Google waarschuwt voor Groups-configuraties die interne data prijsgeven

Google heeft opnieuw gewaarschuwd voor Groups-configuraties waarmee organisaties mogelijk interne data prijsgeven. Aanleiding is een onderzoek van een beveiligingsbedrijf dat naar eigen schatting drieduizend organisaties vond die op deze manier interne gegevens laten uitlekken.

In zijn waarschuwing schrijft Google dat organisaties 'in een klein aantal gevallen' onbedoeld interne informatie blootstellen doordat ze hun Groups-instellingen onjuist configureren. Bedrijven gebruiken Google Groups bijvoorbeeld voor het aanmaken van mailinglijsten voor ondersteuning of het faciliteren van interne discussies, aldus de zoekgigant. De waarschuwing volgt op onderzoek van het beveiligingsbedrijf Kenna Security, dat samen met journalist Brian Krebs onderzoek deed naar onveilige configuraties.

Het bedrijf vond naar eigen zeggen 9637 organisaties die informatie prijsgaven via misconfiguraties en het schat dat een derde van deze organisaties ook gevoelige informatie laat uitlekken. Het vond bijvoorbeeld e-mails met financiële informatie en logingegevens. Volgens Kenna Security zijn de misconfiguraties te herleiden naar 'complex taalgebruik', en instellingen voor de hele organisatie en specifieke groepen. Doordat deze niet duidelijk zijn, zouden beheerders soms onbedoeld de verkeerde instelling kiezen. In de gevallen die het bedrijf onderzocht, was de groepinstelling 'public on the internet' gekozen.

Het gaat dus niet om onveilige standaardinstellingen, maar om beheerders die de verkeerde configuratie kiezen. Volgens Krebs was het in de meeste gevallen voldoende om naar de Groups-pagina van een organisatie te gaan en te zoeken naar termen als 'wachtwoord', 'account' en 'gebruikersnaam' om gevoelige gegevens te vinden. Deze gegevens zouden nuttig zijn voor kwaadwillenden, die ze kunnen inzetten bij gerichte phishingaanvallen.