In molte PMI la messaggistica «ufficiale» esiste sulla carta. Nella pratica, i turni si decidono su un gruppo WhatsApp, le foto del cantiere finiscono nella chat personale del capo-squadra, i PDF del cliente viaggiano su Telegram «perché è più veloce». Nessuno l’ha deliberato in consiglio: è successo. Si chiama Shadow IT — e sulla comunicazione è uno dei punti ciechi più costosi.
Contenuto informativo. Non sostituisce una valutazione privacy o di sicurezza sul perimetro specifico della vostra organizzazione.
Cos’è lo Shadow IT (e perché nasce sulla chat)
Lo Shadow IT è l’uso di strumenti tecnologici fuori dal controllo di chi governa l’IT e la compliance: non necessariamente «hackerati», ma non sanzionati, non inventariati, non spegnibili in modo ordinato. Gartner e altri osservatori di settore lo descrivono da anni come fenomeno strutturale: i team adottano ciò che conoscono già, soprattutto quando lo strumento aziendale è lento, assente o pensato per altro.
Sulla messaggistica il meccanismo è banale. WhatsApp e Telegram sono già sul telefono di tutti. Non serve ticket, non serve onboarding, non serve budget. Il giorno dopo il gruppo «Turni Magazzino» contiene numeri personali, allegati di clienti e decisioni operative che in azienda nessuno sa dove siano, chi le conserva e chi le cancella quando una persona lascia.
I punti dolenti concreti
Non è solo «una policy da firmare». Sono rischi operativi e giuridici che si accumulano in silenzio:
- Niente inventario: non sapete quanti gruppi esistono, chi li amministra, quali fornitori o clienti ci sono dentro.
- Account personali = dati personali: il numero di telefono è dato personale; mescolare vita privata e processi aziendali complica base giuridica, informative e retention.
- Uscita dipendente fragile: «rimuovi dal gruppo» non cancella PDF, foto e cronologia sui dispositivi di chi resta — e di chi se n’è andato.
- Niente audit trail aziendale: se arriva un questionnaire cliente, un audit o un contenzioso, ricostruire «chi ha detto cosa, quando» sul canale consumer è spesso impossibile o incompleto.
- Visibilità IT a zero: cifratura end-to-end sul consumer non equivale a governance. L’azienda porta il rischio senza controlli su provisioning, revoca, retention e confini.
- Doppio binario privacy: usare chat private per il lavoro crea ambiguità tra corrispondenza personale e strumento di processo — tema su cui, in Italia, il Garante e la giurisprudenza insistono sulla riservatezza della corrispondenza anche elettronica.
In sintesi: lo Shadow IT sulla chat non è «comodità». È processo aziendale ospitato su infrastruttura di terzi, con regole scritte per il consumatore.
Sovranità del sistema di comunicazione
Con sovranità non intendiamo slogan geopolitici. Intendiamo una domanda pratica: chi decide dove vivono i messaggi, chi può entrare, quanto restano, cosa succede al licenziamento, quale giurisdizione e quale contratto regolano il fornitore?
Su un messenger consumer le risposte le dà il produttore dell’app e il contratto con l’utente individuale. Su un canale ufficiale — ambiente dedicato, account di lavoro, regole vostre — le risposte le date voi (o il vostro operatore, sotto contratto chiaro). È la differenza tra «sperare che il gruppo sia in ordine» e poter dimostrare di avere un canale di lavoro.
I controlli che contano, in azienda, sono pochi e verificabili:
- Provisioning e revoca: accendere e spegnere un accesso di lavoro in ore, non «scrivendo al creatore del gruppo».
- Separazione vita / lavoro: account e contatti aziendali, non la rubrica personale mescolata ai clienti.
- Perimetro: chi è dentro il canale è una scelta organizzativa, non un inoltro cascata di numeri.
- Retention e cancellazione: politiche di conservazione allineate a privacy e necessità di business, non alla memoria del telefono di otto persone.
- Assistenza e responsabilità: un referente quando serve chiudere un incidente, non solo lo store dell’app.
Spiare una chat consumer non è fantascienza
La cifratura in transito sui messenger più noti riduce certi attacchi «a metà strada». Non elimina il fatto che il dispositivo resta il punto debole: se qualcuno controlla il telefono, legge anche ciò che è cifrato «in volo». Su canali usati da miliardi di persone, il valore del bersaglio è altissimo — e la storia recente lo mostra senza retorica.
Pegasus e WhatsApp (2019)
Nel 2019 WhatsApp (Meta) ha corretto una vulnerabilità critica (CVE-2019-3568) sfruttata dallo spyware Pegasus (NSO Group) con attacchi anche zero-click: bastava una chiamata WhatsApp, anche non risposta, per tentare l’infezione. L’azienda ha notificato circa 1.400 utenti colpiti in diversi Paesi; il Citizen Lab ha documentato casi che coinvolgevano anche figure della società civile. Meta ha poi avviato un contenzioso contro NSO proprio sull’abuso della piattaforma.
Operation Triangulation e furto chat (Kaspersky, 2023)
Nel 2023 Kaspersky ha descritto Operation Triangulation: una catena di exploit su iPhone che installava l’implant TriangleDB. Tra le capacità documentate c’è anche l’estrazione di dati da app di messaggistica, inclusi WhatsApp e Telegram. Non è un «virus da allegato PDF» banale: è spyware mirato, costruito per restare silenzioso e leggere ciò che l’utente crede privato.
Client modificati e malware «di massa»
Accanto agli spyware di Stato esistono minacce più «commercio»: client WhatsApp modificati (mod/GB e simili) distribuiti fuori dagli store ufficiali, campagne di phishing e malware mobile che puntano alle sessioni di chat. Il punto per l’azienda non è «WhatsApp è sempre compromesso»: è che un canale consumer su dispositivi personali espone processi e documenti a un ecosistema di attacco enorme, mentre voi non avete né telemetria né un piano di revoca centralizzato.
Un canale ufficiale su ambiente dedicato non rende magicamente impossibile ogni spionaggio — nessun sistema serio lo promette. Cambia però il tavolo: meno superficie di consumer mega-piattaforma, account di lavoro, controlli di accesso e un perimetro che potete chiudere. Per un malintenzionato «di passaggio» o per un dipendente uscito male, la differenza pratica è enorme rispetto a un gruppo WhatsApp lasciato vivo per anni.
Cosa fare (senza demonizzare lo strumento personale)
Bloccare WhatsApp «a muro» senza alternativa utile spesso sposta solo lo Shadow IT altrove. Il percorso sensato è:
- Mappare dove oggi girano turni, ordini, foto cantiere, documenti cliente.
- Separare marketing B2C su WhatsApp (se vi serve) dai processi interni e dai canali ufficiali.
- Offrire un canale di lavoro altrettanto immediato: altrimenti le persone torneranno al gruppo personale.
- Definire chi spegne gli accessi e in quanto tempo, come per qualunque altro sistema critico.
Dove si collega il percorso ITSOS
Se il problema che riconoscete è proprio questo — processi sul gruppo personale, nessun modo pulito di revocare, pressione da DPO o da questionnaire cliente — il pezzo che abbiamo messo a terra è 004 Channel: un canale ufficiale su ambiente dedicato, pensato per uscire dallo Shadow IT della messaggistica senza trasformare l’operazione in un progetto da sei mesi. Non sostituisce l’intero WhatsApp verso il cliente finale; toglie turni, file e team dal gruppo «che non doveva esistere».
Per chi vuole vedere il perimetro in azione prima di decidere: sulla stessa pagina c’è la richiesta di demo. È il modo più diretto per capire se il canale ufficiale chiude i punti dolenti che avete in casa — non un tour commerciale generico.
Se invece lo Shadow IT è solo un sintomo di un perimetro più ampio da fotografare: Audit / Security Status Report e, a valle, Hardening.
Fonti
- CSO Online — rischio dei messenger consumer in azienda (contesto Gartner / CIO).
- Threema — Managing Shadow IT — proiezioni Gartner sull’adozione di tech fuori dal controllo IT e scenario messenger.
- Citizen Lab — contesto Pegasus / WhatsApp (CVE-2019-3568) e notifiche alle vittime.
- Kaspersky Securelist — TriangleDB — implant di Operation Triangulation e capacità su app di messaggistica.
- Garante Privacy — provvedimento su uso di chat/social in ambito lavorativo (corrispondenza e liceità del trattamento).
Prossimo passo
Se in azienda i processi «vivono» ancora sul gruppo personale, il primo passo non è un altro regolamento: è un canale ufficiale che le persone usino davvero. Dettagli e listino: 004 Channel · hub: Infrastruttura.