Dacă te conectezi prin Google în conturile tale, ești în pericol: Datele a milioane de utilizatori au fost expuse din cauza unei vulnerabilități

Un nou raport a scos la iveală o vulnerabilitate majoră în sistemul „Sign in with Google”, utilizat de milioane de oameni pentru a se autentifica pe diverse platforme. Această breșă de securitate poate fi exploatată de atacatori pentru a accesa date sensibile ale utilizatorilor, generând îngrijorare la nivel global.

Vulnerabilitatea sistemului „Sign in with Google”

Raportul publicat pe 13 ianuarie 2025 de Dylan Ayrey, CEO al Trufflesecurity, a demonstrat cum atacatorii pot exploata autentificarea OAuth oferită de Google. Concret, vulnerabilitatea permite unui atacator să achiziționeze domenii ale unor companii desființate și să creeze conturi de e-mail asociate cu acestea. Aceste conturi pot fi apoi utilizate pentru a accesa servicii folosite anterior de organizațiile respective, cum ar fi ChatGPT, Notion, Slack sau Zoom.

„Am demonstrat acest defect logându-mă în conturi care nu îmi aparțineau”, a declarat Ayrey, citat de Forbes.com, adăugând că Google inițial a considerat acest comportament ca fiind „normal”. Printre datele sensibile expuse se numără documente fiscale, fluturași de salariu, informații despre asigurări și chiar numere de securitate socială.

Cum funcționează exploatarea?

Problema constă în modul în care Google gestionează „claims” – informații trimise către un serviciu terț atunci când un utilizator folosește opțiunea „Sign in with Google”. Aceste „claims” includ detalii precum adresa de e-mail a utilizatorului și domeniul găzduit. Dacă un atacator achiziționează un domeniu abandonat, el poate moșteni aceste „claims”, obținând acces la conturile foștilor angajați.

„Această vulnerabilitate subliniază necesitatea unor măsuri mai robuste pentru protecția datelor utilizatorilor și a unor metode de autentificare mai rezistente la exploatare”, a declarat Roei Sherman, specialist în securitate cibernetică.

Reacția Google și măsurile propuse

Vulnerabilitatea a fost raportată inițial către Google pe 30 septembrie 2024, dar compania a răspuns că nu consideră necesară o soluție imediată. După ce defectul a fost demonstrat la conferința Shmoocon în decembrie, Google a redeschis cazul și a acordat cercetătorilor o recompensă simbolică de 1337 dolari, un termen folosit în cultura hackerilor pentru „elite”.

Google susține că autentificarea prin OAuth include deja un identificator unic, cunoscut sub numele de „sub field”, care, dacă este utilizat corect de aplicațiile terțe, poate preveni astfel de exploatări. Totuși, documentația pentru dezvoltatori a fost actualizată pentru a face mai clară această recomandare. De asemenea, Google a subliniat că problema nu afectează datele stocate de Google, ci mai degrabă cele găzduite de platformele terțe.

Ce pot face utilizatorii și companiile?

Pentru a minimiza riscurile, Google recomandă companiilor să:

Șteargă complet datele utilizatorilor atunci când închid conturile pentru a preveni accesul ulterior.
Folosesc identificatori unici în aplicațiile lor, cum ar fi „sub field”, pentru a asigura protecția datelor.

Utilizatorii pot lua și ei măsuri de precauție, cum ar fi verificarea setărilor de securitate ale conturilor și închiderea accesului pentru aplicațiile pe care nu le mai folosesc.

Această breșă de securitate evidențiază riscurile utilizării autentificării prin terți, chiar și de la companii de renume precum Google. Pe măsură ce Google lucrează la îmbunătățirea protecției, utilizatorii și dezvoltatorii trebuie să fie vigilenți și să implementeze practici mai stricte pentru protejarea datelor personale. Vulnerabilități de acest tip subliniază importanța unei infrastructuri de securitate cibernetică robuste și a responsabilității partajate între platforme și utilizatori.