Hasło leżało w dokumencie Google, dopóki autouzupełnianie Google nie zaczęło je rozdawać

Tak właśnie serwis kodów QR Pageloot odkrył, że ma problem. Programista, debugując coś, wpisał w Google domenę własnej firmy i zobaczył, jak rozwijana lista autouzupełniania podpowiada adres jednego z ich serwerów testowych, a zaraz po nim coś, co wyraźnie wyglądało jak hasło. I było nim. Zewnętrzny kontrahent zostawił dane logowania w dokumencie Google ustawionym na "każdy, kto ma link, może wyświetlać", bo to był wygodny sposób na dostęp do nich z więcej niż jednego urządzenia. Google zaindeksował dokument. A potem zaczął go podpowiadać.

Firma zareagowała szybko, gdy tylko się dowiedziała - odcięła dostęp kontrahenta, zmieniła wszystkie dotknięte dane logowania i zakazała przechowywania haseł w Google Docs, Slacku, Notion czy podobnych narzędziach. Jak zauważył Malwarebytes, opisując to zdarzenie 18 sierpnia, żadna z tych zasad nie istniała, zanim autouzupełnianie przypadkiem nie wyciągnęło sprawy na światło dzienne. Gdyby nikt nie zaczął szukać, hasło wciąż by tam leżało.

To nie jest nawyk wyłącznie firmowy. Wiele gospodarstw domowych trzyma wspólny dokument z hasłem do Wi-Fi, skanem paszportu potrzebnym do rezerwacji, papierami ubezpieczeniowymi czy danymi logowania do wspólnego konta streamingowego. Opcja "każdy, kto ma link" wydaje się prywatna, bo nie ma tam żadnych wyraźnych drzwi wejściowych. To jednak nie jest zamek - to raczej adres, którego nie ma w książce telefonicznej, a linki są przesyłane dalej, wklejane do czatów grupowych i od czasu do czasu indeksowane. Badanie firmy Metomic obejmujące około 6,5 miliona plików na Google Drive wykazało, że 40,2% zawierało wrażliwe informacje, a 0,5% było w pełni publicznych. Pół procent z sześciu i pół miliona to wciąż tysiące dokumentów.

Dziesięć minut spędzone na Google Drive, posortowanie plików według opcji Udostępnione i sprawdzenie, co faktycznie mówi ustawienie udostępniania każdego z nich, to dobrze wykorzystany czas. Wszystko, co zawiera hasło, powinno zamiast tego trafić do menedżera haseł.

A jeśli te dokumenty znajdują się w folderze w chmurze, bo to jedyna kopia, jaką masz, funkcja kopii zapasowej jednym kliknięciem w Tendvane umieści twoje foldery Dokumenty, Obrazy i Pulpit na dysku, który fizycznie kontrolujesz.