IT之家9月20日消息，otto-js安全团队最近的研究发现，正在由Microsoft编辑器和GoogleChrome中增强的拼写检查设置检查的数据分别被发送回微软和谷歌。这些数据包括了用户名、电子邮件、DOB、SSN，以及基本上输入到由这些功能检查的文本框中的任何内容。
作为附加说明，这些功能甚至可以发送密码，但只有当按下“显示密码”按钮时，才能将密码转换为可见文本，然后对其进行检查。
关键问题围绕敏感的用户个人身份信息(PII)解决，这是访问内部数据库和云基础设施时企业凭据的关键问题。在otto-js分享的下图中，可以看到用户登录到阿里云，然后他们的数据被分享给了谷歌。
一些公司已经采取措施防止这种情况发生，AWS和LastPass安全团队都确认他们已经通过更新缓解了这种情况。这个问题被称为“拼写劫持”。最令人担忧的是，这些设置很容易被用户启用，并且可能导致数据泄露而没有人意识到这一点。
IT之家获悉，otto-js的团队对不同行业的30个网站进行了测试，发现其中96.7%的网站将带有PII的数据发送回谷歌和微软。
有趣的是，唯一减轻该组问题的网站是Google本身，但仅针对某些服务，而不是其所有经过测试的产品。目前，otto-js研究团队建议在此问题解决之前不要使用这些扩展和设置。
联系电话：