Uma palavra-passe ficou guardada num Google Doc até o autocompletar do Google a começar a sugerir a toda a gente
Foi assim que o serviço de códigos QR Pageloot descobriu que tinha um problema. Um programador estava a depurar algo, escreveu o domínio da própria empresa no Google e viu o menu de autocompletar sugerir o endereço de um dos seus servidores de teste seguido do que parecia claramente ser uma palavra-passe. E era mesmo. Um prestador de serviços tinha guardado as credenciais de acesso num Google Doc definido como "qualquer pessoa com o link pode ver", porque era a forma mais simples de o consultar a partir de mais do que um dispositivo. O Google indexou o documento. Depois começou a sugeri-lo.
A empresa reagiu rapidamente assim que soube - cortou o acesso ao prestador, alterou todas as credenciais afetadas e proibiu guardar palavras-passe em Google Docs, Slack, Notion ou algo semelhante. Como a Malwarebytes referiu ao relatar o incidente a 18 de agosto, nenhuma dessas regras existia antes de o autocompletar ter, por acaso, revelado a situação. Se ninguém tivesse ido à procura, o documento ainda lá estaria.
Este não é um hábito exclusivo de empresas. Muitas famílias mantêm um documento partilhado com a palavra-passe do Wi-Fi, uma digitalização de um passaporte para uma reserva, papelada do seguro, o login da conta de streaming que todos usam. "Qualquer pessoa com o link" parece privado porque não há uma porta da frente óbvia. No entanto, não é um cadeado - é um endereço não listado, e os links são reencaminhados, colados em conversas de grupo e ocasionalmente rastreados. Uma análise da empresa Metomic a cerca de 6,5 milhões de ficheiros do Google Drive revelou que 40,2% continham informação sensível e 0,5% eram totalmente públicos. Meio por cento de seis milhões e meio ainda são milhares de documentos.
Dez minutos no Google Drive, ordenado por Partilhados, a verificar o que a definição de partilha de cada item realmente diz, é tempo bem gasto. Qualquer coisa que contenha uma palavra-passe deve antes estar num gestor de palavras-passe.
E se esses documentos vivem numa pasta na nuvem por ser a única cópia que tem, a cópia de segurança de um clique do Tendvane coloca os seus Documentos, Imagens e Ambiente de Trabalho num disco que controla fisicamente.