Не прошло и двух недель после c Google Docs в поисковой выдаче «Яндекса», как обнаружилась новая утечка. Оказалось, что в выдаче поисковика можно найти и персональные данные некоторых пользователей Сбербанка, ВТБ, единого транспортного портала правительства Москвы и интернет-магазинов.
Как и в случае с Google Docs, наибольший риск утечки — у тех закрытых страниц, которые сервис показывает пользователю не по паролю, а в виде уникальной секретной ссылки с длинным адресом из случайного набора символов. Подобрать такой адрес невозможно даже с помощью специализированного ПО — но при отсутствии нужных мер предосторожности поисковик может его проиндексировать. Для этого даже не нужно, чтобы пользователь пересылал кому-то ссылку или публиковал ее в открытом доступе — многие плагины для браузеров Google Chrome и «Яндекс.браузер» (на них приходится 70% рынка) вполне легально собирают информацию о посещенных пользователем страницах и могут передавать информацию о них поисковику для индексации. По одной из основных версий, именно так в выдачу «Яндекса» попали закрытые Google Docs.
При этом Яндекс не смог бы проиндексировать страницы с личными данными, если бы на их доменах был файл robots.txt, в котором прописываются ограничения доступа для поисковых роботов. Это «пренебрежение элементарными требованиями защиты данных», констатирует Павел Медведев (он и нашел уязвимость) в своей статье. Сбербанк пообещал провести по факту внутреннее расследование.