Współdzielone konto Google i problemy ze stulejką

W tym artykule staram się przedstawić czym grozi korzystanie ze współdzielonych kont Google na rzeczywistym przykładzie. Nie wiem jak Wy, ale ja słyszałem już naprawdę dużo historii związanych z tym tematem już kilka ładnych lat temu. Niestety świadomość w tym temacie nadal jest dosyć niska, a historia, którą dzisiaj przedstawię dobitnie to pokazuje.

Wprowadzenie

Bliska mi osoba, która studiuje na jednej z polskich publicznych uczelni poinformowała mnie o fakcie, że jako studenci mają dostęp do konta Google, które jest współdzielone między wieloma osobami. Konto to zostało utworzone z myślą o dzieleniu się materiałami na Dysku Google. Dlaczego zamiast tego nie został utworzony w tym celu współdzielony folder na Dysku? Nie wiem, choć się domyślam.

O ile wspomniana już osoba jest świadoma zagrożeń, które wynikają z faktu logowania się na takie konto, tak większość pozostałych osób nie. Część z użytkowników jest stale zalogowana na wspomniane już konto w przeglądarce, a inna część ma dodane to konto systemowo na swoim urządzeniu z Androidem. Uwaga, spoiler! To najgorsza rzecz, jaką można zrobić z takim kontem, ale o tym później.

Dlaczego to niebezpieczne?

Stopień zagrożenia zależy tak naprawdę od tego w jaki sposób korzystamy z takiego konta. Samo zalogowanie się w przeglądarce jest mniej niebezpieczne, pod warunkiem, że wylogujemy się z niego i usuniemy je z zapisanych logowań zaraz po pobraniu interesującego nas pliku z Dysku. Inaczej sprawa wygląda, kiedy zalogujemy się na takie konto, np. w aplikacji Dysk Google na urządzeniu z Androidem lub gdy dodamy konto do przeglądarki Chrome.

Korzystanie z konta w przeglądarce

Jeżeli zalogujemy się na współdzielone konto w przeglądarce, to kwestia naszego bezpieczeństwa leży po naszej stronie. Dodatkowo kluczowe jest to, jakie są ustawienia prywatności danego konta. Prawdopodobnie osoba tworząca konto nie przyłoży do tego zbyt dużej wagi, a nawet jeśli przyłoży, to przecież każda osoba może te ustawienia zmienić. Nie mniej jednak, najbardziej narażone są osoby, które dodadzą konto do przeglądarki, np. Google Chrome, a z doświadczenia wiem, że wiele osób robi to automatycznie i bez żadnego zastanowienia, bo coś wyskoczyło i kliknęli “ok”. W tym momencie jesteśmy narażeni na to, że dodane konto stanie się domyślnym w zastępstwie za nasze i jeśli mamy włączone zapisywanie historii przeglądania lub haseł na koncie Google (a zdecydowana większość użytkowników ma) to udostępnimy swoje hasła i wyszukiwania na temat problemów ze stulejką wszystkim naszym znajomym z roku.

Jak możemy zauważyć, oprócz tego, że kilka osób pochwaliło się swoimi problemami seksualnymi, to znalazły się też takie, które nieświadomie zapisały swoje dane logowania do Instagrama oraz poczty. Nie muszę chyba tłumaczyć czym to grozi jeśli dostęp do tych danych ma cały rok studiów.

Należy pamiętać o tym, że taka sytuacja może się przytrafić każdemu użytkownikowi, niezależnie od tego jak bardzo jest świadomy zagrożenia. Każdemu czasami zdarzy się zezwolić na coś, na co nie chciałby zezwolić z uwagi na fakt, że czasem to, na jakie konto jesteśmy zalogowani nie jest widoczne na pierwszy rzut oka. Możemy przecież zapomnieć, że logowaliśmy się na jakieś inne konto Google, a sama firma w tym nie pomaga, bo domyślnie zapisuje wszystkie konta, na które się logujemy i pozwala się między nimi przełączać, a co gorsza, czasami konta potrafią się przełączyć bez naszej ingerencji.

Na podstawie samych wyników wyszukiwania możemy z pewnym prawdopodobieństwem określić kto z danej grupy mógł szukać takich informacji, łącząc to z innymi danymi, które ta sama osoba mogła zapisać na koncie może stać się ona ofiarą prześladowania przez innych studentów.

Dodanie konta systemowo na urządzeniu z Androidem

Tutaj zaczyna się cała zabawa, bo jeśli dodamy współdzielone konto systemowo (co wcale nie jest trudne i można to zrobić nieświadomie) to dowolna osoba mająca dostęp do konta Google, może na przykład:

• zdalnie odtwarzać dźwięk na naszym telefonie
• wymazać (wyzerować) nasze urządzenie
• śledzić naszą lokalizację w czasie rzeczywistym

Wszystko zależy od naszych ustawień w urządzeniu, bo jeśli mamy wyłączoną lokalizację w danym momencie to nie będzie nas można śledzić, ale nadal będzie można usunąć z naszego telefonu wszystkie dane. Każda osoba, która ma dostęp do konta - czyli wszyscy studenci z kierunku - mogą wykonać każdą z powyższych akcji bez naszej ingerencji. Są to krytyczne zagrożenia zarówno dla prywatności jak i bezpieczeństwa.

To tylko wybrane przypadki, bo urządzeń dodanych na tym koncie jest znacznie więcej. Jak widać na załączonych zrzutach ekranu możemy z wysoką dokładnością śledzić danego użytkownika. Co prawda nie ma wprost napisane do kogo to urządzenie należy, ale zdobycie takich informacji nie jest trudne.

Nieświadome udostępnianie innych danych

Dodatkowo, kilka osób, prawdopodobnie przez pomyłkę, wrzuciło na Dysk m.in. informacje o swojej wypłacie, zdjęcia z osiemnastki i inne wrażliwe dane.

Zdjęć z tej imprezy było dużo więcej, w zasadzie cały album, ale na szczęście w tym konkretnym przypadku nie było żadnych zdjęć z kategorii NSFW. Nadal jednak są tutaj twarze konkretnych osób, a do zdjęć ma dostęp ma cały kierunek studiów.

Na dokumencie z wypłatami znajdują się same imiona, natomiast na dysku znajdują się też inne pliki.

Uwaga! Żeby plik zapisał się na Dysku Google wystarczy, że wejdziemy w udostępniony link będąc zalogowanym na konto uczelniane. To znaczy, że oprócz rozpowszechniania własnych prywatnych danych możemy rozpowszechniać też cudze. Jeśli jakaś osoba spoza uczelni udostępni komuś, kto jest zalogowany na konto współdzielone jakiś plik, to zostanie on zapisany w elementach udostępnionych.

Podsumowanie

Większość z opisywanych problemów jest związana z nieświadomością oraz nieuwagą użytkowników, ale tak naprawdę nawet doświadczona osoba może zapomnieć wylogować się ze współdzielonego konta po skorzystaniu i udostępnić swoje dane nie tylko korporacji, ale również swoim znajomym, przyjaciołom lub wrogom. Nie jest tajemnicą to, że Google zbiera o użytkownikach bardzo dużo danych domyślnie. To użytkownik musi świadomie wyłączyć przesyłanie pewnych danych. W przypadku współdzielonego konta użytkowników jest dziesiątki, ale ustawienia każdy ma wspólne i każdy może je modyfikować. Ktoś może celowo włączyć udostępnianie danych, nawet gdy twórca konta je wyłączył.

Prześlij ten wpis znajomym i poinformuj ich, że są lepsze i bezpieczniejsze sposoby na współdzielenie plików między studentami. Można np. stworzyć udostępniony katalog na tym samym Dysku Google, który tak naprawdę jest tutaj tym co interesuje użytkowników najbardziej.