I Google Groups della tua azienda espongono dati sensibili?

News Recenti

I Google Groups della tua azienda espongono dati sensibili?

Giu 04, 2018 Marco Schiaffino Gestione dati, Leaks, News, RSS 1

Migliaia di organizzazioni che utilizzano G Suite stanno condividendo online informazioni collegate alla loro attività. Colpa dei gruppi pubblici.

Documenti riservati accessibili a chiunque a causa del servizio professionale G Suite di Google. Non si tratta di una vulnerabilità, ma di una sorta di “epidemia” di errate configurazioni che hanno coinvolto aziende, istituzioni e organizzazioni di ogni genere.

Il problema, in pratica, riguarda le impostazioni predefinite dei Google Groups creati all’interno dei domini. Nelle intenzioni, i Google Groups dovrebbero essere degli spazi di discussione e condivisione per gli utenti che utilizzano vari strumenti, come le mailing list, accessibili anche da interfaccia Web.

Il problema è che, nell’impostazione dei Google Groups, bisognerebbe fare un po’ di attenzione nel controllare il livello di accesso consentito. Quello che si è scoperto, infatti, è che nel 31% dei casi analizzati da Kenna Security (stiamo parlando di 9.600 soggetti) i gruppi in questione sono impostati come “Pubblici su Internet”.

Questo significa che i ricercatori hanno trovato circa 3.000 gruppi in cui chiunque può ficcare il naso visualizzando o copiando documenti e comunicazioni interne alle organizzazioni che li gestiscono.

Stiamo parlando, secondo quanto riportato da Kenna Security, di aziende di primo livello, ospedali, università, college, stazioni televisive, testate giornalistiche e anche enti governativi.

Ma com’è possibile che si verifichi una situazione del genere? La colpa è da distribuirsi equamente tra un’interfaccia di controllo non proprio intuitiva e la distrazione degli amministratori dei gruppi che non hanno speso quei 30 secondi necessari per capirla un po’ meglio.

Impostando la voce “Public on the Internet” si permette agli amministratori dei singoli gruppi di impostare le opzioni in modo che chiunque può visualizzare il contenuto dei messaggi scambiati nel gruppo. Non proprio l’ideale se viene utilizzato in azienda.

I permessi di visualizzazione possono infatti essere gestiti a due livelli: quello di dominio e quello dei singoli gruppi. Se quello di dominio è impostato come pubblico, i singoli amministratori dei gruppi possono condividere le informazioni all’esterno e, a quanto pare, succede con una certa frequenza.

Il risultato è che, nella maggior parte dei casi, per andare a “pescare” informazioni riservate è sufficiente collegarsi alla pagina di un gruppo e avviare una ricerca attraverso parole chiave come “password”, “fattura”, “account”, “username” o simili per trovarle.

Condividi l'articolo