La maggior parte del lavoro aziendale si svolge ormai nel browser. I dipendenti avviano app SaaS, richiamano strumenti GenAI, incollano prompt, installano estensioni e autenticano le identità: tutto avviene nel browser. Eppure, nonostante sia il fulcro della produttività moderna, il browser rimane in gran parte al di fuori della visibilità degli stack di sicurezza tradizionali come DLP, EDR e SSE.
Quel punto cieco è dove convergono ora la fuga di dati, il furto di credenziali e i rischi abilitati dall'intelligenza artificiale e dove hanno inizio molte delle violazioni più sofisticate di oggi. Rapporto sulla sicurezza del browser 2025 esamina questo cambiamento attraverso la telemetria quantitativa e incidenti di sicurezza reali, rivelando come gli attacchi moderni ora sfruttino sessioni del browser, estensioni, identità e interazioni GenAI che gli strumenti legacy non sono mai stati progettati per proteggere.
L'intelligenza artificiale è diventata il canale dati in più rapida crescita e meno governato
Quasi la metà dei dipendenti utilizza ormai strumenti di intelligenza artificiale generativa, con ChatGPT che gestisce il 92% di tutte le attività. Il 77% degli utenti incolla dati nei prompt, l'82% utilizza account personali e il 40% dei file caricati contiene informazioni personali identificabili (PII/PCI). Con GenAI che ora rappresenta il 32% di tutti i trasferimenti di dati aziendali verso i dati personali, è diventato il canale di esfiltrazione numero 1 nel browser.
Non si tratta di una semplice categoria SaaS; è lo strumento aziendale in più rapida crescita e, di gran lunga, il meno regolamentato. La governance tradizionale, sviluppata per e-mail, condivisione di file e SaaS autorizzato, non prevedeva che il copia/incolla in un prompt del browser sarebbe diventato il principale vettore di fuga di dati.
L'ascesa dei browser AI: la prossima superficie di rischio invisibile
Una nuova ondata di browser basati sull'intelligenza artificiale, come Perplexity, Arc Search, Brave AI, OpenAI Atlas ed Edge Copilot, sta cambiando il modo in cui i dipendenti lavorano online. Questi strumenti non si limitano ad aprire le pagine: le leggono, le riassumono e le elaborano, fondendo navigazione e suggerimenti in un'unica esperienza.
Ma questa intelligenza comporta dei rischi. I browser con intelligenza artificiale accedono a contenuti aziendali sensibili tramite dati di sessione, cookie e schede SaaS per personalizzare i risultati. Ogni scheda, copia/incolla e accesso potrebbe alimentare silenziosamente modelli di intelligenza artificiale esterni, creando quello che chiamiamo un “endpoint AI invisibile”.
A differenza dei browser tradizionali, questi basati sull'intelligenza artificiale operano al di fuori della visibilità aziendale e dei controlli DLP, trasformando la memoria di sessione, i prompt automatici e la condivisione dei cookie in nuovi percorsi di esfiltrazione. E poiché i dipendenti li adottano insieme a Chrome o Edge, la maggior parte degli strumenti di sicurezza non li vede mai.
Per i responsabili della sicurezza, La governance dei browser basata sull'intelligenza artificiale è ormai fondamentale quanto il controllo delle app basate sull'intelligenza artificiale. Le aziende devono estendere la visibilità nativa del browser e la DLP in questi ambienti basati sull'intelligenza artificiale, in cui dati, identità e automazione convergono silenziosamente.
Le estensioni del browser rappresentano il rischio invisibile più grande per la supply chain aziendale
Se pensate che le estensioni del browser siano solo innocui componenti aggiuntivi, ripensateci. Il 99% degli utenti aziendali ha almeno un'estensione installata, e più della metà ha permessi elevati o critici. Eppure, il 54% degli editori utilizza account Gmail gratuiti e il 26% delle estensioni è installato lateralmente.
Di fatto, l'ecosistema delle estensioni del browser è diventato una supply chain software non gestita e integrata in ogni utente. Incidenti recenti come la compromissione dell'estensione Cyberhaven dimostrano come un singolo aggiornamento dannoso possa esporre intere organizzazioni. Queste estensioni operano con accesso a livello di sistema a cookie, token di sessione e schede, consentendo agli aggressori di aggirare silenziosamente i tradizionali controlli perimetrali. Il risultato: una supply chain software nascosta in bella vista, integrata direttamente nel browser. Non si tratta solo di una lacuna di visibilità; è un vero e proprio punto cieco.
Il controllo dell'identità si ferma all'IdP, ma il rischio inizia nel browser
Il livello di identità è spesso considerato rafforzato da SSO, MFA e federazioni di identità. Ma la maggior parte di questa protezione non tocca mai ciò che accade all'interno del browser. Oltre due terzi degli accessi aziendali avvengono senza SSO. Il 43% degli accessi SaaS avviene tramite credenziali personali. L'8% degli utenti aziendali dispone di estensioni che accedono alle identità o ai cookie.
Recenti violazioni di alto profilo, come la campagna Scattered Spider, evidenziano come la compromissione dell'identità non dipenda più da password rubate, ma prosperi grazie a sessioni rubate. Gli aggressori hanno sfruttato token e cookie memorizzati nel browser per impersonare gli utenti, spostarsi lateralmente tra le app SaaS e bypassare completamente l'autenticazione a più fattori (MFA). L'attacco ha rivelato che il rischio per l'identità moderna non si verifica al prompt di accesso, ma all'interno delle sessioni attive del browser, dove cookie, credenziali e token memorizzati nella cache circolano senza protezione. Persino le configurazioni IAM più mature erano impotenti perché gli strumenti tradizionali non riuscivano a vedere cosa accadeva all'interno del browser.
In parole povere: la governance dell'identità termina all'API, ma il rischio continua nella sessione del browser. Token di sessione, cookie, credenziali non gestite e account shadow convergono tutti all'interno del browser, dove gli strumenti IAM tradizionali non hanno visibilità.
Il caricamento dei file era il punto debole, ma ora è il copia/incolla
Per anni, la prevenzione della perdita dei dati basata su file si è concentrata su allegati, caricamenti e unità condivise. Il 38% carica file su piattaforme di condivisione file; il 41% dei file caricati contiene PII/PCI. Ma i caricamenti non sono più il rischio dominante, lo sono gli "appunti".
La maggior parte dei dati sensibili esce dall'azienda tramite copia/incolla in account browser non gestiti, prompt, chat e strumenti di messaggistica istantanea. Ora, il 77% dei dipendenti incolla i dati negli strumenti GenAI. L'archiviazione file, che rappresenta il 46%, è il secondo canale di incollaggio più grande, seguito da Chat/IM e CRM, che si attestano a circa il 15%. Sebbene complessivamente inferiori in termini di volume, gli incollamenti in app business-critical comportano rischi enormi a causa della natura dei dati coinvolti. Questi movimenti senza file e basati sui dati in genere aggirano ogni controllo DLP incentrato sui file attualmente in vigore e sono una delle cause delle più grandi perdite di dati al mondo.
Il recente scandalo Rippling-Deel sottolinea come le app di messaggistica SaaS e basate su browser non monitorate siano diventate vettori di esfiltrazione silenziosa. Informazioni riservate dei clienti e discussioni interne sensibili sono state divulgate tramite app di messaggistica istantanea. Questo incidente ha infranto l'illusione che le app di collaborazione aziendale siano "sicure di default". Un singolo plug-in non autorizzato o un'intelligenza artificiale per chat possono esfiltrare silenziosamente migliaia di messaggi interni con una semplice operazione di copia/incolla.
Il browser non è solo uno strumento per il posto di lavoro: è il più grande endpoint non protetto dell'azienda
Il browser ora tocca ogni identità, ogni app SaaS, ogni dato aziendale. Copre dispositivi gestiti e non gestiti, app autorizzate e non autorizzate, account personali e aziendali. Ma nonostante tutto ciò, il browser rimane al di fuori della visibilità delle piattaforme DLP, EDR, SSE e CASB.
E poiché il confine tra accesso ai dati e fuga di dati scompare all'interno del browser, il perimetro che un tempo era definito da dispositivi e reti si è spostato nella barra delle schede del browser.
Cosa fare ora: la roadmap per la sicurezza nativa del browser
I responsabili della sicurezza devono ora spostare la propria attenzione da dispositivi, reti e file a browser, per considerarlo come la prima linea di rischio per identità, dati e intelligenza artificiale. Ecco come:
- Tratta il browser come un piano di controllo primario, non come un'interfaccia utente
Se il rischio ha origine nella sessione, i controlli devono risiedere nella sessione. Ciò significa visibilità in tempo reale, nativa del browser, su caricamenti, operazioni di copia/incolla, prompt e contesto dell'account (personale vs. aziendale). Estendi i controlli ai browser non gestiti e ai browser basati sull'intelligenza artificiale che riepilogano automaticamente, inviano prompt automatici e inviano silenziosamente il contesto della sessione ai modelli cloud. - Passare dalla protezione dell'identità "autentica e dimentica" alla protezione della sessione
Applica SSO/MFA ove possibile, ma considera la deriva. Convalida continuamente le sessioni attive, controlla la riproduzione dei token e rileva il crossover degli account. "Identità completata" presso l'IdP è un mito confortante; è il browser che determina il rischio di identità. - Rendere operativa la governance dell'estensione come software della supply chain
Il solo audit delle autorizzazioni non è sufficiente. Valuta costantemente la reputazione degli sviluppatori, la frequenza degli aggiornamenti, le fonti di sideload e le capacità di intelligenza artificiale/agente. Tieni traccia delle modifiche come fai con le librerie di terze parti. - Blocca la perdita di dati nel punto di interazione
I file sono importanti, ma gli input lo sono ancora di più. Implementa una DLP nativa del browser che monitora le operazioni di copia/incolla, trascinamento/rilascio, input di prompt e file. Estendi i controlli agli utenti non gestiti e classifica i dati in movimento (PII/PCI) per bloccare azioni rischiose volte a esfiltrare dati sensibili prima che escano dalla scheda. - Dai potere agli utenti, non paralizzarli
Non limitarti a "bloccare tutto ciò che gli utenti potrebbero voler fare". Offri opzioni di intelligenza artificiale e SaaS sicure e autorizzate con chiare protezioni, istruisci i dipendenti e costruisci le policy in base al comportamento dei dati, non all'app stessa.
Conclusione
Le aziende hanno dedicato anni a sviluppare una governance basata su e-mail, condivisione di file e federazioni di identità. Eppure, allo stesso tempo, la parte più incentrata sul browser dei flussi di lavoro, ovvero estensioni, prompt GenAI, identità e sessioni SaaS, è cresciuta in modo del tutto incontrollato.
Il paradosso sorprendente: più velocemente il browser diventa indispensabile per la produttività, minore è il controllo su di esso.
I responsabili della sicurezza si trovano ora ad affrontare una semplice realtà: se non riesci a vedere cosa fanno gli utenti nel loro browser, non solo sei indietro, ma sei anche invisibile alla tua principale superficie di rischio. Il browser non è più un optional; è il piano di controllo di ogni flusso di lavoro aziendale. E finché non lo tratterai in questo modo, il flusso di dati se ne andrà, e lo scoprirai solo dopo.
Scarica il rapporto completo per scoprire la portata completa dei principali rischi per la sicurezza dei browser nel 2025
