นักวิจัยพบ องค์กรกว่า 31% ทำข้อมูลความลับใน Google G Suite รั่วสู่สาธารณะ

Kenna Security บริษัทวิจัยด้านความมั่นคงปลอดภัยได้ทำการสำรวจข้อมูลบน Google Group ขององค์กรกว่า 9,600 แห่ง และพบว่ามีองค์กรกว่า 31% ที่ทำข้อมูลจาก Email ขององค์กรรั่วบน Google Group นี้เนื่องจากการตั้งค่าที่ผิดพลาด

Kenna Security ได้ให้ความเห็นว่า Google Group ซึ่งเป็นหนึ่งในความสามารถใน Google G Suite นี้มีความสามารถในการใช้งานที่ซับซ้อน และทำให้ผู้ดูแลระบบเกิดความสับสนในเรื่องของการกำหนดสิทธิ์ต่างๆ ภายในระบบ ทำให้ผู้ดูแลระบบบางส่วนเข้าใจเอกสารอธิบายความสามารถและการทำงานของระบบผิด ทำให้การตั้งค่าผิดตาม และเกิดกรณีที่ข้อมูล Email นั้นรั่วไหลสู่สาธารณะออกมาทาง Google Group นั่นเอง

กรณีข้อมูลรั่วในครั้งนี้เกิดขึ้นกับองค์กรหลากหลายรูปแบบ ตั้งแต่หน่วยงานรัฐ, ธุรกิจใน Fortune 500, โรงพยาบาล, มหาวิทยาลัย, หนังสือพิมพ์, สถานีโทรทัศน์ และอื่นๆ ครอบคลุมทั้งข้อมูลด้านการเงิน, รหัสผ่าน และอื่นๆ โดยที่ผู้โจมตีและต้องการเข้าถึงข้อมูลนั้นๆ ไม่ได้ต้องอาศัยความรู้เทคนิคเชิงลึกเลย

อย่างไรก็ดี กรณีนี้ถือเป็นปัญหาที่เกิดขึ้นจากความผิดพลาดในการตั้งค่าของผู้ดูแลระบบ ดังนั้นจึงไม่มีการแก้ไขออกมาจากทางฝั่งของ Google แต่ผู้ดูแลระบบ Google G Suite เองควรที่จะเข้าไปทำการทดสอบด้วยตนเองว่าสามารถเข้าถึงข้อมูลใน https://groups.google.com/a/[DOMAIN]/forum/#!forumsearch/ จากสาธารณะได้หรือไม่ ถ้าหากเข้าได้ก็ควรเข้าไปทำการแก้ไขการตั้งค่าทันที

———————————————————————-

ที่มา : TECHTALK Thai / June 4, 2018

Link : https://www.techtalkthai.com/google-g-suite-information-is-leaked-from-misconfiguration/

The manual is confusing, to be fair, but a third of users read it wrong and are dangling data

If you’re sysadmin of an organisation using Google Groups and G Suite, you need to revisit your configuration to make sure you aren’t leaking internal information.

That advice comes from Kenna Security, which on June 1 said it found 31 per cent of a sample of 9,600 organisations leaking sensitive e-mail information.
The company explained while previous advisories about the issue (such as this from 2017) have explained how G Suite can leak, sysadmins appear not to be taking the matter seriously.

The problem, Kenna said in its post, is that Google Groups, available to G Suite customers, has “complex terminology” and a clash between “organisation-wide vs group-specific permissions”. As a result, list admins can “inadvertently expose e-mail list contents” (which were meant to stay in-house).

That’s because when a G Suite admin creates a Groups mailing list for specific recipients, it configures a user-accessible Web interface for the list at https://groups.google.com. Either per-domain or per-group privacy settings are adjustable, and the post said the misconfiguration happens when Groups Visibility is configured to “Public on the Internet”.

“If publicly accessible, you may access your organization’s public listing at the following link: https://groups.google.com/a/[DOMAIN]/forum/#!forumsearch/”

If the group is meant to be internal to the company, the Google Group setting should be private.

And, as Kenna continued, the things shared on groups people believe to be private included customer reviews, invoices payable, password recovery / reset e-mails, and more.

The company said it found everything from government agencies down leaking information – among them Fortune 500 companies, hospitals, universities, newspapers and TV stations. Exploiting the vulnerability doesn’t need any “special tooling or knowledge”, the post added.

“The misconfiguration is in many ways reminiscent of the issues surrounding public AWS S3 buckets”, Kenna noted.

Because it’s a configuration issue, Google doesn’t consider it a vulnerability to be fixed. Admins: RTFM. ®

By Richard Chirgwin

———————————————————————-

From : The Register / June 4, 2018

Link : https://www.theregister.co.uk/2018/06/04/g_suite_misconfiguration_leaks_data/

Author: Admin S.10

G Suite admins need to RTFM – thousands expose internal emails

Author: Admin S.10

นักวิจัยพบ องค์กรกว่า 31% ทำข้อมูลความลับใน Google G Suite รั่วสู่สาธารณะ

Author: Admin S.10

Related posts

G Suite admins need to RTFM – thousands expose internal emails

Author: Admin S.10

Related posts