A utilização de plataformas de colaboração em nuvem tornou-se um pilar fundamental para empresas de todos os portes.
No entanto, a facilidade de compartilhamento de arquivos e a segurança no Google Docs têm exigido atenção redobrada, especialmente quando as permissões de acesso não são configuradas de forma adequada.
Um caso recente reportado pela empresa de cibersegurança Malwarebytes destacou que um desenvolvedor da empresa Pageloot identificou credenciais corporativas de ambientes de homologação disponíveis diretamente nos resultados de busca do Google.
O incidente ocorreu após um prestador de serviços armazenar nomes de usuário e senhas em um documento do Google Docs configurado sob a opção de visibilidade “Qualquer pessoa com o link”.
Embora a plataforma do Google não indexe automaticamente todos os documentos criados pelos usuários, a circulação do link em ambientes abertos ou sua inclusão em páginas web indexáveis permitiu que robôs de busca (web crawlers) mapeassem o conteúdo.
Como consequência direta, o documento passou a figurar inclusive em sugestões de preenchimento automático do mecanismo de pesquisa.
Mecanismos técnicos que levam à indexação de arquivos privados
Certamente caros leitores(a), a premissa de que uma URL longa e complexa oferece segurança por obscuridade é um equívoco frequente em infraestrutura de TI.
Os identificadores de documentos do Google Drive possuem alta entropia criptográfica, o que inviabiliza ataques de força bruta para adivinhar a sequência de caracteres.
Porém, a partir do momento em que um endereço é acessado por navegadores com recursos de sincronização ativados, compartilhado em fóruns públicos ou referenciado em sites externos, ele se torna visível para os rastreadores automatizados da web.
O papel dos crawlers e da busca do Google
Os motores de busca operam mapeando hiperlinks contínuos pela internet. Quando um documento do Google Docs ajustado para “Qualquer pessoa com o link” é referenciado em qualquer local público, o crawler interpreta a página como um recurso acessível e procede com o rastreamento textual de seu conteúdo.
Caso o arquivo contenha termos sensíveis, como nomes de usuário e senhas, esses dados passam a ser indexados e associados a consultas públicas de pesquisa.
Levantamentos e dados estatísticos sobre exposição de dados
O caso da Pageloot não representa um evento isolado na indústria de tecnologia. Diversos levantamentos recentes de segurança da informação demonstram a amplitude do problema decorrente da má configuração de permissões em suítes de produtividade na nuvem:
- Um mapeamento conduzido pela empresa Metomic em um universo de 6,5 milhões de arquivos no Google Drive revelou que aproximadamente 0,5% do total estava totalmente acessível ao público, somando dezenas de milhares de documentos expostos.
- No setor de inteligência artificial, a empresa Scale AI registrou a exposição de 85 documentos no Google Docs contendo dados de treinamento de grandes empresas de tecnologia, configurados com permissão de edição para qualquer pessoa com o link.
- Em um caso ocorrido no Japão, a desenvolvedora de jogos Ateam manteve 1.369 arquivos contendo dados pessoais de quase um milhão de usuários acessíveis publicamente por cerca de seis anos.
- O relatório Anual de Investigação de Violação de Dados (Data Breach Investigations Report) da Verizon aponta que cerca de 60% das violações de segurança cibernética estão vinculadas a fatores humanos, incluindo má configuração de sistemas e uso indevido de credenciais.
Os riscos operacionais do uso do Google Docs como repositório de senhas
No entanto, a prática de armazenar credenciais corporativas em editores de texto sem criptografia de ponta a ponta viola os padrões básicos de conformidade e governança de dados.
Ferramentas de colaboração não possuem auditabilidade avançada para acesso a segredos, nem controles de expiração automática de credenciais.
A exposição inadvertida desses arquivos permite que atores maliciosos realizem movimentação lateral em redes corporativas, comprometendo servidores, bancos de dados e APIs de produção.
Estratégias de governança e controle de acesso
Para conter o avanço de exposições acidentais, equipes de segurança da informação adotam políticas rigorosas de Gestão de Identidade e Acesso (IAM).
As soluções institucionais do Google Workspace permitem que administradores de TI restrinjam globalmente a opção de compartilhamento externo, impedindo que usuários finais configurem documentos como acessíveis a qualquer pessoa fora do domínio organizacional.
Implementação de cofres de senhas corporativos
Certamente, o gerenciamento adequado de segredos corporativos exige a substituição de documentos de texto por gerenciadores de senhas dedicados e cofres de chaves (vaults).
Essas ferramentas oferecem controle de acesso baseado em funções (RBAC), autenticação multifator (MFA) obrigatória e registros detalhados de auditoria.
Adicionalmente, ferramentas de Prevenção contra Perda de Dados (DLP) integradas às nuvens corporativas conseguem varrer automaticamente documentos em busca de padrões de senhas e bloqueá-los antes que ocorra qualquer vazamento.
