Ups, Google dan Microsoft Bisa Peroleh Password Pengguna dari Pemeriksa Ejaan di Browser

"Selanjutnya jika Anda mengklik 'tampilkan kata sandi', pemeriksa ejaan yang disempurnakan bahkan mengirimkan kata sandi pengguna. Pada dasarnya, justru membajak data," jelasnya, dalam sebuah unggahan blog.

Summitt juga menyebut, beberapa situs web terbesar di dunia memiliki eksposur untuk mengirimkan informasi data pribadi yang sensitif ke Google dan Microsoft. Mulai dari nama pengguna, email hingga kata sandi, saat pengguna login atau mengisi formulir.

Hal ini diperparah dengan pengguna yang kerap memilih untuk menampilkan kata sandi, untuk menghindari kesalahan pengetikkan password.

Untuk mendemonstrasikannya, Summitt membagikan contoh pengguna yang memasukkan kredensial pada platform Cloud Alibaba di browser Chrome.

Dengan mengaktifkan pemeriksa ejaan yang disempurnakan dan diasumsikan pengguna mengetuk fitur 'tampilkan kata sandi', bidang form termasuk nama pengguna dan kata sandi dikirimkan ke Google di googleapis.com.

Bleeping Computer juga mengecek kredensial apa saja yang ditransmisikan ke Google ketika pengguna memakai Chrome untuk melindungi situs besar. Misalnya:

- CNN, baik username dan password dikirimkan ketika pengguna menggunakan 'show password'

- Facebook, baik username dan password dikirimkan ketika pengguna memakai 'show password'

- SSA.gov (Social Security Login) - hanya mengirimkan username

- Bank of Amerika - hanya mengirimkan username

- Verizon - hanya mengirimkan username.

Meski transmisi form data terjadi dengan aman melalui sambungan HTTPS, mungkin tidak jelas apa yang akan terjadi pada data pengguna setelah mencapai pihak ketiga, misalnya server Google.

"Fitur pemeriksaan ejaan yang disempurnakan memerlukan keikutsertaan dari pengguna," kata juru bicara Google.

Pemeriksaan ejaan dasar yang diaktifkan di Chrome secara default tidak mengirimkan data ke Google.

Summitt pun mengatakan, perusahaan bisa mengurangi risiko berbagi informasi personal pengguna dengan menambahkan 'spellcheck=false' ke semua bidang input.

Perusahaan juga bisa menghapus kemampuan menampilkan kata sandi karena hal tersebut diyakini bisa mencegah kata sandi pengguna dikirim ke Google atau Microsoft.

(Tin/Isk)