Le applicazioni di videoconferenza sono cresciute sostanzialmente dopo lo scoppio della pandemia globale di coronavirus (COVID-19). Secondo l’articolo di Research and Markets “La domanda di videoconferenza aumenta a causa del distanziamento sociale”, il software di videoconferenza ha registrato 62 milioni di download nel marzo 2020. Questo aumento dell’utilizzo è risultato dalle aziende che hanno adottato le piattaforme di videoconferenza come mezzo per facilitare il passaggio al lavoro remoto .
Le preoccupazioni relative alla produttività in un momento di crisi senza precedenti hanno spinto molte organizzazioni ad abbracciare rapidamente la tecnologia di videoconferenza. In tal modo, alcune organizzazioni potrebbero aver trascurato di tenere conto della sicurezza delle app di videoconferenza. Data questa possibilità, le organizzazioni devono avere familiarità con i tipi di rischi per la sicurezza e la privacy che potrebbero aver trascurato. Solo così potranno formulare le migliori pratiche efficaci per rafforzare la loro sicurezza digitale in futuro.
Intermezzo promozionale ... continua la lettura dopo il box:
Usufruisci di uno sconto per fare un CONTROLLO DELLA REPUTAZIONE PERSONALE o AZIENDALE [ click qui ]
Rischi associati alle app di videoconferenza
I rischi per la sicurezza e la privacy associati alle applicazioni di videoconferenza si suddividono in due categorie: attacchi in cui individui malvagi prendono l’iniziativa e incidenti di sicurezza derivanti da errori.
1. Gli attori dannosi prendono il comando
Uno degli esempi più comuni di rischio che riguarda le app di videoconferenza è un attacco di bombardamento di riunione. Palo Alto Networks spiega che un attacco di bombardamento di riunione consiste in un incidente di sicurezza in cui gli ospiti non invitati si uniscono a una riunione di videoconferenza. Lo fanno dopo aver scoperto o indovinato con successo l’ID della riunione utilizzando una tecnica nota come “composizione di guerra”.
Questi aggressori possono impegnarsi in vari tipi di attività dannose. Potrebbero scegliere di interrompere la riunione condividendo contenuti o contenuti inappropriati con gli altri partecipanti condividendo il loro schermo. In alternativa, possono rimanere in silenzio nel tentativo di non avvisare l’ospite della riunione della loro presenza. Se non rilevati, questi attori possono utilizzare la chiamata per conoscere segreti commerciali e proprietà intellettuale. Potrebbero anche ottenere maggiori informazioni sulla struttura dell’organizzazione e quindi sfruttare questa intuizione per condurre attacchi secondari una volta completata la chiamata.
Gli aggressori possono anche implementare ulteriori tecniche dannose prima che la chiamata finisca. Nell’articolo “Problemi e opportunità relativi alla sicurezza delle videoconferenze”, Unify Square osserva che queste persone potrebbero abusare della funzionalità di chat sulla maggior parte delle app di videoconferenza per condurre attacchi di phishing. Potrebbero farlo inviando tramite collegamenti che reindirizzano i destinatari a pagine di accesso o siti Web falsi che ospitano payload di malware.
2. Errori che minano la sicurezza organizzativa
Questi tipi di rischi tendono a insorgere una volta conclusa una chiamata di videoconferenza registrata. Innanzitutto, le organizzazioni devono preoccuparsi di esporre i contenuti della chiamata in base al modo in cui gestiscono la registrazione. Potrebbero condividere l’intera cartella della riunione di una chiamata con colleghi o con il pubblico, ad esempio. Tuttavia, potrebbero non rendersi conto che la cartella contiene tutte le chat private condivise tra l’host e i partecipanti alla riunione. Tale violazione potrebbe rovinare gli affari, minare la fiducia del pubblico nella società e autorizzare un attore malintenzionato ad agire contro l’organizzazione interessata.
In secondo luogo, le organizzazioni devono preoccuparsi se l’app per videoconferenza disponga di adeguate misure di sicurezza per impedire agli aggressori di accedere a una registrazione protetta delle chiamate. La maggior parte dei fornitori di piattaforme offre la crittografia end-to-end o consente ai clienti di gestire le proprie chiavi di crittografia per le chiamate registrate.
Secondo l’ articolo di Unify Square , queste implementazioni soffrono di lacune di sicurezza che potrebbero esporre le chiamate mentre sono in transito o a riposo. Gli attori dannosi potrebbero successivamente sfruttare queste falle di sicurezza per accedere o manomettere le chiamate registrate, mettendo così a rischio l’integrità e la riservatezza dei dati in essa contenuti.
Intermezzo promozionale ... continua la lettura dopo il box:
Come mitigare i rischi per la sicurezza e la privacy
Fortunatamente, le organizzazioni possono adottare diversi passaggi per mitigare i rischi per la sicurezza e la privacy associati alle app di videoconferenza. Queste misure includono quanto segue:
Fai attenzione a dove condividono le informazioni sulla riunione. Trend Micro rileva che le organizzazioni devono fare attenzione a dove condividono le informazioni per le chiamate in arrivo. Dovrebbero evitare di visualizzare queste informazioni apertamente sulle piattaforme dei social media e sul loro sito Web. Se la chiamata è aperta al pubblico, le organizzazioni possono sfruttare un processo di registrazione dotato di un meccanismo CAPTCHA per aiutare a eliminare potenziali aggressori. Al contrario, dovrebbero considerare di far circolare l’invito via e-mail solo se la riunione è interna.
Utilizzare una password per proteggere le chiamate in arrivo. Uno dei modi più comuni in cui gli aggressori accedono comunemente a una chiamata di videoconferenza è indovinare l’ID della riunione. Le organizzazioni possono interrompere l’attività dannosa proteggendo ciascuna delle loro chiamate con una password unica e affidabile. Questa misura di sicurezza funge da secondo passo di verifica. Anche se gli aggressori hanno l’ID della riunione, non saranno in grado di partecipare alla riunione senza la password.
Implementare sale d’attesa. Le organizzazioni possono comunque sventare gli attori malintenzionati che trovano un modo per accedere alla chiamata. Possono farlo usando le sale d’attesa. Questa funzione consente agli organizzatori di riunioni di rivedere i nomi dei partecipanti che richiedono di partecipare alla riunione. Se vedono un nome sconosciuto di un partecipante, possono rifiutare di concedere l’ingresso a quella persona. Una volta che la riunione è iniziata, i padroni di casa dovrebbero quindi effettuare un appello nominale . Questo passaggio aiuta gli host a confermare l’elenco dei partecipanti e ad espellere gli ospiti indesiderati dalla riunione.
Disabilita il trasferimento di file e le funzioni di condivisione automatica dello schermo. Le organizzazioni possono utilizzare i controlli host per limitare i tipi di attività che possono verificarsi durante una chiamata. Ad esempio, possono disabilitare le funzionalità di trasferimento dei file per impedire agli aggressori di tentare di diffondere malware. Possono anche disabilitare la condivisione automatica dello schermo per scoraggiare gli attacchi di bombardamento e impedire ai partecipanti legittimi di condividere accidentalmente informazioni sensibili.
Non registrare una riunione a meno che non sia necessario. Computer World ci ricorda che non tutte le chiamate devono essere registrate. Se le organizzazioni decidono di aver bisogno delle informazioni sulla chiamata per un uso futuro, devono informare tutti i partecipanti che registreranno la chiamata. Salvare la registrazione utilizzando un nome univoco e assicurarsi che sia archiviata in modo da seguire le politiche di sicurezza esistenti.
Agire rapidamente se viene rilevato un compromesso. Non c’è tempo da perdere se si verifica un compromesso durante una chiamata, consiglia Charles Henderson, Global Partner e Head of IBM X-Force Red. Nel caso in cui si verifichi qualcosa di dannoso, le organizzazioni dovrebbero silenziare tutti i partecipanti, informarli che la chiamata è stata compromessa e terminare prontamente la chiamata. Dovrebbero quindi informare il fornitore della piattaforma in merito all’incidente e segnalare l’evento ai loro team legali e di sicurezza.
Focus sulla sicurezza per il futuro
Non è chiaro per quanto tempo le organizzazioni dovranno continuare a utilizzare le app di videoconferenza come mezzo principale per connettersi con i propri dipendenti , potenziali clienti e clienti. I professionisti della sicurezza dovrebbero applicare i suggerimenti di cui sopra per sviluppare strategie di sicurezza per videoconferenze da preparare per qualsiasi cosa il futuro della sicurezza digitale abbia in serbo per le loro organizzazioni.
