La sicurezza non si limita ai confini dei sistemi propri di un’organizzazione. Le aziende moderne collegano alle loro piattaforme principali una rete sempre più estesa di applicazioni di terze parti per supportare le vendite, l’assistenza e la collaborazione. Ciascuna di queste connessioni aggiunge valore. Ciascuna, però, introduce anche un rischio che l’organizzazione non controlla pienamente.
Questo rischio non è affatto ipotetico. Nel giugno 2026, un malintenzionato ha compromesso i token OAuth associati a Klue, una piattaforma di intelligence competitiva utilizzata per sincronizzare i dati di vendita e di marketing con Salesforce. L’autore dell’attacco ha utilizzato tali token per accedere agli ambienti Salesforce delle numerose organizzazioni che avevano autorizzato l’integrazione, tra cui Commvault.
Non appena siamo stati informati di un potenziale impatto, il nostro team di sicurezza ha attivato la nostra procedura di risposta agli incidenti per determinare cosa fosse accaduto, contenere la vulnerabilità e valutare se le informazioni dei clienti o i servizi Commvault fossero stati compromessi. Dall’indagine è emerso che l’attività era limitata a determinate informazioni relative ai rapporti commerciali e alle vendite conservate all’interno del nostro ambiente Salesforce. L’indagine non ha rilevato alcuna indicazione che i dati di backup dei clienti, i dati sui prodotti, i metadati dei prodotti, i registri operativi o i servizi Commvault siano stati interessati dall’evento.
Agire rapidamente quando conta davvero
La nostra risposta ha seguito le procedure consolidate di gestione degli incidenti di sicurezza, volte a contenere rapidamente il rischio e a garantire al contempo un’indagine approfondita. Non appena siamo stati informati dell’incidente, abbiamo disattivato l’integrazione con Klue, revocato l’accesso associato e collaborato con le parti interessate per condurre una valutazione completa di quanto accaduto. Nel corso dell’indagine, i nostri team hanno lavorato per individuare quali informazioni fossero state consultate, verificare l’integrità del nostro ambiente e confermare che l’incidente fosse rimasto entro i limiti che avevamo già circoscritto.
Un modello degno di nota
Questo episodio è solo uno dei recenti esempi di una tendenza che i team di sicurezza osservano da diversi anni: gli autori degli attacchi prendono di mira applicazioni di terze parti collegate ai sistemi aziendali principali, anziché attaccare direttamente tali sistemi. Una singola integrazione compromessa può offrire un punto di accesso affidabile agli ambienti di numerose organizzazioni a valle contemporaneamente, spesso incontrando meno resistenza rispetto a un attacco diretto a una singola organizzazione.
Questo cambia il contesto in cui deve effettivamente operare il sistema di difesa di un’organizzazione. Rimangono necessari controlli interni rigorosi, ma da soli non sono più sufficienti. Devono essere affiancati da una supervisione attiva di ogni applicazione a cui l’organizzazione si collega e da una capacità di risposta che sia già pronta prima che si verifichi un incidente, non messa a punto nel corso dello stesso.
Rafforzare la resilienza al di là del nostro ambiente
In Commvault, il nostro programma di sicurezza prevede una valutazione continua delle applicazioni di terze parti collegate al nostro ambiente. Esaminiamo regolarmente le applicazioni collegate, valutiamo i diritti di accesso di ciascuna di esse, monitoriamo i rischi emergenti e rivalutiamo tali integrazioni man mano che le esigenze aziendali e il panorama delle minacce cambiano. Quando le circostanze lo richiedono, interveniamo per ridurre l’esposizione e rafforzare la nostra posizione di sicurezza, anche disconnettendo le integrazioni che non soddisfano più i nostri standard.
Il nostro impegno per la trasparenza
La fiducia si costruisce attraverso la trasparenza e la responsabilità. Quando un evento ha ripercussioni sui nostri stakeholder, riteniamo importante comunicare ciò che sappiamo, spiegare come abbiamo reagito e condividere i risultati delle nostre indagini, anche quando l’evento ha avuto origine al di fuori dei nostri sistemi. Continueremo a valutare i nostri controlli di sicurezza, a perfezionare i nostri processi di risposta agli incidenti e a rafforzare il nostro approccio alla gestione dei rischi legati a soggetti terzi, nell’ambito del nostro più ampio impegno a tutela dei nostri clienti e partner.
Per i dettagli ufficiali relativi a questo incidente, compresa la portata dell’indagine e le indicazioni per i clienti, si prega di consultare gli aggiornamenti del nostro Trust Center. Will Galway è Vice CISO presso Commvault.
