Quand on se sert d’Internet, on a vite fait de laisser des traces. Certaines sont invisibles pour les autres internautes, d’autres peuvent être retrouvées facilement. C’est le cas dans les Google Groups, où une mauvaise configuration peut en révéler beaucoup.

Google Groupes est, comme son nom l’indique, un service de groupes de discussions. On crée un groupe, on définit ses règles d’accès et on commence à échanger, soit avec les personnes invitées, soit avec tous ceux qui passeraient par là ou auraient entendu parler de cet espace.

Aujourd’hui, quand on crée un groupe, les paramètres sont restrictifs par défaut. Seuls les membres peuvent le rechercher dans le moteur, afficher les conversations, publier des messages et afficher la liste des membres. Rejoindre le groupe est même basé par défaut sur un système d’invitation.

Après la création du groupe, d’autres options de sécurité sont disponibles dans les Paramètres du groupe. Joindre des fichiers, modérer le contenu, modérer les métadonnées, gérer les membres, modifier les rôles personnalisés ou encore publier en tant que groupe est ainsi réservé aux seuls gestionnaires, donc les personnes déclarées comme telles par celle ayant créé le groupe.

Sachez également que vous pouvez consulter à tout moment la liste des groupes auxquels vous participez, en cliquant en haut à gauche de Google Groupes sur « Mes groupes ».

Mais il n’en a pas toujours été ainsi, et les réglages étaient auparavant plus lâches. Et même ainsi, des internautes ont estimé ces réglages trop restrictifs pour leurs besoins, et les ont en conséquence changés.

Au point qu’aujourd’hui, il est devenu très facile de trouver des informations personnelles et clairement identifiantes dans les Groupes.

Quelques exemples parlants

L’un des premiers exemples avait été trouvé en cherchant « fcpe » dans le moteur de recherche, comme l'explique Professor Xmonad, en faisant attention à sélectionner « Tous les groupes ». Là, des centaines de discussions apparaissent. Beaucoup sont de simples outils de diffusion d’informations, mais on peut déjà repérer de très nombreuses adresses Gmail.

L’une des conversations était cependant très différente. On pouvait y voir plusieurs parents d’élèves discuter organisation et renvoyer vers un tableau, originellement un document Excel hébergé dans Google Sheets.

Et là, plusieurs problèmes. D’une part, n’importe quelle personne passant par là pouvait voir le lien et cliquer dessus. D’autre part, aucun mécanisme de protection n’en verrouillait l’accès : il était ouvert aux quatre vents. Ensuite, le tableau concentrait des informations très identifiantes telles que les nom, prénom, numéro de téléphone, adresse email, prénoms des enfants, nom de l’école, etc. Enfin, il était même possible d’en modifier le contenu.

Autre exemple flagrant, un échange entre deux personnes préparant la défense d’une troisième devant comparaitre en conseil de discipline pour être arrivé alcoolisée et très en retard sur son lieu de travail. Une photo de la convocation était même jointe dans le premier message, et on pouvait clairement y voir le nom et le prénom de la personne convoquée, ainsi que son adresse postale.

On trouve facilement d’autres échanges problématiques dans ce qu’ils exposent de données personnelles, parfois très sensibles. Par exemple, des échanges de mots de passe en clair accompagnant des pages spécifiques. Autre exemple, courant, des factures contenant de nombreuses informations identifiantes. On trouve également parfois des liens vers des espaces partagés comme Google Drive, avec un accès direct aux documents ainsi stockés.

Si nous ne sommes pas plus précis, c’est qu’il est malheureusement très simple de retomber sur ces conversations. Dans la mesure du possible, tous les cas réellement problématiques sur lesquels nous sommes tombés ont donné lieu à un appel pour prévenir les personnes concernées. Nous leur avons également laissé un délai avant publication de cet article.

Perception de la vie privée

Les quelques personnes contactées ont toutes eu la même réaction : elles ne savaient pas. Elles étaient mêmes très étonnées de ces appels, certaines affichant des doutes, voire de l’hostilité nous prenant parfois pour des « pirates ». Mais finalement, toutes nous ont remerciés.

Les réactions sont malheureusement représentatives de ce que la sécurité et la protection de la vie privée ont de plus « quotidien ». Les personnes contactées n’étaient pas de mauvaise volonté : elles ne savaient simplement pas à quoi elles s’exposaient. Certaines ne voyaient d’ailleurs pas le problème et arguaient même d’un « fonctionnement transparent » qui n’avait « rien à cacher ».

Nous avons donné quelques explications sur les risques encourus, dont le principal est bien sûr la récupération de ces informations à des fins malveillantes. Les données étaient parfois très précises et permettaient de retrouver aisément les personnes concernées. Même si l’on a l’impression que publier quelques messages dans un recoin du web est sûr, il n’en est rien, surtout quand ledit recoin est muni d’un moteur de recherche et que celui-ci vient de Google.

Si vous participez à des échanges dans Google Groupes, faites donc attention aux autorisations données sur la visibilité des messages. Le constat est valable pour l’ensemble des applications et services sur lesquels vous communiquez : si la conversation est censée être privée, autant vérifier qu’elle l’est bien.