Еще год назад специалисты RedLock предупреждали, что сотни организаций могут иметь неправильно настроенные аккаунты Google Groups и «светить» конфиденциальными данными на весь интернет, даже не зная об этом.
Проблема заключается в одной единственной кнопке-переключателе, которую можно найти в разделе расширенных настроек Google Groups for Busines. По сути, пользователи могут настроить доступ к своей группе и решить, делать ли группу доступной из интернета, или же запретить к ней доступ, чтобы конфиденциальные данные не «утекали» на сторону.
Как показывает практика, об этой настройке мало кто знает, так как даже беглый анализ в прошлом году показал, что сотни крупных компаний, использующих Google Groups, имеют неправильно настроенные аккаунты. В число таких компаний попали Weather Company, принадлежащая IBM; Fusion Media Group — компания, которой принадлежат такие дочерние предприятия, как Gizmodo, The Onion, Lifehacker; известный поставщик услуг в сфере технической поддержки Freshworks; рекламная платформа SpotX, ежедневно показывающая рекламные объявления 600 млн человек, и так далее.
В результате из интернета оказываются свободно доступны самые разные «закрытые» данные, начиная от имен, фамилий и email-адресов, и заканчивая зарплатами сотрудников, паролями клиентов и финансовой документацией.
К сожалению, спустя год ситуация не изменилась. Теперь на проблему обратили внимание эксперты компании Kenna Security. По данным аналитиков, в настоящее время около 2,5 млн доменов, принадлежащих примерно 9600 организациям по всему миру, имеют Google Groups, настроенные как доступные публично.
Изучив 171 случайную группу более внимательно, специалисты пришли к выводу, что порядка 3000 из всех 9600 компаний провоцируют таким образом утечки различных закрытых данных. Хуже того, среди открытых Google Groups обнаружились группы крупных компаний, входящих в список Fortune 500, университетов, больниц, финансовых учреждений и даже правительственных агентств. Среди публично доступных данных исследователи нашли пароли, финансовую информацию, а также конфиденциальную документацию.
Специалисты Kenna Security постарались связаться хотя бы с некоторыми компаниями, уведомив их об утечках данных. К счастью, в большинстве случаев счетчики просмотров свидетельствуют о том, что конфиденциальной информацией практически никто не интересовался.
Разработчики Google, которых так же поставили в известность о проблеме, опубликовали в блоге специальный пост, где в очередной раз рассказали о том, как правильно сконфигурировать Google Groups и защитить данные.
