Hardware Ready Ready to Bench?
Identità digitali e sicurezza. Un recente incidente ha visto coinvolti Dropbox e Lenovo ID, a seguito di una vulnerabilità nel sistema di autenticazione di quest’ultimo che ha permesso ad un hacker di accedere a circa 5.000 account Dropbox.
Gli accessi non autorizzati si sono verificati tra il 4 e il 21 agosto 2026, secondo quanto comunicato da Dropbox, in meno di un terzo dei casi i file presenti negli account sono stati visualizzati o scaricati. L’attacco non ha interessato direttamente i sistemi Dropbox, ma ha sfruttato una falla nel sistema di autenticazione di Lenovo ID, tramite il collegamento esistente tra i due servizi.
Identità digitali e sicurezza: perché è importante
La vulnerabilità riguardava la verifica dell’indirizzo e-mail: un soggetto non autorizzato poteva registrare un Lenovo ID associandolo all’e-mail di un altro utente e, attraverso tale account, accedere al corrispondente account Dropbox. La situazione è stata aggravata dal fatto che gli account compromessi non utilizzavano l’autenticazione a più fattori.
Dropbox ha successivamente interrotto le sessioni autenticate tramite Lenovo ID, disattivando il collegamento tra i due servizi e introducendo ulteriori requisiti per l’accesso.
Implicazioni GDPR
Dal punto di vista giuridico, l’incidente solleva la questione della sicurezza nel trattamento dei dati personali. Il GDPR impone ai titolari e responsabili del trattamento di adottare misure tecniche e organizzative adeguate al rischio, considerando anche la capacità dei sistemi di garantire riservatezza, integrità e disponibilità dei dati.
Una violazione non deve necessariamente consistere nel furto di un database: l’accesso non autorizzato a un account contenente dati personali può configurare una violazione ai sensi del GDPR. Le aziende dovranno quindi valutare gli obblighi di notifica all’autorità di controllo entro 72 ore dalla scoperta della violazione e, nei casi più gravi, comunicarlo agli interessati.
Il caso evidenzia anche i rischi legati alla sicurezza delle integrazioni con soggetti terzi. Affidarsi a un identity provider o servizio esterno non trasferisce automaticamente la responsabilità della sicurezza; l’utilizzo di sistemi di autenticazione richiede una valutazione dei rischi relativi alla catena tecnologica e alle modalità di verifica dell’identità degli utenti.
Misure di sicurezza principali
Cosa cambia e quali sono gli effetti
L’episodio Dropbox-Lenovo sottolinea l’importanza della gestione delle identità digitali nella sicurezza informatica. Un primo passo consiste nel censire le integrazioni e i sistemi di autenticazione di terze parti, verificando quali applicazioni possono accedere ai sistemi aziendali, con quali credenziali e tramite quali meccanismi.
Particolare attenzione va riservata alle integrazioni legacy, realizzate in passato e ancora attive nonostante il loro utilizzo sia diventato marginale. È inoltre opportuno adottare, ove possibile, l’autenticazione a più fattori (MFA), che aggiunge un ulteriore livello di protezione in caso di compromissione delle credenziali o dei sistemi di autenticazione esterni.
A livello organizzativo e contrattuale, è necessario verificare i servizi forniti da terzi, soprattutto quelli ICT e cloud, definendo responsabilità, misure di sicurezza, procedure di gestione degli incidenti e obblighi di comunicazione. La sicurezza dei fornitori e dei servizi esterni deve essere parte integrante della gestione complessiva della sicurezza aziendale.
Infine, devono essere previste procedure per individuare tempestivamente accessi anomali e incidenti, definendo responsabilità, modalità di intervento e criteri per il coinvolgimento del responsabile IT, del DPO, dei consulenti legali e, se necessario, delle autorità competenti.
L’incidente che ha riguardato Dropbox e Lenovo ID dimostra come, nell’attuale ecosistema digitale, la vulnerabilità di un’organizzazione possa risiedere anche al di fuori dei suoi sistemi. La sicurezza non può essere valutata solo verificando la protezione dei server aziendali; è necessario considerare chi può accedere ai sistemi, con quali strumenti, quali soggetti terzi sono considerati affidabili e se tali rapporti siano ancora necessari e sicuri. Le integrazioni tecnologiche devono essere periodicamente mappate, valutate ed eliminate quando non più necessarie. La sicurezza non è un requisito da verificare una volta sola, ma un processo continuo che deve accompagnare l’intero ciclo di vita dei sistemi e dei rapporti con i fornitori.
Fonte e approfondimento su identità digitali e sicurezza: articolo originale.
* Contenuto realizzato con l'ausilio di sistemi di intelligenza artificiale.