Necromancia de startups: Dominios inactivos de Google Apps pueden ser comprometidos por nuevos propietarios

Un investigador de seguridad descubrió una vulnerabilidad crítica: el cierre inadecuado de cuentas de Google Workspace deja dominios inactivos de startups vulnerables. Los nuevos propietarios pueden reactivar las cuentas de Google de antiguos empleados, otorgando acceso a servicios de terceros (Slack, ChatGPT, Zoom, etc.) accedidos a través de Google OAuth. Datos confidenciales, incluyendo documentos fiscales y comunicaciones internas, quedan expuestos. Google inicialmente lo descartó, pero después de la presentación del investigador en la conferencia Shmoocon, reevaluaron la situación, ofreciendo una recompensa. Esto destaca el riesgo de procedimientos insuficientes de cierre de cuentas y posibles debilidades en la autenticación OAuth.