Google Workspace è la piattaforma cloud di Google per la produttività e l'identità. Combina email, archiviazione dei file, calendari, chat e controlli amministrativi in un unico ambiente, quindi una compromissione in un'area può rapidamente influire sulle altre. Poiché l'accesso degli utenti, le autorizzazioni di condivisione e l'amministrazione del tenant sono strettamente collegati, i difensori devono considerarlo sia una suite di collaborazione sia un sistema di identità.
Negli attacchi reali, Workspace viene spesso preso di mira tramite password rubate, phishing, concessioni dannose a app OAuth, regole di inoltro della casella di posta o furto di sessione. Un attaccante che ottiene l'accesso può leggere la posta, spostarsi verso i file condivisi o modificare le impostazioni per mantenere la persistenza senza effettuare ripetuti accessi. Per la difesa, gli amministratori dovrebbero controllare l'attività di accesso, i registri di controllo, le autorizzazioni delle app e le regole di instradamento della posta, quindi contenere l'account e preservare le prove. In una violazione di Workspace, il contenimento rapido è importante perché i flussi di lavoro di email e identità possono estendere l'impatto ben oltre una singola casella di posta.