En 2022 alguien creó una credencial para un prototipo en Klue, un proveedor de inteligencia competitiva. El prototipo se abandonó; la credencial, no. Cuatro años después, esa credencial olvidada sirvió para robar los tokens OAuth con los que Klue accedía al Salesforce de sus clientes, y con ellos, los datos de unas 200 empresas. Entre las afectadas hay compañías de ciberseguridad como Huntress, Tanium y Jamf.
El detalle incómodo es ese último: si les puede pasar a empresas cuyo negocio es la seguridad, la pregunta no es si tus proveedores son infalibles, sino qué pueden tocar de lo tuyo cuando fallen. Cada herramienta conectada a tus sistemas es una llave que vive fuera de tu casa, y las llaves que nadie recuerda son las que más duran.
Dos preguntas que valen para cualquier empresa esta semana: qué proveedores tienen acceso directo a tus sistemas o datos, y quién revisa que los accesos que ya no se usan se revocan. Si nadie tiene la segunda respuesta, la primera lista está incompleta.
Los equipos que deberían vigilar esto van justos de manos, y hay datos: La brecha de capacidades en auditoría tecnológica.
