Los correctores ortográficos en Google Chrome podrían exponer sus contraseñas
Si le gusta ser minucioso y usar un corrector ortográfico avanzado, tenemos malas noticias: su información personal podría estar en peligro.
El uso del corrector ortográfico extendido en Google Chrome y Microsoft Edge transmite todo lo que ingresa para que se verifique. Desafortunadamente, esto incluye información que debe estar estrictamente encriptada, como las contraseñas.
Este problema, informado por primera vez por la empresa de seguridad de JavaScript otto-js, se descubrió accidentalmente mientras la empresa estaba probando su detección de comportamientos de secuencias de comandos. Josh Summitt, cofundador y CTO de otto-js, explica que casi todo lo que ingresa en los campos de formulario con el corrector ortográfico avanzado habilitado se transmite luego a Google y Microsoft.
"Si hace clic en 'mostrar contraseña', el corrector ortográfico mejorado incluso envía su contraseña, esencialmente deletreando sus datos", dijo otto-js en su informe . “Algunos de los sitios web más grandes del mundo están expuestos a enviar PII [información de identificación personal] confidencial de usuarios de Google y Microsoft, incluidos el nombre de usuario, el correo electrónico y las contraseñas, cuando los usuarios inician sesión o completan formularios. Una preocupación aún más importante para las empresas es la exposición que esto presenta a las credenciales empresariales de la empresa a los activos internos como bases de datos e infraestructura en la nube”.
Muchas personas usan "mostrar contraseña" para asegurarse de que no han cometido un error tipográfico, por lo que, potencialmente, muchas contraseñas podrían estar en riesgo aquí. Bleeping Computer probó esto más a fondo y descubrió que ingresar su nombre de usuario y contraseña en CNN y Facebook enviaba los datos a Google, mientras que SSA.gov, Bank of America y Verizon solo enviaban los nombres de usuario.
Tanto Microsoft Edge como Google Chrome vienen con correctores ortográficos incorporados que son bastante básicos. Estas herramientas no requieren ninguna verificación adicional: lo que ingresa permanece dentro de su navegador. Sin embargo, si está utilizando el corrector ortográfico mejorado de Chrome o el corrector ortográfico y gramatical del editor de Microsoft, todo lo que escribe en el navegador se envía a Google y Microsoft respectivamente.
Eso, en sí mismo, no es inesperado. Cuando habilita el corrector ortográfico mejorado en Chrome, el navegador le dice que el "texto que escribe en el navegador se envía a Google". Sin embargo, muchas personas esperarían que esto excluya la PII que a menudo se envía en formularios.
La gravedad de esto depende de los sitios web que visite. Algunos datos del formulario pueden incluir números de Seguro Social y números de Seguro Social, su nombre completo, dirección e información de pago. Las credenciales de inicio de sesión también se incluyen en esta categoría.
Es comprensible que sus entradas se envíen fuera del navegador para utilizar el corrector ortográfico mejorado, pero es difícil no cuestionar qué tan seguro es esto cuando los datos personales también reciben el mismo tratamiento.
Cómo mantenerse a salvo
Si prefiere que sus datos personales no se transmitan a Microsoft y Google, debe dejar de usar el corrector ortográfico avanzado por el momento. Esto significa deshabilitar la función en la configuración de Chrome. Simplemente copie y pegue esto en la barra de direcciones de su navegador: chrome://settings/?search=Enhanced+Spell+Check.
Para Microsoft Edge, el corrector ortográfico avanzado viene en forma de un complemento del navegador, así que simplemente haga clic con el botón derecho en el icono de esa extensión en su navegador y luego toque Eliminar de Microsoft Edge .
Google se ha asegurado de no adjuntar ninguna identidad de usuario a los datos que procesa para el corrector ortográfico. Sin embargo, funcionará para excluir las contraseñas de esto por completo. Microsoft dijo que investigará el problema, pero todavía no hizo un seguimiento con Bleeping Computer más allá de eso. Actualmente, Microsoft tiene otro problema con Edge: los piratas informáticos lo están utilizando para ejecutar una campaña de publicidad maliciosa .