Google Doc công khai làm lộ mật khẩu staging
"A contractor stored staging credentials in a publicly shared Google Doc, and Google Search indexed the document so the hostname and credential string appeared in autocomplete. The company revoked the contractor’s access, rotated exposed credentials, and updated policy to prohibit storing passwords in collaboration tools; no CVE was mentioned."
Rủi ro rò rỉ thông tin xác thực và truy cập trái phép vào hệ thống staging; dữ liệu có thể bị phát hiện qua tìm kiếm công khai.
Có thể gây gián đoạn vận hành, tăng chi phí xoay vòng mật khẩu và làm phát sinh rủi ro từ quản trị nhà thầu chưa chặt chẽ.
Một nhà thầu đã lưu thông tin đăng nhập môi trường staging trong một Google Doc được chia sẻ công khai theo liên kết. Sau đó, Google Search đã lập chỉ mục tài liệu này và hiển thị hostname cùng chuỗi thông tin xác thực trong gợi ý tìm kiếm, khiến dữ liệu có thể bị phát hiện ngoài ý muốn.
Theo mô tả sự việc, nhân viên nội bộ phát hiện tài liệu khi tìm kiếm tên miền của công ty. Sau khi xác minh, doanh nghiệp đã thu hồi quyền truy cập của nhà thầu, xoay vòng toàn bộ mật khẩu bị lộ và ban hành quy định mới: không lưu mật khẩu trong Google Docs, Slack, Notion hoặc các công cụ cộng tác tương tự.
Sự cố này cho thấy ngay cả môi trường staging cũng có thể trở thành điểm rủi ro nếu dùng lại hoặc lưu trữ sai cách. Với các tổ chức có nhiều nhà thầu và hệ thống tích hợp API, cần áp dụng quản lý danh tính và truy cập chặt chẽ, kiểm tra định kỳ quyền chia sẻ tài liệu, và ưu tiên password manager hoặc kho bí mật chuyên dụng thay vì tài liệu dùng chung.
Khuyến nghị kỹ thuật: rà soát các tài liệu công khai, kiểm tra chỉ mục tìm kiếm đối với nội dung nhạy cảm, và thực hiện offboarding ngay khi kết thúc hợp đồng hoặc thay đổi vai trò.