Googleドキュメントの「リンクを知っている人全員」に何を入力するかには注意してください

次回、Googleドキュメント（または共有機能のあるその他のオンラインツール）に機密情報を入力する際は、付与する権限に注意してください。

The Registerの取材に対し、QRコード生成サービスPagelootの創業者であるシーム・コスタビ氏は、そのことを痛いほど思い知らされたと語った。同社に勤務していた契約社員が、社内テスト環境のログイン情報を誤って漏洩させてしまった経緯をコスタビ氏は振り返った。その認証情報は、社内テスト環境から外部に漏洩することを想定していなかったものだった。

不運な開発者は、ステージング環境（新しいソフトウェアコードを本番環境にリリースする前にテストするために使用される環境）へのアクセス権を持っていた。彼はログイン情報をGoogleドキュメントに保存し、「リンクを知っている人なら誰でも閲覧できる」という設定にした。

Google検索は、その設定でリンクが公開された場合、Googleドキュメントをインデックス登録できることが判明しました。「リンクを知っている人なら誰でも」という設定のファイルは自動的にインデックス登録されるわけではないため、Googleがこの特定のドキュメントをどのように発見したのかは正確にはわかりません。しかし、Googleが発見したことは確かです。つまり、認証情報がGoogle検索に表示されたのです。

Pagelootの開発者がデバッグ中にGoogleに会社のドメイン名を入力したところ、Googleのオートコンプリート機能によってステージングホスト名と、認証情報らしき文字列が表示された。案の定、その文書はオンラインでアクセス可能だった。Google検索は、あまりにも広く共有されていた文書の情報を表示していたのだ。

Pagelootは迅速に対応した。請負業者のアクセス権を遮断し、影響を受けたすべての認証情報を変更した。さらに、Googleドキュメント、Slack、Notion、その他すべての共有ワークスペースでのパスワード保存を禁止した。

問題は、これらの対策がどれも、オートコンプリート機能がパスワードを表示する前には存在していなかったことだ。もし誰もそれに気づかなかったら、認証情報は漏洩したままになっていた可能性があった。

パスワードマネージャーを使うべき理由を示す好例がこれだ。請負業者は、ログイン情報をGoogleドキュメントに入力していた。おそらく、すぐに参照できるようにするためだろう。

Pagelootだけがこの問題に取り組んでいるわけではない。日本のAteamもこの問題に取り組んでいる。 Android ゲーム開発会社が、2017年3月から2023年11月まで、Googleドライブのインスタンスを「リンクを知っているインターネットユーザーなら誰でも閲覧可能」に設定したまま放置していた。この設定ミスにより、1,369個のファイルと935,779人分の個人データが流出した。Ateamは、データが盗まれた証拠は確認されていないとしているが、7年間も公開状態だったことは決して安心できるものではない。

MetaのAI戦略の中核を担うデータラベリング企業であるScale AIは、Meta、Google、xAI向けのトレーニング資料を含む85個のGoogleドキュメントを、リンクさえあれば誰でも編集できる状態に放置していた。請負業者らはこの設定を「信じられないほどずさんだ」と評した。Scaleはその後、ユーザーが管理対象ドキュメントを公開共有する機能を無効化した。

これは一つの傾向だ。3年前、AIセキュリティ企業のMetomicは約650万個のGoogleドライブファイルをスキャンし、そのうち40.2%に機密情報が含まれていることを発見した。3分の1強が外部に共有されており、0.5%は完全に公開されていた。

0.5%という数字はそれほど多くないように聞こえるかもしれないが、650万個のファイル全体で見ると、それでも数千もの公開アクセス可能なファイルに相当する。

しかし、これはGoogleだけの問題ではありません。Trelloのようなプロジェクト管理システムなど、他のツールでも人々は誤って機密情報を共有してしまうことがあります。Trelloボードを公開設定にすると誰でも閲覧できるようになるため、2018年には政府機関のユーザーがパスワードやセキュリティ計画を漏洩させてしまうという不幸な事態が発生しました。

問題は、ツールがますます連携型になるにつれて、人間がそれに追いつけなくなることだ。そして、ミスが発生する。Verizonの2025年データ侵害調査報告書によると、侵害の約60%は、設定ミスや有効な認証情報の不正使用といった人的要因によるものだという。