a un file online può visualizzare e anche modificare il documento, che può contenere qualsiasi tipo di informazioni, da prezzi, tariffe a dati personali dei dipendenti.

Come difendersi da fughe di dati su vasta scala

Per ridurre il rischio di fughe di dati, ricordate ai dipendenti di prestare molta attenzione e cautela ogniqualvolta decidano di installare un’estensione del browser. Se il servizio online in uso lo consente, prima della condivisione di un documento è necessario restringere l’accesso solo ai diretti interessati. L’ideale sarebbe creare un elenco approvato delle estensioni del browser autorizzate e vietarne qualsiasi altra potenzialmente pericolosa.

Inoltre, è importante effettuare un’analisi dei servizi online in uso in azienda e identificare le piattaforme a cui si può accedere mediante un link diretto e senza autenticazione. In caso positivo, bisognerebbe cercare un’alternativa più sicura dello stesso servizio.

Infine, è fondamentale installare di una soluzione di sicurezza affidabile su tutti i computer aziendali, per bloccare qualsiasi tentativo d’installazione di estensioni dannose o di qualsiasi altra minaccia informatica.