La prochaine fois que vous saisirez des informations sensibles dans un document Google (ou tout autre outil en ligne doté d'une fonction de partage), faites attention aux autorisations que vous accordez.
Dans un entretien accordé à The Register , le fondateur de Pageloot, un service de génération de QR codes, a confié avoir appris cette leçon à ses dépens. Siim Kostabi se souvient comment un sous-traitant de l'entreprise a accidentellement divulgué les identifiants de connexion de son environnement de test interne – des informations qui n'étaient absolument pas destinées à sortir de cet environnement.
Le développeur malchanceux avait accès à un environnement de test (utilisé pour tester le nouveau code logiciel avant sa mise en production). Il a stocké les identifiants de connexion dans un document Google et a configuré l'accès pour que toute personne possédant le lien puisse le consulter.
Il s'avère que Google Search peut indexer Google Docs avec ce paramètre si le lien devient accessible publiquement sur le web. Les fichiers accessibles à tous via le lien ne sont pas indexés automatiquement ; nous ignorons donc comment Google a découvert ce document en particulier. Ce que nous savons, c'est que le fichier d'identifiants s'est retrouvé dans les résultats de recherche Google.
Lors d'une phase de débogage, un développeur de Pageloot a saisi le nom de domaine de l'entreprise dans Google. La fonction de saisie semi-automatique de Google a alors affiché un nom d'hôte de test suivi de ce qui semblait être une chaîne d'authentification. Effectivement, le document était accessible en ligne. Google Search faisait remonter des informations provenant d'un document trop largement diffusé.
À son crédit, Pageloot a réagi rapidement. L'entreprise a bloqué l'accès du prestataire et modifié tous les identifiants concernés. Elle a également interdit le stockage des mots de passe dans Google Docs, Slack, Notion et tout autre espace de travail partagé.
Le problème, c'est qu'aucune de ces solutions n'existait avant que la saisie automatique ne révèle le mot de passe. Si personne ne l'avait remarqué, les identifiants auraient pu rester exposés.
Les gens partagent constamment des données privées sur des outils en ligne.
S'il fallait un exemple concret justifiant l'utilisation d'un gestionnaire de mots de passe, le voici. Au lieu de cela, le prestataire a saisi ses identifiants dans un document Google, sans doute pour les avoir à portée de main.
Pageloot n'est pas la seule entreprise à faire face à ce problème. Ateam, une société japonaise, en fait partie. Android Un développeur de jeux vidéo a laissé une instance Google Drive configurée sur « Accès libre à toute personne disposant du lien » de mars 2017 à novembre 2023. Cette simple erreur de configuration a exposé 1 369 fichiers et les données personnelles de 935 779 personnes. L'agence Ateam a déclaré n'avoir constaté aucune preuve de vol de données, mais sept années d'accès libre ne sont guère rassurantes.
Scale AI, la société d'annotation de données essentielle aux ambitions de Meta en matière d'IA, a également laissé 85 documents Google Docs contenant du matériel de formation pour Meta, Google et xAI, accessibles à toute personne disposant d'un lien. Les prestataires ont qualifié ce système d'« incroyablement bancal ». Scale a par la suite désactivé la possibilité pour les utilisateurs de partager publiquement les documents gérés.
C’est une tendance. Il y a trois ans, la société de sécurité IA Metomic a analysé environ 6,5 millions de fichiers Google Drive et a constaté que 40,2 % contenaient des informations sensibles. Un peu plus d’un tiers étaient partagés en externe, tandis que 0,5 % étaient entièrement publics.
Ce pourcentage de 0,5 % peut paraître insignifiant, mais sur 6,5 millions de fichiers, cela représente tout de même des milliers de fichiers accessibles au public.
Ce problème ne se limite pas à Google. D'autres outils, comme le système de gestion de projets Trello, permettent également de partager accidentellement des informations sensibles. Rendre un tableau Trello public le rend accessible à tous, ce qui a été particulièrement préjudiciable aux utilisateurs gouvernementaux qui ont ainsi exposé des mots de passe et des plans de sécurité en 2018.
Le problème, c'est que face à la collaboration croissante des outils, les utilisateurs peinent à suivre le rythme. Ils commettent des erreurs. Le rapport 2025 de Verizon sur les enquêtes relatives aux violations de données attribue environ 60 % de ces violations à des facteurs humains, notamment une mauvaise configuration et l'utilisation abusive d'identifiants valides.
Quel est le coût de la case à cocher ?
Pageloot a rencontré une autre faille de sécurité liée au contrôle d'accès d'un client. Un ancien employé mécontent, dont l'accès n'avait jamais été révoqué, l'utilisait pour rediriger les codes QR du client vers le site d'un concurrent. La cause était la même : aucun contrôle n'était exercé sur les droits d'accès.
Kostabi a retenu la leçon : il doit surveiller qui a accès à quoi.
Les consommateurs peuvent aussi prendre quelques précautions simples. Ne stockez pas vos mots de passe ni d'autres informations sensibles dans des documents partagés ordinaires. Utilisez un gestionnaire de mots de passe et, avant de partager un document sur un service en ligne, vérifiez précisément qui pourra y accéder.
« L'une des meilleures suites de cybersécurité au monde. »
D'après CNET.Lire leur critique →
