次にGoogleドキュメント、あるいは共有機能を備えたその他のオンラインツールに機密情報を入力するときは、付与する権限に十分注意してください。
The Registerの取材に対し、QR生成サービスPagelootの創業者は、自らこの教訓を痛感したと語りました。Siim Kostabi氏によると、同社のために働いていたある契約社員が、誤ってステージング環境のログイン情報を流出させてしまったといいます。この認証情報は本来、社内のテスト環境の外に出るはずのないものでした。
この不運な開発者はステージング環境（新しいソフトウェアコードを本番投入する前にテストするための環境）へのアクセス権を持っていました。彼はそのログイン情報をGoogleドキュメントに保存し、「リンクを知っている全員が閲覧可能」に設定していたのです。
実は、そのリンクが公開ウェブ上で発見可能な状態になると、Google検索は「リンクを知っている全員」設定のGoogleドキュメントをインデックス化できてしまうことが分かっています。「リンクを知っている全員」に設定したファイルが自動的にインデックス化されるわけではないため、Googleが今回のこのドキュメントを具体的にどのように発見したのかは分かっていません。分かっているのは、実際にそうなったという事実だけです。認証情報が書かれたファイルは、Google検索にヒットするようになっていました。
Pagelootの開発者がデバッグ中に自社のドメインをGoogleに入力したところ、Googleのオートコンプリート機能がステージング環境のホスト名と、その後に認証情報らしき文字列を候補として表示しました。案の定、そのドキュメントはオンラインでアクセス可能な状態になっていました。Google検索は、共有範囲が広すぎるドキュメントの情報を表に出してしまっていたのです。
Pagelootの対応は評価に値するものでした。同社は速やかに動き、契約社員のアクセス権を剥奪し、影響を受けたすべての認証情報を変更しました。さらに、Googleドキュメント、Slack、Notion、その他あらゆる共有ワークスペースへのパスワード保存を禁止する措置も取りました。
問題は、オートコンプリートがパスワードを表面化させるまで、こうした対策が一切講じられていなかったという点です。もし誰も気づかなければ、その認証情報は流出したままになっていた可能性があります。
パスワードマネージャーを使うべき理由を示す事例があるとすれば、まさにこれです。ところが実際には、契約社員は手元に置いておくためとみられる理由で、ログイン情報をGoogleドキュメントに入力していました。
この問題に直面しているのはPagelootだけではありません。日本のAndroidゲーム開発会社Ateamは、2017年3月から2023年11月まで、Google Driveのインスタンスを「インターネット上のリンクを知っている全員が閲覧可能」な設定のまま放置していたことが明らかになっています。この一つの設定ミスにより、1,369件のファイルと935,779人分の個人データが流出していました。Ateamは、データが実際に取得された証拠は確認されていないとしていますが、7年間にわたり公開状態が続いていたという事実は、決して安心できるものではありません。
MetaのAI戦略の中核を担うデータラベリング企業Scale AIも、Meta、Google、xAI向けのトレーニング資料が入った85件のGoogleドキュメントを、リンクを知っている全員が編集可能な状態にしていました。契約社員たちはこの状況を「信じられないほどずさん」と評しています。Scaleはその後、ユーザーが管理対象ドキュメントを一般公開できないよう機能を無効化しました。
これは一つの傾向と言えます。3年前、AIセキュリティ企業のMetomicは約650万件のGoogle Driveファイルをスキャンし、そのうち40.2%に機密情報が含まれていることを突き止めました。3分の1強が外部と共有されており、0.5%は完全に一般公開の状態でした。
0.5%と聞くとわずかに思えるかもしれませんが、650万件という母数で見れば、それでも数千件のファイルが一般公開されていたことになります。
もっとも、これはGoogleだけの問題ではありません。人々はプロジェクト管理システムのTrelloなど、他のツールを通じても誤って機密情報を共有してしまうことがあります。Trelloのボードを公開設定にすると、誰でも閲覧できるようになります。2018年には、政府機関の利用者がこの設定によってパスワードやセキュリティ計画を流出させてしまったという不運な事例もありました。
問題は、ツールがますますコラボレーション志向になる一方で、利用者がそのスピードについていけていないことです。その結果、ミスが起こります。Verizonの「2025年版データ漏えい調査報告書」は、侵害全体の約60%が、設定ミスや正規の認証情報の不正利用といった人的要因に起因していると指摘しています。
チェックボックス一つの代償
Pagelootは、顧客に関わる別のアクセス制御の不備にも直面しました。アクセス権が取り消されないまま残っていた元従業員が、それを悪用して顧客のQRコードを競合他社のサイトへリダイレクトさせたのです。根本原因は同じでした。誰が何にアクセスできるのかを、誰も把握していなかったのです。
Kostabi氏はこの経験から、誰が何にアクセスできるかを常に把握しておくことの重要性を学んだといいます。
一般の利用者も、いくつかの簡単な対策を講じることができます。パスワードやその他の高度に機密性の高い情報を、通常の共有ドキュメントに保存しないことです。パスワードにはパスワードマネージャーを使い、オンラインサービスで共有ボタンを押す前には、共有しようとしている情報に誰がアクセスできるようになるのかを必ず確認してください。
