Si le gusta ser minucioso y usar un corrector ortográfico avanzado, tenemos algunas malas noticias: su información personal podría estar en peligro.
El uso de la revisión ortográfica extendida en Google Chrome y Microsoft Edge transmite todo lo que ingresa para que se verifique. Desafortunadamente, esto incluye información que debe estar estrictamente encriptada, como contraseñas.
Este problema, reportado por primera vez por la firma de seguridad de JavaScript otto-js, se descubrió accidentalmente mientras la compañía probaba su detección de comportamientos de script. Josh Summitt, cofundador y CTO de otto-js, explica que casi todo lo que ingresa en los campos de formulario con el corrector ortográfico avanzado habilitado se transmite posteriormente a Google y Microsoft.
“Si hace clic en ‘mostrar contraseña’, el corrector ortográfico mejorado incluso envía su contraseña, esencialmente deletreando sus datos”, dijo otto-js en su informe. “Algunos de los sitios web más grandes del mundo están expuestos a enviar PII [información de identificación personal] confidencial a Google y Microsoft, incluido el nombre de usuario, el correo electrónico y las contraseñas, cuando los usuarios inician sesión o completan formularios. Una preocupación aún más importante para las empresas es la exposición que esto presenta a las credenciales empresariales de la compañía a activos internos como bases de datos e infraestructura en la nube”.
Muchas personas usan “mostrar contraseña” para asegurarse de que no han cometido un error tipográfico, por lo que potencialmente, muchas contraseñas podrían estar en riesgo aquí. Bleeping Computer probó esto aún más y descubrió que ingresar su nombre de usuario y contraseña en CNN y Facebook envió los datos a Google, mientras que SSA.gov, Bank of America y Verizon solo enviaron los nombres de usuario.
Tanto Microsoft Edge como Google Chrome vienen con correctores ortográficos incorporados que son bastante básicos. Estas herramientas no requieren ninguna verificación adicional: lo que ingresa permanece dentro de su navegador. Sin embargo, si está utilizando el corrector ortográfico mejorado de Chrome o el corrector ortográfico y gramatical del Editor de Microsoft, todo lo que escriba en el navegador se enviará a Google y Microsoft, respectivamente.
Eso, en sí mismo, no es inesperado. Cuando habilita el corrector ortográfico mejorado en Chrome, el navegador le indica que el “texto que escribe en el navegador se envía a Google”. Sin embargo, muchas personas esperarían que esto excluya la PII que a menudo se envía en formularios.
La gravedad de esto depende de los sitios web que visite. Algunos datos del formulario pueden incluir números de Seguro Social y números de Seguro Social, su nombre completo, dirección e información de pago. Las credenciales de inicio de sesión también entran en esta categoría.
Es comprensible que sus entradas se envíen fuera del navegador para utilizar el corrector ortográfico mejorado, pero es difícil no cuestionar qué tan seguro es esto cuando los datos personales también reciben ese mismo tratamiento.
Cómo mantenerse a salvo
Si prefiere que sus datos personales no se transmitan a Microsoft y Google, debe dejar de usar el corrector ortográfico avanzado por el momento. Esto significa deshabilitar la función en la configuración de Chrome. Simplemente copie y pegue esto en la barra de direcciones de su navegador: chrome://settings/?search=Enhanced+Spell+Check.
Para Microsoft Edge, el corrector ortográfico avanzado viene en forma de un complemento del navegador, así que simplemente haga clic con el botón derecho en el icono de esa extensión en su navegador y luego toque Eliminar de Microsoft Edge.
Google se ha asegurado de no adjuntar ninguna identidad de usuario a los datos que procesa para el corrector ortográfico. Sin embargo, funcionará en excluir las contraseñas de esto por completo. Microsoft dijo que investigará el problema, pero aún no hizo un seguimiento con Bleeping Computer más allá de eso. Microsoft actualmente tiene otro problema con Edge: los hackers lo están utilizando para ejecutar una campaña de publicidad maliciosa.
