06.05 預警：Google網上論壇配置錯誤致上千組織信息洩露

安全專家報告稱，廣泛的Google網上論壇錯誤配置會曝露敏感信息。

使用Google網上論壇和G Suite的組織管理員必須檢查其配置，以避免內部信息洩露。

Kenna Security的研究人員對大約250萬個域名進行了分析，並確定了9600多個允許公眾訪問其組織的域名。在仔細研究了171個小組的隨機樣本後，該公司估計，9600多家公司中有近3000家公司洩露了某些類型的敏感信息。

據報告，受影響單位包括財富500強的公司、醫院、大學和學院，其中報紙、電視臺、美國政府機構等成為此次洩露事件的主要受影響單位。

而對其中9600個組織 (其中有250萬個審計域) 的調查中, 肯納團隊發現其中 31%( 約3000個) 正在洩露數據。這意味著, 受影響組織在全球可能會有數以萬計。例如：TeenSafe跟蹤應用程序發現本田、環球音樂集團敏感數據由於配置失誤被洩露，30萬用戶名、密碼被粘貼到Pastebin 。

谷歌Groups網絡論壇是谷歌workspace工具G Suite的一部分。它允許管理員創建郵寄列表，通過電子郵件向特定收件人發送特定內容。同時，該內容 (包括電子郵件附件) 會發布在web界面上，用戶可以在線提供這些信息。

谷歌說, 因為這是一個配置錯誤問題，沒有計劃為它發佈具體的緩解措施。然而，搜索巨頭在星期五發表了自己的帖子，詳細解釋瞭如何鎖定Google的群組環境，並重申了其在雲安全共同責任模式上的立場。

"如果您允許域中的用戶創建公共Google組，並讓您的域中的任何人創建組，則您信任您的用戶管理他們的設置，並適當地使用這些組"，Google說。"值得仔細考慮這種配置是否對您的組織最有意義。"

所洩露的信息種類不同, 但它包括了從應付賬款、發票數據到客戶支持電子郵件和郵件密碼等內容。幸運的是，目前為止，還沒有發現利用了這種情況的攻擊。管理員必須將“Google群組”設置為私人，以保護客戶評論、應付發票、密碼恢復、重置電子郵件等內部信息。