Promemoria: le app di terze parti possono accedere ai messaggi Gmail e al contenuto dell'account Google

Un reportage pubblicato quest’oggi dal Wall Street Journal accende un faro su un problema del quale abbiamo parlato senza sosta nel corso degli ultimi anni.
Gli account Google possono essere collegati ad applicazioni di terze parti di ogni tipo: le app non conosceranno mai le credenziali di accesso (username e password) ma sfrutteranno il protocollo OAuth per accedere a un ventaglio di informazioni più o meno ampio.

Alcune applicazioni possono leggere solo il nome dell’utente e il suo indirizzo email mentre altre possono legarsi a doppio filo con i servizi Google arrivando a estrapolare il contenuto dei file memorizzati su Drive o gli archivi di posta di Gmail.

Ci sono centinaia di applicazioni sviluppate da terze parti che scansionano l’account Google dell’utente e raccolgono informazioni personali dai messaggi di posta conservati su Gmail.

Il fatto è che, in molti casi, gli utenti autorizzano l’accesso al proprio account Google da parte di app di terze parti senza controllare quali permessi vengono richiesti. Inoltre, le app di terze parti vengono spesso dimenticate e restano collegate all’account utente per mesi o anni.

Come abbiamo spiegato nell’articolo Proteggere gli account web e migliorarne la sicurezza (vedere, in particolare, il punto 7) “Controllare le applicazioni autorizzate ad accedere al contenuto degli account“) è fondamentale controllare periodicamente quali app di terze parti hanno eventualmente titolo per accedere al contenuto dell’account e per ciascuna di esse verificare con attenzione i permessi richiesti.

Questo tipo di controllo, nel caso di Google, è effettuabile da questa pagina.

Cliccando sul nome di ciascuna app di terze parti, Google indica in modo molto chiaro quali permesso le sono stati accordati (fare riferimento, in particolare, alla sezione Ha accesso a).
Con un clic sul pulsante Rimuovi accesso è eventualmente possibile revocare l’autorizzazione ad accedere al contenuto del proprio account utente Google.