Una password è rimasta in un documento Google finché il completamento automatico di Google ha iniziato a offrirla in giro
Ecco come il servizio di codici QR Pageloot ha scoperto di avere un problema. Uno sviluppatore stava facendo debug di qualcosa, ha digitato il dominio dell'azienda su Google e ha visto il menu di completamento automatico proporre l'indirizzo di uno dei loro server di staging seguito da qualcosa che sembrava decisamente una password. Lo era. Un collaboratore esterno aveva parcheggiato le credenziali di accesso in un documento Google impostato su "chiunque abbia il link può visualizzarlo," perché era il modo più comodo per raggiungerle da più dispositivi. Google aveva indicizzato il documento. Poi ha iniziato a suggerirlo.
L'azienda ha agito rapidamente una volta scoperto il problema - ha revocato l'accesso al collaboratore, sostituito tutte le credenziali coinvolte e vietato di conservare password in documenti Google, Slack, Notion o strumenti simili. Come ha fatto notare Malwarebytes nel raccontare l'incidente il 18 agosto, nessuna di quelle regole esisteva prima che il completamento automatico facesse emergere il problema per caso. Se nessuno fosse andato a controllare, sarebbe ancora lì.
Non è un'abitudine solo aziendale. Molte famiglie tengono un documento condiviso con la password del Wi-Fi, la scansione di un passaporto per una prenotazione, documenti assicurativi, le credenziali dell'account streaming usato da tutti. "Chiunque abbia il link" sembra privato perché non c'è una porta d'ingresso evidente. Non è però un lucchetto: è un indirizzo non elencato, e i link vengono inoltrati, incollati nelle chat di gruppo e occasionalmente scansionati dai motori di ricerca. Un'analisi condotta dalla società Metomic su circa 6,5 milioni di file di Google Drive ha rilevato che il 40,2% conteneva informazioni sensibili e lo 0,5% era completamente pubblico. Lo 0,5% di sei milioni e mezzo sono comunque migliaia di documenti.
Dieci minuti su Google Drive, ordinando per Condivisi e controllando cosa dice davvero l'impostazione di condivisione di ogni elemento, sono tempo ben speso. Qualsiasi cosa contenga una password dovrebbe invece stare in un gestore di password.
E se quei documenti vivono in una cartella cloud perché è l'unica copia che avete, il backup con un clic di Tendvane porterà Documenti, Immagini e Desktop su un'unità che controllate fisicamente.