Un attacco alle risorse interne di Intel ha dimostrato che le vulnerabilità possono essere trovate non solo nei processori, ma anche nei siti web aziendali. Un ricercatore di sicurezza ha scoperto quattro diversi modi per ottenere dati su oltre 270.000 dipendenti Intel: dai database delle risorse umane e dai contatti alle informazioni sui fornitori e sui processi di produzione.

Tutte le vulnerabilità individuate sono già state risolte, ma il fatto stesso che sono state rilevate dimostra quanto possa essere fragile l’infrastruttura interna anche dei più grandi attori del mercato.

Il primo problema è stato riscontrato nel servizio per ordinare i biglietti da visita per i dipendenti di Intel India. Il sito era basato su Angular e utilizzava la Microsoft Authentication Library. L’autore è riuscito a bypassare l’autorizzazione aziendale modificando la funzione getAllAccounts, che restituiva un array vuoto in assenza di login. Dopo la sostituzione, i dati venivano caricati senza un account e le richieste API non richiedevano una vera autenticazione. Di conseguenza, una chiamata poteva scaricare quasi un gigabyte di file JSON con informazioni personali sui dipendenti di tutto il mondo, dal nome e dalla posizione al telefono aziendale e all’email.

Il secondo punto debole era il portale di Gestione Gerarchica, utilizzato per strutturare i gruppi di prodotti e i responsabili dei reparti. Il codice conteneva credenziali hardcoded, con crittografia AES di base, facilmente aggirabile: la chiave stessa era presente sul lato client. Inoltre, sono stati trovati accessi diretti Basic Auth per i servizi amministrativi. Dopo aver sostituito la variabile isAuthenticated e simulato i ruoli nelle risposte di Microsoft Graph, il sito si è aperto con diritti di amministratore completi, consentendo di visualizzare le richieste di servizio e le informazioni sui prodotti, comprese quelle non ancora presentate pubblicamente.

Il terzo sito, Product Onboarding, correlato al processo di aggiunta di nuovi prodotti al sistema Intel ARK, conteneva dettagli ancora più sensibili. Il suo codice conteneva diversi set di login e token contemporaneamente: da un’API per la collaborazione con il personale all’accesso a GitHub, dove erano archiviati i repository interni. Formalmente, alcune delle funzioni erano protette da VPN , ma bypassando il login e imitando i ruoli necessari, il ricercatore ha ottenuto un set completo di funzionalità amministrative.

Il quarto punto di accesso è SEIMS, un portale per lo scambio di documentazione ambientale e tecnica con i fornitori. In questo caso, la vulnerabilità risiedeva in un errore di verifica del token di base. Il sito accettava la stringa “Non autorizzato” (con un errore di ortografia) come token Bearer valido e consentiva di impersonare qualsiasi dipendente. Sostituendo l’ID utente con un ID utente arbitrario, era possibile aggirare l’autorizzazione, aprire report su prodotti e contratti con i partner e accedere a materiale riservato.

Un rapporto su tutte le vulnerabilità rilevate è stato presentato a Intel nell’autunno del 2024. L’azienda non ha pagato una ricompensa per tali scoperte, poiché la sua infrastruttura web è stata a lungo considerata al di fuori dell’area del programma bug bounty. L’unica risposta è stata una notifica automatica di ricezione delle lettere, ma le correzioni sono state implementate entro 90 giorni. Nell’agosto del 2025, lo specialista ha pubblicato un rapporto dettagliato, sottolineando che Intel aveva comunque esteso la politica di bug bounty per includere servizi e siti web.

Il caso è indicativo: le vulnerabilità a livello hardware portano fama e centinaia di migliaia di dollari, ma i portali web aziendali con accesso diretto a enormi quantità di dati non possono essere meno preziosi per gli aggressori.

L'articolo Vulnerabilità nei siti web di Intel: 270.000 dipendenti a rischio proviene da il blog della sicurezza informatica.