Un mot de passe est resté dans un Google Doc jusqu'à ce que la saisie automatique de Google se mette à le proposer
Voici comment le service de codes QR Pageloot a découvert qu'il avait un problème. Un développeur était en train de déboguer quelque chose, a tapé le nom de domaine de l'entreprise dans Google, et a vu le menu de saisie automatique proposer l'adresse d'un de leurs serveurs de préproduction suivie de ce qui ressemblait nettement à un mot de passe. Et c'en était un. Un prestataire avait déposé les identifiants de connexion dans un Google Doc réglé sur "toute personne disposant du lien peut consulter", parce que c'était le moyen le plus simple d'y accéder depuis plusieurs appareils. Google a indexé le document. Puis il s'est mis à le suggérer.
L'entreprise a réagi rapidement une fois informée : coupé l'accès du prestataire, changé tous les identifiants concernés, et interdit de stocker des mots de passe dans Google Docs, Slack, Notion ou tout outil similaire. Comme l'a souligné Malwarebytes en rapportant l'incident le 18 août, aucune de ces règles n'existait avant que la saisie automatique ne fasse par hasard remonter la chose. Si personne n'était allé chercher, elle serait sans doute encore là.
Ce n'est pas une habitude propre aux entreprises. Beaucoup de foyers conservent un document partagé contenant le mot de passe du Wi-Fi, une numérisation de passeport pour une réservation, des documents d'assurance, l'identifiant du compte de streaming utilisé par toute la famille. "Toute personne disposant du lien" paraît privé parce qu'il n'y a pas de porte d'entrée visible. Ce n'est pourtant pas un verrou, c'est une adresse non répertoriée, et les liens se transmettent, se collent dans des discussions de groupe et se font parfois indexer. Une analyse menée par la société Metomic sur environ 6,5 millions de fichiers Google Drive a révélé que 40,2 % contenaient des informations sensibles et 0,5 % étaient entièrement publics. Un demi pour cent de six millions et demi, cela reste des milliers de documents.
Dix minutes dans Google Drive, triées par Partagés, à vérifier ce que dit réellement le paramètre de partage de chaque élément, c'est du temps bien employé. Tout ce qui contient un mot de passe a plutôt sa place dans un gestionnaire de mots de passe.
Et si ces documents vivent dans un dossier cloud parce que c'est votre seule copie, la sauvegarde en un clic de Tendvane placera vos Documents, Images et Bureau sur un disque que vous contrôlez physiquement.