Da próxima vez que escrever algo confidencial num documento do Google — ou em qualquer outra ferramenta online com recurso de partilha — tenha cuidado com as permissões que concede.
Em entrevista ao The Register , o fundador do serviço de geração de QR Codes Pageloot contou que aprendeu isto da pior forma possível. Siim Kostabi recordou como um funcionário externo da empresa expôs acidentalmente os dados de login do ambiente de testes — credenciais que nunca deveriam ter saído de um ambiente de testes interno.
O programador azarado tinha acesso a um ambiente de teste (utilizado para testar novos códigos de software antes de serem lançados). Armazenou os dados de login num documento do Google e configurou a permissão para que "qualquer pessoa com o link pudesse visualizar".
Acontece que a Pesquisa Google consegue indexar documentos do Google com esta configuração se o link se tornar visível na internet. Os ficheiros com a definição "Qualquer pessoa com o link" não são indexados automaticamente, pelo que não sabemos exatamente como é que o Google descobriu este documento específico. O que sabemos é que descobriu: o ficheiro de credenciais acabou na Pesquisa Google.
Um programador da Pageloot digitou o domínio da empresa no Google durante a depuração, e a funcionalidade de preenchimento automático do Google exibiu um nome de host de teste seguido pelo que parecia ser uma sequência de credenciais. De facto, o documento estava acessível online. A Pesquisa Google estava a exibir informações de um documento que tinha sido partilhado amplamente.
A Pageloot merece reconhecimento por agir rapidamente. Cortou o acesso do contratado e alterou todas as credenciais afetadas. Além disso, proibiu o armazenamento de palavras-passe no Google Docs, Slack, Notion e em qualquer outro espaço de trabalho partilhado.
O problema é que nenhuma destas correções existia antes da funcionalidade de autocompletar revelar a palavra-passe. Se ninguém se tivesse apercebido, as credenciais poderiam ter ficado expostas.
As pessoas partilham dados privados em ferramentas online a todo o momento.
Se alguma vez houve um exemplo de por que razão se deve utilizar um gestor de palavras-passe, este é o caso. Em vez disso, o empreiteiro introduziu os seus dados de login num documento do Google, presumivelmente para os ter à mão.
A Pageloot não é a única a lidar com este problema. A Ateam, uma empresa japonesa, também enfrenta este desafio. Android Uma empresa de desenvolvimento de jogos deixou uma instância do Google Drive configurada para "Qualquer pessoa na internet com o link pode visualizar" de março de 2017 a novembro de 2023. Esta única configuração incorreta expôs 1.369 ficheiros e dados pessoais de 935.779 pessoas. A Ateam afirmou não ter encontrado provas de que algo tenha sido roubado, embora sete anos de acesso aberto não sejam propriamente tranquilizadores.
A Scale AI, empresa de etiquetagem de dados fundamental para as ambições de IA da Meta, deixou também 85 documentos da Google com material de formação para a Meta, a Google e a xAI editáveis por qualquer pessoa com o link. Os empreiteiros descreveram a configuração como "incrivelmente improvisada". Posteriormente, a Scale desativou a capacidade dos utilizadores partilharem documentos geridos publicamente.
Esta é uma tendência. Há três anos, a empresa de segurança com IA Metomic analisou aproximadamente 6,5 milhões de ficheiros do Google Drive e descobriu que 40,2% continham informações confidenciais. Pouco mais de um terço destes ficheiros foram partilhados externamente, enquanto 0,5% eram totalmente públicos.
Estes 0,5% podem não parecer muito, mas, considerando 6,5 milhões de ficheiros, ainda representam milhares de ficheiros de acesso público.
Mas este não é um problema exclusivo da Google. As pessoas também partilham informações confidenciais acidentalmente através de outras ferramentas, como o sistema de gestão de projetos Trello. Tornar um quadro do Trello público torna-o visível para todos, o que foi lamentável para os utilizadores governamentais quando as palavras-passe e os planos de segurança foram expostos desta forma em 2018.
O problema é que, à medida que as ferramentas se tornam cada vez mais colaborativas, as pessoas não conseguem acompanhar o ritmo. Elas cometem erros. O Relatório de Investigações de Violações de Dados de 2025 da Verizon atribui cerca de 60% das violações a fatores humanos, incluindo a configuração incorreta e o uso indevido de credenciais válidas.
Qual o custo da caixa de seleção?
A Pageloot deparou-se com mais uma falha no controlo de acessos envolvendo um cliente. Um ex-funcionário insatisfeito, cujo acesso nunca tinha sido revogado, utilizou-o para redirecionar os códigos QR do cliente para o site de um concorrente. A causa principal era a mesma: ninguém monitorizava quem tinha acesso a quê.
Kostabi aprendeu a lição: manter um olho em quem tem acesso a quê.
Os consumidores também podem tomar algumas precauções simples. Não armazene palavras-passe ou outras informações altamente confidenciais em documentos partilhados comuns. Utilize um gestor de palavras-passe e, antes de clicar em "Partilhar" em qualquer serviço online, verifique exatamente quem poderá aceder ao que está a partilhar.
«Uma das melhores suites de cibersegurança do mundo.»
Segundo a CNET.Leia a análise deles →
