Una recente controversia ha scosso una delle grandi catene di farmacie americane: il suo dipartimento IT si è trovato coinvolto in un acceso dibattito con il team di audit riguardo all’uso del termine “password” come chiave di accesso per il firewall Cisco.
La vicenda è stata riportata da Dahvid Schloss, COO di Suzu Labs, una società di cybersecurity specializzata in test di penetrazione. Durante un audit della sicurezza degli switch, router e firewall della catena farmacologica, Schloss ha scoperto che l’“enable password” del firewall, il quale è fondamentale per avere accesso amministrativo al dispositivo, era impostata semplicemente come ‘password’.
Questo tipo di password dà accesso ai diritti amministrativi, il che significa che un attaccante potrebbe facilmente elevarsi a privilegi superiori e controllare il traffico di rete. Ma non è stato un semplice compito di indovinare: Schloss è riuscito a decifrare la password tramite una vulnerabilità nel sistema di Cisco, il quale, ha spiegato, non utilizza un vero e proprio hash, ma una codifica reversibile con una chiave pubblicamente conosciuta.
Nonostante la criticità della situazione, il team IT ha minimizzato l’importanza della questione durante una conferenza telefonica che ha coinvolto più stakeholder, tra cui membri dell’audit e della direzione. Mentre l’audit team insisteva sull’urgenza di sistemare la password, l’IT team sosteneva che fosse solo un problema di media gravità, scatenando un acceso dibattito che è durato oltre un’ora. Schloss racconta di come i membri del team di audit, preoccupati per la sicurezza, e l’IT, più riluttanti, si siano affrontati, mentre lui e i suoi colleghi rimanessero in silenzio ad ascoltare.
Il conflitto si rivelò essere alimentato da motivazioni finanziarie: il team di auditing controllava i bonus per il dipartimento IT e un “high finding” avrebbe danneggiato le loro possibilità di ricevere premi. Così, la questione della password si trasformò in una disputa sulle compensazioni per un’intera divisione.
Questa storia mette in luce problemi più ampi legati alla sicurezza informatica nelle organizzazioni, sottolineando come allineamenti di incentivi inadeguati possano portare a negare responsabilità e minimizzare i rischi. Non è solo una lezione su cosa evitare in termini di password, ma anche un invito a riflettere su come le politiche aziendali possano influenzare le pratiche di sicurezza.
