Nécromancie des startups : les domaines Google Apps inactifs peuvent être compromis par les nouveaux propriétaires

Un chercheur en sécurité a découvert une faille critique : la fermeture incorrecte des comptes Google Workspace laisse les domaines inactifs des startups vulnérables. Les nouveaux propriétaires peuvent réactiver les comptes Google d’anciens employés, donnant accès à des services tiers (Slack, ChatGPT, Zoom, etc.) accessibles via Google OAuth. Des données sensibles, notamment des documents fiscaux et des communications internes, sont exposées. Google a d’abord rejeté la faute, mais après la présentation du chercheur à la conférence Shmoocon, il a réévalué la situation et a offert une récompense. Cela souligne le risque de procédures de fermeture de compte insuffisantes et les faiblesses potentielles de l’authentification OAuth.