I token OAuth non scadono quando i dipendenti lasciano l'azienda, cambiano le password o le applicazioni smettono di funzionare correttamente. Il vostro programma di sicurezza deve essere consapevole di questo rischio e rimuovere al più presto le autorizzazioni non necessarie e abbandonate.
Immaginate una chiave di riserva. L'avete consegnata a un tecnico sei mesi fa per riparare il vostro impianto di riscaldamento e condizionamento. Il lavoro è stato completato. Il tecnico se n'è andato. Ma la chiave funziona ancora e non l'avete mai richiesta indietro. Questo è più o meno ciò che accade ogni volta che qualcuno nella vostra azienda collega un'app di terze parti a Google Workspace o Microsoft 365 tramite OAuth. Le chiavi digitali vengono create dai vostri dipendenti. Non scadono e, nella maggior parte delle organizzazioni, nessuno le tiene traccia, le controlla o le rimuove quando non sono più necessarie!
OAuth È il sistema alla base dei pulsanti "Connetti con Google" e "Consenti accesso" su cui il tuo team clicca ogni giorno. Permette alle app di leggere il tuo calendario, inviare email per tuo conto o recuperare dati dal tuo spazio di archiviazione cloud, il tutto senza condividere la tua password. Sembra fantastico. Il problema è che il token di accesso che crea rimane attivo a lungo anche dopo che ti sei dimenticato dell'esistenza dell'app. Non viene annullato quando un dipendente lascia l'azienda. Non si reimposta quando qualcuno cambia la password. L'autenticazione a più fattori non serve a nulla per fermare un malintenzionato che è già in possesso di un token valido.
Una ricerca dal Sicurezza dei materiali È emerso che l'80% dei responsabili della sicurezza considera le concessioni OAuth non gestite un rischio critico o significativo. Questa percentuale è elevata da anni. La consapevolezza potrebbe non essere il problema principale, tuttavia, mitigare questa minaccia is.
45% molte organizzazioni non fanno nulla per monitorare le sovvenzioni OAuth su larga scala
33% affidarsi al monitoraggio manuale tramite fogli di calcolo e revisioni ad hoc
Un foglio di calcolo che indica quali app hanno accesso non è la stessa cosa di sapere cosa fanno quelle app con quell'accesso. Uno è un elenco, l'altro è sicurezza. Al momento, la maggior parte dei team ha solo l'elenco.
Nel 2024 e nel 2025, un gruppo di hacker noto come UNC6395 (monitorato dall'Unità 42 di Palo Alto) ha utilizzato token di aggiornamento OAuth rubati a Drift, una piattaforma di coinvolgimento delle vendite, per accedere agli ambienti Salesforce di oltre 700 organizzazioni. Drift disponeva di connessioni OAuth legittime con questi account Salesforce. L'attaccante si è impossessato di questi token, probabilmente tramite precedenti attacchi di phishing, ed è entrato direttamente nel sistema.
Cosa ha reso questo attacco così efficace?
Nulla sembrava sospetto. I token erano validi. L'app era affidabile. L'accesso non è mai avvenuto perché l'attaccante non ha effettuato il login. Ha presentato un token esistente che Drift aveva già ottenuto l'autorizzazione a utilizzare. L'autenticazione a più fattori (MFA) non è entrata in gioco perché non è stata inserita alcuna password. Una volta all'interno, UNC6395 ha estratto i dati e li ha analizzati alla ricerca di credenziali come chiavi AWS, token Snowflake e password. Cloudflare, PagerDuty e decine di altre aziende sono state coinvolte.
Il punto fondamentale non è che Drift fosse una cattiva app. Il punto fondamentale è che un'app apparentemente affidabile al momento dell'installazione può diventare un rischio in seguito se le sue credenziali vengono rubate. I vostri strumenti di sicurezza devono monitorare le attività delle app connesse nel tempo, non solo le autorizzazioni richieste il primo giorno.
La maggior parte degli strumenti di sicurezza OAuth entra in funzione nel momento in cui un'app si connette. Verificano se le autorizzazioni richieste sembrano eccessive. Segnalano le app provenienti da fornitori sconosciuti. Questo è effettivamente utile e dovresti farlo. Ma da solo non basta.
Un'app nota e affidabile, con autorizzazioni ragionevoli, supererebbe facilmente questi controlli. Se le credenziali di quell'app vengono rubate sei mesi dopo, la verifica effettuata al momento dell'installazione non rileverà nulla. Il rischio si presenterà a posteriori.
Quando OAuth è stato progettato, il caso d'uso tipico prevedeva un numero limitato di app approvate dal reparto IT con accesso limitato ai calendari condivisi. Si trattava di una situazione gestibile. Oggi, ogni dipendente collega autonomamente strumenti di intelligenza artificiale, app per prendere appunti, piattaforme di automazione e componenti aggiuntivi per la produttività ai propri account aziendali. Ogni connessione crea un token. Nessuno di questi token scade automaticamente. La maggior parte delle organizzazioni non sa quanti ne possiede.
Con la diffusione degli strumenti di intelligenza artificiale negli ambienti di lavoro, aumenterà anche il numero di connessioni OAuth presenti. Impedire completamente ai dipendenti di utilizzare strumenti di intelligenza artificiale non è realistico e, in ogni caso, non avrebbe fermato l'attacco Drift, dato che quest'ultimo è partito da un'integrazione fidata e approvata.
Inizia creando un elenco di tutte le app OAuth connesse al tuo ambiente Google Workspace o Microsoft 365. Entrambe le piattaforme consentono agli amministratori di farlo senza bisogno di strumenti di terze parti. Cerca le app che non riconosci, le app connesse agli account di persone che hanno lasciato l'azienda e le app con autorizzazioni molto ampie come "leggi tutta la posta" o "accedi a tutti i file". Queste sono le prime app da esaminare e le cui autorizzazioni revocare.
Da lì, prendete l'abitudine di rivedere le autorizzazioni OAuth trimestralmente. Richiede meno tempo di quanto pensiate una volta effettuata la pulizia iniziale, e impedisce che l'elenco diventi di nuovo ingestibile. Quando i dipendenti lasciano l'azienda, includete la revoca delle autorizzazioni OAuth nella checklist di cessazione del rapporto di lavoro, insieme al ripristino della password e alla disattivazione dell'account.
Il tuo passaggio di azione CyberHoot
Questa settimana, accedi alla tua Google Admin Console o al portale Microsoft Entra e visualizza l'elenco delle app di terze parti connesse. Contale. Probabilmente rimarrai sorpreso. Scegli le cinque che ti sembrano meno familiari e controlla a cosa hanno accesso. Revoca l'accesso a quelle non necessarie. Questa semplice azione renderà la tua organizzazione significativamente più sicura già da oggi. Forza!
admin.google.com → Users → [User] → Security → Connected Applications
learn.microsoft.com/en-us/entra/identity/enterprise-apps/manage-application-permissions
Scopri e condividi le ultime tendenze, i suggerimenti e le best practice in materia di sicurezza informatica, oltre alle nuove minacce a cui prestare attenzione.
I ricercatori erano alla ricerca di un falso programma di upscaling fotografico e hanno trovato qualcosa di strano: un kit ransomware e un modello di intelligenza artificiale...
Leggi di più
Da quattro anni, CyberHoot sostiene la stessa cosa sul suo blog: le password sono un grave punto debole. Vengono riutilizzate...
Leggi di più
La Coppa del Mondo FIFA 2026 ha preso il via l'11 giugno negli Stati Uniti, in Canada e in Messico. Sei milioni di tifosi...
Leggi di piùOttieni una visione più attenta dei rischi per l'uomo, con un approccio positivo che supera i tradizionali test di phishing.
