Vulnerabilidade no Drive Desktop ameaça sigilo em ambientes corporativos

Uma vulnerabilidade foi identificada no aplicativo Google Drive Desktop para Windows, permitindo que um usuário logado em um computador compartilhado acesse integralmente os arquivos de outro usuário sem precisar de suas credenciais.

Leia também
Intel integra solução da Acronis em PCs com IA
Vivo anuncia parceria antiransomware com o GPA

O problema decorre de uma falha de controle de acesso no mecanismo de cache local do aplicativo, conhecido como DriveFS, que não isola corretamente os arquivos sincronizados entre diferentes perfis de usuário no sistema operacional.

Segundo o pesquisador Abdelghani Alhijawi, um invasor pode copiar o diretório de cache (DriveFS) de outra pessoa e substituí-lo em seu próprio perfil. Ao reiniciar o aplicativo, o Google Drive carrega o conteúdo do outro usuário — incluindo “Meu Drive” e “Drives Compartilhados” — sem solicitar autenticação adicional. Essa exploração ignora princípios fundamentais de segurança, como Zero Trust, criptografia individualizada de arquivos em repouso e exigência de revalidação de credenciais.

O cenário é especialmente crítico em ambientes com estações de trabalho compartilhadas, como escritórios, universidades ou espaços de coworking. A falha abre espaço para exfiltração, modificação ou exclusão de dados sensíveis, incluindo registros financeiros, contratos, documentos de RH ou código-fonte. Além disso, expõe organizações a riscos de conformidade com normas como GDPR e HIPAA, além de impactos reputacionais.

Embora o caso tenha sido reportado ao programa de vulnerabilidades do Google, a empresa respondeu que “não se trata de um bug de segurança”. A avaliação gerou preocupação, pois a falha contraria normas internacionais como NIST SP 800-53, ISO 27001 e SOC 2, que exigem isolamento de dados, criptografia robusta e gestão de sessões seguras.

Recomendações para usuários: evitar o uso do Google Drive Desktop em máquinas compartilhadas, aplicar permissões rígidas entre perfis do Windows e priorizar o uso em dispositivos dedicados e gerenciados. Até que a correção seja disponibilizada, especialistas recomendam cautela para reduzir riscos associados a ameaças internas.