Google Drive: “Chiunque abbia il link” è davvero privato?
Un developer della startup Pageloot ha digitato il dominio aziendale su Google per fare debugging. L'autocomplete ha restituito l'hostname di staging seguito, in chiaro, dalle credenziali di accesso. Erano in un Google Doc impostato su "Chiunque abbia il link può visualizzare". Nessun hacker, nessun malware: solo un documento condiviso nel modo sbagliato, e Google che ha fatto il suo lavoro. Ho deciso di testare questo comportamento in prima persona — e quello che ho trovato è più sottile, e più importante, di quanto si legga di solito.
Il caso Pageloot è stato documentato da Malwarebytes il 18 agosto 2026, con riferimento all'intervista originale di The Register (13 agosto). Il test ScelgoIo è stato condotto autonomamente nella stessa data, con due documenti Google Drive creati appositamente — dati fittizi, nessuna informazione personale o aziendale reale.
Questo articolo è informativo. Non contiene link di affiliazione a prodotti Google né sponsorizzazioni. La metodologia e i documenti di test sono verificabili e replicabili; il test sull'indicizzazione è ancora in corso.
In breve
Un file Google Drive impostato su "Chiunque abbia il link" non viene indicizzato automaticamente da Google Search — ma può esserlo, se il link diventa raggiungibile dal web pubblico. Il confine tra "link riservato" e "documento pubblico" è molto più sottile di quanto suggerisca l'interfaccia Drive. Ho avviato una verifica preliminare su questo comportamento; il test sull'indicizzazione di un documento effettivamente impostato su "Chiunque abbia il link" inizierà quando il TEST B sarà configurato con quel permesso. Nel frattempo è emerso un caso reale — Pageloot — che documenta concretamente come questo rischio possa verificarsi nella pratica.
Hai mai condiviso un documento Google con "Chiunque abbia il link" pensando che fosse equivalente a mandare un link privato a qualcuno? Il problema è che quella singola voce nel menu di Drive non significa quello che sembra. E quando qualcuno scopre la differenza, di solito è troppo tardi.
✍️ Rocco Caiazza — Fondatore di ScelgoIo | Agosto 2026
Google Drive, "Chiunque abbia il link" e il caso che ha esposto credenziali aziendali su Google Search
Scrivo spesso di come le truffe digitali sfruttino la distrazione e la fiducia che riponiamo negli strumenti che usiamo ogni giorno. Questa volta il problema non è una truffa: è un'impostazione. Una voce di menu usata comunemente — e che funziona in modo molto diverso da come appare. Ne ho già parlato a margine quando ho analizzato le truffe WhatsApp 2026 e i siti di phishing che si posizionano su Google. Oggi ci entro direttamente, con un test che ho condotto in prima persona.
Il test preliminare ScelgoIo: come sto verificando il comportamento di Drive
Tutto è partito da una domanda che mi sono fatto mentre lavoravo a un altro articolo: i file Google Drive condivisi con "Chiunque abbia il link" possono finire su Google Search? Non in teoria — in pratica. Ci sono decine di thread online che discutono questo punto, con risposte contrastanti. Ho deciso di verificarlo direttamente.
Il TEST B era stato preparato per simulare la condivisione tramite link, ma al momento del controllo non risultava ancora configurato con il permesso "Chiunque abbia il link" — Drive restituiva ancora shared: false. Per questo motivo, il test sull'indicizzazione di un documento effettivamente accessibile tramite link non è ancora iniziato. Il nome del file non conta nulla per i permessi reali: solo il parametro type: anyone nei metadati Drive segna la differenza.
Al controllo del 18 agosto 2026, nessuna delle due stringhe univoche compariva nei risultati Google — né con query normali né con site:docs.google.com. Questo risultato è coerente con il fatto che i file con accesso limitato non sono normalmente accessibili ai crawler, ma non costituisce una prova universale su ogni configurazione di Google Drive. Il test sull'indicizzazione attiva del documento condiviso è ancora in corso e questo articolo verrà aggiornato con i risultati.
Ma mentre svolgevo questo test, Malwarebytes ha pubblicato il 18 agosto 2026 l'analisi di un caso reale che risponde alla domanda meglio di qualsiasi esperimento controllato: il caso Pageloot.
Il caso Pageloot: quando la teoria diventa realtà
Siim Kostabi di Pageloot — un servizio di generazione QR code, definito fondatore da The Register — ha raccontato a The Register come un contractor che lavorava per la sua azienda abbia commesso un errore che chiunque potrebbe fare: ha salvato le credenziali di accesso all'ambiente di staging in un Google Doc. Poi ha impostato quel documento su "Chiunque abbia il link può visualizzare".
Le credenziali erano per un ambiente di test, non di produzione. Poteva sembrare una scelta accettabile — un link da mandare ai colleghi, senza dover gestire permessi individuali. Quello che il contractor non sapeva, e che probabilmente la maggioranza degli utenti non sa, è che Google Search può indicizzare quei documenti se il link finisce da qualche parte raggiungibile dai crawler.
Il documento è stato indicizzato. Non si sa esattamente come il bot di Google abbia trovato il link — Malwarebytes lo precisa chiaramente nella sua analisi: "Non sappiamo esattamente come Google abbia scoperto questo documento specifico." Quello che è certo è che ci è riuscito. Un developer della stessa Pageloot stava eseguendo una ricerca diagnostica sul proprio dominio aziendale, e Google Autocomplete ha completato la query con l'hostname dello staging seguito da qualcosa che somigliava a una stringa di credenziali. Il documento era lì, accessibile e visibile.
Il link "privato" di Drive non è privato come un messaggio diretto. È più simile a una stanza con la porta non chiusa a chiave: chi sa dove si trova può entrare. E se qualcuno indica quella stanza a Google, Google ci va a guardare.
Pageloot ha reagito rapidamente: revocato l'accesso al contractor, cambiato tutte le credenziali compromesse, vietato l'archiviazione di password in Google Docs, Notion, Slack e qualsiasi spazio di lavoro condiviso. Ma il danno era già fatto — e la finestra di esposizione era esistita senza che nessuno lo sapesse, fino a quella ricerca fortuita.
Non si tratta di un caso isolato. Secondo l'analisi citata da Malwarebytes, Metomic ha esaminato circa 6,5 milioni di file Google Drive: il 40,2% conteneva informazioni sensibili, il 34,2% di tutti i file era condiviso con contatti esterni e lo 0,5% era completamente pubblico.
Ateam, uno sviluppatore giapponese di giochi Android, ha lasciato un'istanza Google Drive configurata per l'accesso via link dal marzo 2017 al novembre 2023: quasi sette anni. In quel periodo sono stati esposti 1.369 file e dati personali di 935.779 persone. L'azienda ha dichiarato di non aver trovato prove di utilizzo indebito — ma quasi sette anni di accesso aperto rappresentano una finestra di esposizione difficile da sottovalutare.
Come funziona davvero "Chiunque abbia il link"
L'interfaccia di Google Drive presenta diverse opzioni di accesso generale: "Limitato" (solo le persone invitate), "Chiunque abbia il link" e — in alcuni tipi di account — "Pubblico sul web". Le opzioni disponibili dipendono dal tipo di account e dalle policy dell'organizzazione. Molte persone trattano la seconda come se fosse equivalente a un invito diretto: scelgo questa opzione, mando il link a una persona specifica, solo quella persona lo vede.
Non funziona esattamente così. La differenza tra "Limitato" e "Chiunque abbia il link" è fondamentale.
Solo le persone esplicitamente invitate con il loro account Google possono accedere. Il file non può essere aperto da nessun altro, anche se qualcuno ne conosce l'URL. Un motore di ricerca che non dispone dell'autorizzazione non può normalmente aprirne o indicizzarne il contenuto.
Chiunque possieda l'URL può tentare di aprire il file senza essere stato invitato individualmente. Se l'amministratore di Google Workspace non applica restrizioni aggiuntive, il contenuto può essere visualizzato senza autenticazione. Non viene indicizzato automaticamente — ma può esserlo se il link finisce su una pagina web accessibile ai crawler. La possibilità di commentare, modificare, scaricare o copiare dipende dal ruolo e dalle impostazioni applicate dal proprietario.
Il punto critico è che "Chiunque abbia il link" non equivale alla pubblicazione su Google Search e non garantisce l'indicizzazione. Ma se il link finisce su una pagina pubblica e il documento è accessibile senza autenticazione, Google può riuscire a recuperarlo e, in determinate condizioni, a indicizzarne parte del contenuto. Il risultato non è automatico né garantito.
Per i tecnici: come Google scopre i link Drive non pubblici
Condividere il link in Slack, Notion, Jira o in una email aziendale aumenta il numero di luoghi in cui può essere copiato o inoltrato. Il rischio di indicizzazione nasce soprattutto quando il link finisce in una pagina realmente pubblica e accessibile ai crawler — non dalla semplice presenza in uno strumento aziendale protetto da autenticazione.
Il Verizon DBIR 2025 indica che l'elemento umano è coinvolto in circa il 60% delle violazioni analizzate — un dato che comprende interazioni con il phishing, abuso delle credenziali, errori e uso improprio dei sistemi. Non perché le persone siano negligenti, ma perché l'interfaccia non rende immediatamente evidente la differenza tra "link che posso mandare a una persona" e "link che chiunque può aprire, incluso Google".
Cosa fare concretamente
La risposta non è smettere di usare Google Drive. È usarlo in modo consapevole, con qualche abitudine che riduce significativamente il rischio — senza aggiungere frizione inutile al lavoro quotidiano.
Prima di condividere, chiediti: questa persona ha bisogno di accedere con il proprio account, oppure basta un link? Nella maggior parte dei casi lavorativi, l'invito diretto è la scelta corretta — e non è più complicato del link.
Password, token di accesso, chiavi API, dati di carta di credito: non appartengono a Google Docs, Notion o Slack. Appartengono a un gestore di password. Anche in un documento "privato", perché i permessi possono essere cambiati per errore.
In Google Drive puoi filtrare per "Condivisi con me" e "Condivisi da me". Fallo ogni mese o trimestre. Revoca i permessi non più necessari — specialmente quelli di collaboratori, contractor o ex colleghi.
Forum, commenti, repository GitHub pubblici, post social: se incolli lì un link Drive con permesso "Chiunque abbia il link", stai rendendo l'URL pubblicamente raggiungibile. Google potrebbe scoprirlo, anche se la scansione e l'indicizzazione non sono garantite.
- Google Drive Help — Impostazioni di condivisione — documentazione ufficiale Google sui livelli di accesso e sul comportamento dei link condivisi
- Malwarebytes — "Be careful what you put in 'anyone with the link' Google Docs" — analisi del caso Pageloot con contesto storico e statistiche, 18 agosto 2026
- The Register — intervista originale a Siim Kostabi di Pageloot, 13 agosto 2026
- Verizon DBIR 2025 — report annuale sulle violazioni, con dati sull'elemento umano
- DoControl — analisi sull'indicizzazione dei file Drive da parte dei motori di ricerca
Domande frequenti
Ho iniziato questo articolo con una domanda personale e una verifica preliminare. La verifica è in corso: il test sull'indicizzazione di un documento effettivamente impostato su "Chiunque abbia il link" inizierà quando il TEST B sarà configurato con quel permesso, e aggiornerò questa pagina con i risultati. Quello che posso già dire, con le fonti disponibili, è che il rischio è reale, documentato e sottovalutato. Non perché Google Drive sia insicuro — ma perché l'interfaccia non rende evidente una distinzione che fa tutta la differenza. Segui ScelgoIo: aggiornerò questo articolo.
E tu: hai mai usato "Chiunque abbia il link" per condividere qualcosa che non avresti voluto esporre? Raccontamelo nei commenti — senza dati personali.
Autore: Rocco Caiazza – Fondatore di ScelgoIo
