Następnym razem, gdy będziesz wpisywać poufne informacje do Dokumentów Google lub innego narzędzia online z funkcją udostępniania, zwróć uwagę na uprawnienia, jakie chcesz przyznać.
W rozmowie z The Register , założyciel Pageloot, firmy generującej kody QR, powiedział, że przekonał się o tym na własnej skórze. Siim Kostabi wspominał, jak jeden z podwykonawców pracujących dla firmy przypadkowo ujawnił dane logowania do środowiska testowego – dane uwierzytelniające, które nigdy nie miały opuścić wewnętrznego środowiska testowego.
Nieszczęsny programista miał dostęp do środowiska testowego (używanego do testowania nowego kodu oprogramowania przed jego uruchomieniem). Zapisał dane logowania w Dokumentach Google, a następnie ustawił je na „każdy, kto ma link, może wyświetlać”.
Okazuje się, że wyszukiwarka Google może indeksować Dokumenty Google z tym ustawieniem, jeśli link stanie się widoczny w sieci publicznej. Pliki „Każdy, kto ma link” nie są indeksowane automatycznie, więc nie wiemy dokładnie, w jaki sposób Google odkrył ten konkretny dokument. Wiemy jednak, że tak się stało: plik z danymi uwierzytelniającymi trafił do wyszukiwarki Google.
Programista Pageloot wpisał domenę firmy w Google podczas debugowania, a funkcja autouzupełniania Google wyświetliła nazwę hosta tymczasowego, a po niej ciąg znaków przypominający dane uwierzytelniające. Dokument rzeczywiście był dostępny online. Wyszukiwarka Google wyświetlała informacje z dokumentu, który został udostępniony zbyt szeroko.
Trzeba przyznać, że Pageloot zareagował błyskawicznie. Odciął dostęp wykonawcy i zmienił wszystkie dane uwierzytelniające, których dotyczył problem. Zablokował również przechowywanie haseł w Dokumentach Google, Slacku, Notion i innych współdzielonych przestrzeniach roboczych.
Problem polega na tym, że żadna z tych poprawek nie istniała, zanim autouzupełnianie ujawniło hasło. Gdyby nikt tego nie zauważył, dane uwierzytelniające mogłyby pozostać nieodkryte.
Ludzie cały czas udostępniają prywatne dane w narzędziach online
Jeśli kiedykolwiek istniał przykład, dla którego warto korzystać z menedżera haseł, to właśnie on. Zamiast tego, wykonawca wpisał swoje dane logowania do Dokumentu Google, prawdopodobnie po to, by mieć je pod ręką.
Pageloot nie jest jedyną firmą, która radzi sobie z tym problemem. Ateam, japońska firma Android Twórca gier pozostawił w Dysku Google ustawienie „Każdy w internecie z linkiem może wyświetlać” od marca 2017 do listopada 2023 roku. Ta pojedyncza błędna konfiguracja ujawniła 1369 plików i danych osobowych 935 779 osób. Zespół Ateam twierdzi, że nie znalazł żadnych dowodów na kradzież, choć siedem lat otwartego dostępu raczej nie pociesza.
Scale AI, firma zajmująca się etykietowaniem danych, kluczowa dla ambicji Meta w zakresie sztucznej inteligencji, udostępniła również 85 Dokumentów Google z materiałami szkoleniowymi dla Meta, Google i xAI, które każdy użytkownik mający link może edytować. Kontrahenci określili tę konfigurację jako „niezwykle kiepską”. Scale później uniemożliwił użytkownikom publiczne udostępnianie zarządzanych dokumentów.
To trend. Trzy lata temu firma Metomic, zajmująca się bezpieczeństwem sztucznej inteligencji, przeskanowała około 6,5 miliona plików na Dysku Google i odkryła, że 40,2% z nich zawierało poufne informacje. Nieco ponad jedna trzecia została udostępniona osobom trzecim, a 0,5% było w pełni publiczne.
Te 0,5% może wydawać się niewiele, jednak w przypadku 6,5 miliona plików oznacza to, że jest to tysiące publicznie dostępnych plików.
To jednak nie tylko problem Google. Ludzie przypadkowo udostępniają poufne informacje również za pośrednictwem innych narzędzi, takich jak system zarządzania projektami Trello. Upublicznienie tablicy Trello sprawia, że jest ona widoczna dla wszystkich, co było niefortunne dla użytkowników rządowych, którzy w ten sposób ujawnili hasła i plany bezpieczeństwa w 2018 roku.
Problem polega na tym, że wraz ze wzrostem współpracy narzędzi, ludzie nie nadążają. Popełniają błędy. Raport Verizon dotyczący dochodzeń w sprawie naruszeń danych z 2025 roku przypisuje około 60% naruszeń czynnikom ludzkim, w tym błędnej konfiguracji i niewłaściwemu użyciu ważnych danych uwierzytelniających.
Ile kosztuje pole wyboru
Pageloot napotkał kolejną awarię kontroli dostępu związaną z klientem. Niezadowolony były pracownik, którego dostęp nigdy nie został cofnięty, wykorzystał ją do przekierowania kodów QR klienta na stronę konkurencji. Przyczyna była ta sama: nikt nie kontrolował, kto ma do czego dostęp.
Kostabi wyciągnął wnioski ze swojej sytuacji: trzeba zwracać uwagę na to, kto ma dostęp do czego.
Konsumenci mogą również podjąć kilka prostych środków ostrożności. Nie przechowuj haseł ani innych poufnych informacji w zwykłych, udostępnianych dokumentach. Korzystaj z menedżera haseł do ich przechowywania, a przed kliknięciem „Udostępnij” w dowolnej usłudze online sprawdź dokładnie, kto będzie miał dostęp do udostępnianych przez Ciebie treści.
„Jeden z najlepszych pakietów zabezpieczeń cybernetycznych na świecie”.
Według serwisu CNET.Przeczytaj ich recenzję →
