Pour les fêtes de fin d’année, Next vous offre cet article initialement paru le 2 juillet 2025 et réservé aux abonnés. Pour lire les prochains entretiens dès leur publication, abonnez-vous !

En décembre 2024, nous parlions d’un cas emblématique de Shadow IT : l’équipe d’une clinique privée utilisait Google Groupes pour parler des patients et s’échanger des documents confidentiels avec des données personnelles et médicales. Nous avions contacté l’établissement de santé et le groupe de discussions avait été rendu inaccessible dans la foulée.

• Sécurité

  Pendant 18 mois, des soignants discutaient publiquement de leurs patients sur Google Groupes

  Sécurité

  Lundi 16 décembre 2024 à 12h13 16/12/2024 12h13

  30

Mais en trainant un peu sur les Google Groupes, on se rend rapidement compte que c’est loin, très loin d’être un cas isolé. Il serait quasiment impossible de boucher toutes les brèches potentielles, sauf à rendre privés l’ensemble des groupes, dont certains ont plus de 20 ans.

C’est, en effet, début 2001 que Google rachète Deja.com et sa base de données contenant les discussions des Newgroups, soit pas moins de 500 millions de messages, selon le communiqué de l’époque. Le tout est rendu accessible sur Groups.google.com. C’est encore aujourd’hui l’adresse des Google Groupes.

Ils sont accessibles à condition d’avoir un compte Google et se sont largement développés au fil des années. Ils continuent aujourd’hui d’attirer du monde. Souvent, il s’agit d’avoir un email commun pour partager des informations au sein d’une communauté. Problème, suivant les réglages de visibilité, tout le monde peut lire les emails envoyés au groupe. Comme nous allons le voir, certains utilisent même cette adresse comme email d’identification.

• Internet

  Google Groupes : attention à la visibilité des conversations

  Internet

  Vendredi 14 octobre 2022 à 14h51 14/10/2022 14h51

  11

En première ligne : les associations sportives et syndics de copropriété

Les exemples de données accessibles par tout un chacun, nous pourrions presque les multiplier à l’infini, mais nous allons nous limiter à quelques cas emblématiques. Accrochez-vous, certains sont inquiétants ; d‘autant qu’ils peuvent avoir quelques mois comme quelques (dizaines d’) années.

Un club de sport pour commencer. Des dossiers d’inscriptions des membres, des autorisations RGPD et des certificats médicaux sont disponibles en toute liberté sur un groupe ouvert à tous. Nous y retrouvons aussi des comptes rendus des réunions de bureau ainsi que divers documents, certains bancaires.

Voici un exemple d’échange librement accessible :

Ce groupe a été créé en 2013 et il est toujours actif. Nous avons contacté l’association sportive pour lui signaler le problème il y a plusieurs mois déjà, sans aucune réponse ou action de sa part jusqu’à présent.

On retrouve aussi beaucoup de groupes autour des copropriétés et/ou des conseils syndicaux. Devis, querelles de voisinage, photos, codes, etc. tout y passe ou presque. On y retrouve aussi des coordonnées téléphoniques et des adresses de certaines personnes.

L’une d’entre elles est même ingénieure chez Thales depuis plus de 20 ans, selon son profil LinkedIn. On pourrait se dire qu’elle est un minimum rompue aux questions de cybersécurité, mais on retrouve son adresse et ses numéros de téléphones dans un message.

Encore une fois, le souci principal vient de la configuration du Google Groupe qui permet à tout le monde de consulter les messages. Il suffit donc d’envoyer un email à une adresse branchée sur un Google Groupe pour que toute la correspondance soit visible.

Le compte Google Groupe sert à s’identifier dans une banque

Toujours sur le principe des choses à ne pas faire, certains utilisent l’email associé au compte Google Groupes comme identifiant pour les réseaux sociaux et, pire, pour des comptes bancaires, PayPal, des cagnottes…

Résultats des courses, si quelqu’un fait une demande de mot de passe perdu, l’email est envoyé sur l’adresse du Google Groupe… qui est donc automatiquement publié dans le groupe de discussions visible par tout le monde.

Ce n’est pas un cas isolé : en moins de temps qu’il en faut pour le dire, nous avons identifié plusieurs messages du genre.

Il y a également des entreprises qui utilisent l’adresse du compte Google Groupes comme une messagerie interne, pour discuter des devis envoyés à des prospects et clients (avec le détail des prestations évidemment).

Nous avons l’exemple d’une entreprise qui, en plus des discussions internes, s’en sert aussi pour réceptionner les mails de sa banque Qonto et d’abonnements à Starlink. Son activité ? Elle vend des solutions d’accès à Internet par satellite de SpaceX.

Nous avons voulu vérifier si la procédure fonctionnait. En l’espace de quelques secondes, les emails de réinitialisation de mot de passe pour Qonto et Starlink sont arrivés sur le Google Groupes, visible par tout le monde…

« Pas seulement par simplicité, mais par nécessité »

Contacté par Next, l’administrateur du groupe a toutefois rapidement fermé les vannes. Il nous explique avoir « choisi cela non pas seulement par simplicité, mais par nécessité » :

« J’ai besoin d’une multitude d’adresses email différentes pour les différents services que j’utilise sans que je puisse utiliser les mêmes à chaque fois. Donc, soit je m’achète un domaine et je me crée des tonnes d’adresses email, soit je détourne l’usage de ce groupe pour me rendre destinataire de tous ces services ».

À lire les emails envoyés dans le Google Groupes, on se rend compte que l’entreprise dispose déjà d’un nom de domaine et d’un site, bien que ce soit principalement une coquille vide.

Bilan de santé et de fertilité

Dans le domaine de la santé, un service dédié à la reproduction est aussi sur Google Groupes, avec le planning des interventions, des comptes rendus opératoires, des résultats d’analyses, etc. Nous avons contacté il y a plusieurs mois le médecin responsable de cette unité (hors Europe), sans réponse. Les premiers messages remontent à 2022, les derniers ont quelques jours.

Il s’agit là de comptes récents, dont nous avons à chaque fois tenté de contacter les responsables pour leur expliquer le problème. Mais il y a également d’autres groupes, laissés à l’abandon depuis des années, mais toujours librement accessibles.

Des groupes abandonnés depuis 10, 15, 20 ans…

On y retrouve une multitude d’informations qui n’ont rien à faire en ligne, à la vue de tous. Problème, il y a très peu de chances de contacter l’administrateur d’un groupe créé en 2010 et inactif depuis plus de 15 ans… D’autres remontent même aux années 2000 et sont encore accessibles.

Or, Google Groupes regorge de groupes de parents d’élèves, d’associations locales, de syndicats, etc. Chaque année scolaire, chaque événement, chaque action peut être l’occasion de créer un groupe et de le laisser tomber rapidement par la suite. Souvent, les responsables ne savent peut-être même pas que les informations sont librement accessibles. Qui plus est, les pièces jointes envoyées (PDF, images…) sur les Google Groupes sont hébergées par Google, et donc toujours téléchargeables, des années plus tard.

Pour ne rien arranger, les questions du respect de la vie privée, des informations personnelles et du fait qu’Internet n’oublie rien, n’étaient pas aussi présentes dans les années 2000 et 2010 qu’elles le sont aujourd’hui. Beaucoup de groupes se sont lancés (et se lancent encore) pour « simplifier » la discussion entre plusieurs personnes d’horizons différents. En témoignent d’ailleurs certains messages d’ouverture des groupes qui vantent la simplicité d’utilisation du service pour leurs usages, sans penser une seconde à la confidentialité.

Sur la plupart des groupes qui ne sont plus actifs, il y a quand même des messages parfois publiés au fil du temps : du spam, en masse, pour des sites plus que douteux.

La (molle) réponse de Google

L’ampleur du phénomène est telle qu’il nous est impossible de contacter l’ensemble des groupes divulguant des données personnelles. Nous avons contacté plusieurs associations, leur avons expliqué comment faire pour limiter la visibilité, mais face à la déferlante de résultats, ce n’est qu’une petite goutte d’eau. Nous ne parlons là que des groupes récents, la chance d’avoir une réponse sur ceux abandonnés depuis plus de 10 ans est proche de zéro.

Une autre approche serait de basculer, par défaut, l’ensemble des groupes sur une visibilité limitée aux membres. C’est le cas pour les nouveaux groupes lors d’une création, comme nous avons pu le confirmer encore récemment.

Nous avons aussi contacté Google, en lui demandant s’il comptait agir sur cette problématique et, si oui, de quelle manière. Comme indiqué précédemment, Google nous rappelle que « les Groupes sont privés par défaut, et ce sont les propriétaires de ces Groupes qui contrôlent ces paramètres ».

« S’il y a des exemples de contenus de Groupe qui violent les règles de contenu ou nos conditions d’utilisation, les utilisateurs peuvent alerter sur le sujet en suivant ce process (par groupe ou par message) », ajoute Google. Pas de changement de masse sur les Groupes donc, mais un traitement au cas par cas suite à des signalements.

Dans le règlement relatif au contenu de Google Groupes, un paragraphe est dédié aux « informations personnelles et confidentielles : il est interdit de communiquer les informations personnelles et confidentielles d’autrui telles que les numéros de carte de paiement, les numéros de Sécurité sociale, les numéros de téléphone sur liste rouge et les numéros de permis de conduire. Sachez que, dans la plupart des cas, les informations déjà disponibles sur Internet ou dans des archives publiques ne sont pas considérées comme privées ou confidentielles selon notre règlement ».

Hasard ou pas du calendrier, Google vient d’annoncer des changements pour les Groupes avec la mise en place pour tout le monde d’une option permettant de les verrouiller pour « empêcher les modifications sensibles ». Quand un groupe est « locked », cela « restreint considérablement la possibilité de modifier les attributs du groupe, tels que le nom et l’adresse e-mail) et les membres ». Cette fonction permet d’« éviter qu’il ne se désynchronise avec une source externe ».

Une fois activé, seuls certains administrateurs peuvent modifier le nom, la description, l’adresse e-mail, les alias, ajouter ou retirer des membres, supprimer le groupe, configurer une restriction d’adhésion, qui peut rejoindre le groupe, ce qu’il en est pour les membres externes, etc.

Dans tous les cas, cela ne change rien pour les données déjà exposées sur Internet dans les Google Groupes.