Google przypadkowo ujawniło hasła użytkowników

O autorze

Wojciech Kowasz

@Docent

Administrator infrastruktury obsługującej portal dobreprogramy i pasjonat nowych technologii spod różnych znaków. Przed pracą miłośnik gry w squasha, po pracy fan Formuły 1.

Google oficjalnie przyznało, że w wyniku przeoczenia w przetwarzaniu danych pochodzących z filtra anty-phishingowego do wiadomości publicznej przedostało się kilkanaście loginów i haseł użytkowników. Stały się one dostępne na publicznej liście zawierającej adresy witryn uznanych za nieautentyczne. Jak to możliwe? Loginy i hasła były właśnie w tych adresach.

Każdy użytkownik może zgłosić podejrzaną witrynę m.in. za pośrednictwem wtyczki w Google Toolbar. Adres bieżącej witryny jest wtedy przesyłany do Google w pełni anonimowo, niestety zawiodły procedury weryfikujące co to za adresy. W efekcie na listę trafiły hasła kilkunastu użytkowników, gdyż wchodziły w skład ciągu URL. Google poinformowało już, że wyciągnęło wnioski z tej pomyłki i poprawiło procedury sprawdzania nadsyłanych adresów.

Sytuacja była specyficzna, błąd został naprawiony, niemniej warto, by wnioski wyciągnęli też użytkownicy - po pierwsze warto uważać na to, jaki adres wysyła się w raporcie o podejrzanej witrynie (jakie zawarte są w nim dane), a przede wszystkim nie używać takich samych haseł w kilku miejscach naraz. Dzięki temu w momencie kompromitacji jednego z nich, zagrożona jest tylko konkretna usługa czy witryna.