La prossima volta che inserisci informazioni sensibili in un documento Google, o in qualsiasi altro strumento online con una funzione di condivisione, fai attenzione alle autorizzazioni che concedi.
Parlando con The Register , il fondatore del servizio di generazione di codici QR Pageloot ha affermato di averlo imparato a sue spese. Siim Kostabi ha raccontato di come un collaboratore esterno dell'azienda abbia accidentalmente divulgato le credenziali di accesso al suo ambiente di test, dati che non avrebbero mai dovuto uscire da un ambiente di prova interno.
Lo sfortunato sviluppatore aveva accesso a un ambiente di staging (utilizzato per testare il nuovo codice software prima del rilascio). Ha memorizzato le credenziali di accesso in un documento Google e poi ha impostato la visibilità su "chiunque abbia il link può visualizzare".
A quanto pare, Google Ricerca può indicizzare i documenti Google con questa impostazione se il link diventa reperibile sul web pubblico. I file accessibili a chiunque abbia il link non vengono indicizzati automaticamente, quindi non sappiamo esattamente come Google abbia scoperto questo particolare documento. Sappiamo però che l'ha scoperto: il file delle credenziali è finito in Google Ricerca.
Durante una sessione di debug, uno sviluppatore di Pageloot ha digitato il dominio dell'azienda su Google e la funzione di completamento automatico di Google ha mostrato un hostname di staging seguito da quella che sembrava una stringa di credenziali. In effetti, il documento era accessibile online. Google Ricerca stava restituendo informazioni da un documento che era stato condiviso troppo ampiamente.
Va riconosciuto a Pageloot il merito di aver agito tempestivamente. Ha bloccato l'accesso del collaboratore esterno e modificato tutte le credenziali interessate. Ha inoltre vietato la memorizzazione delle password in Google Docs, Slack, Notion e qualsiasi altro spazio di lavoro condiviso.
Il problema è che nessuna di queste soluzioni esisteva prima che la funzione di completamento automatico rivelasse la password. Se nessuno se ne fosse accorto, le credenziali sarebbero potute rimanere esposte.
Le persone condividono continuamente dati privati negli strumenti online.
Se mai ci fosse un esempio del perché dovresti usare un gestore di password, eccolo. Invece, il collaboratore ha inserito i suoi dati di accesso in un documento Google, presumibilmente per averli a portata di mano.
Pageloot non è l'unica ad affrontare questo problema. Ateam, un'azienda giapponese Android Uno sviluppatore di videogiochi ha lasciato un'istanza di Google Drive impostata su "Chiunque su Internet con il link può visualizzare" da marzo 2017 a novembre 2023. Questa singola errata configurazione ha esposto 1.369 file e dati personali di 935.779 persone. Ateam ha affermato di non aver riscontrato prove di furto di dati, sebbene sette anni di libero accesso non siano certo rassicuranti.
Scale AI, la società di etichettatura dei dati fondamentale per le ambizioni di Meta nel campo dell'IA, ha anche lasciato 85 documenti Google contenenti materiale di formazione per Meta, Google e xAI, modificabili da chiunque avesse un link. I collaboratori esterni hanno definito la configurazione "incredibilmente improvvisata". Successivamente, Scale ha disabilitato la possibilità per gli utenti di condividere pubblicamente i documenti gestiti.
Si tratta di una tendenza. Tre anni fa, l'azienda di sicurezza informatica Metomic, specializzata in intelligenza artificiale, ha analizzato circa 6,5 milioni di file su Google Drive, scoprendo che il 40,2% conteneva informazioni sensibili. Poco più di un terzo era condiviso esternamente, mentre lo 0,5% era completamente pubblico.
Quello 0,5% potrebbe non sembrare molto, ma su 6,5 milioni di file, rappresenta comunque migliaia di file accessibili al pubblico.
Questo non è solo un problema di Google. Le persone condividono accidentalmente informazioni sensibili anche tramite altri strumenti, come il sistema di gestione progetti Trello. Rendere pubblica una bacheca Trello la rende visibile a tutti, il che si è rivelato problematico per gli enti governativi quando, nel 2018, hanno esposto in questo modo password e piani di sicurezza .
Il problema è che, man mano che gli strumenti diventano sempre più collaborativi, le persone non riescono a stare al passo. Commettono errori. Il Data Breach Investigations Report 2025 di Verizon attribuisce circa il 60% delle violazioni a fattori umani, tra cui configurazioni errate e uso improprio di credenziali valide.
Quanto costa la casella di controllo
Pageloot si è imbattuta in un altro problema di controllo degli accessi che coinvolgeva un cliente. Un ex dipendente scontento, il cui accesso non era mai stato revocato, lo ha utilizzato per reindirizzare i codici QR del cliente al sito di un concorrente. La causa principale era la stessa: nessuno controllava chi avesse accesso a cosa.
Kostabi ha imparato la lezione, ovvero tenere d'occhio chi ha accesso a cosa.
Anche i consumatori possono adottare alcune semplici precauzioni. Non memorizzate password o altre informazioni altamente sensibili in normali documenti condivisi. Utilizzate un gestore di password e, prima di cliccare su "Condividi" in qualsiasi servizio online, verificate esattamente chi potrà accedere a ciò che state condividendo.
“Una delle migliori suite di sicurezza informatica al mondo.”
Secondo CNET.Leggi la loro recensione →
