¿Vulnerabilidad grave en Gmail?
Escribo esto un tanto a ciegas, pero de ser cierta, la cuestión me ha parecido lo suficientemente importante como para perder unos cuantos minutos de mi vida exponiéndola.
Como muchos ya sabréis, Gmail permite acceder a nuestros últimos correos recibidos mediante un práctico feed Atom. Es decir, si añadimos el feed a nuestro agregador favorito, este nos servirá para mantenernos al tanto de los nuevos e-mails que vayan llegando. Todo claro hasta aquí.
Esta noche, aunque imaginaba que no funcionaría con Bloglines (la URL del feed es común para todas las cuentas, y al parecer se basa en cookies almacenadas en nuestro equipo), he agregado el feed a mi cuenta en el mencionado servicio. La sorpresa ha sido mayúscula cuando me he topado con un montón de correos que no eran míos; resultaba evidente que pertenecían a otro usuario de Gmail (podía ver su dirección en el título del feed), y puedo asegurar que este no guardaba ningún tipo de relación conmigo y/o el equipo desde el que escribo (es decir, parecería más lógico que hubiesen aparecido los correos de mi novia, o los de cualquier otra cuenta usada aquí).
Tras meditarlo un poco, he llegado a una conclusión relativamente inquietante: La posible causante de esta “debacle” informática no es otra que la caché de Bloglines, ya que esta maneja diariamente miles de feeds distintos, y el modo más lógico de servirlos a sus usuarios es mostrando la última versión cacheada, es decir, la de cualquiera que haya añadido previamente el feed de Gmail.
Contraseñas, números de cuenta… Cualquier cosa puede quedar expuesta. Espinoso, cuanto menos.