發現的過程

跟案例1一樣，在調查內部連線的時候發現的。

它長什麼樣

這個案例比昨天的專案看起來更完整，
有一個完整有登入畫面。
登入畫面看起來是用 Vibe Coding 做的，但同樣也是架在 github.io 上。

問題 1：弱密碼

試了一組弱密碼，進去了。

問題 2：帳密 hardcode

那我也回到登入頁面按 F12，看了一下前端程式碼
如預想的一樣，hardcode寫在前端網頁內

問題 3：資料在私人的 Google 帳號裡

從原始碼也看的出來，這個頁面後面串了 Google 的服務，
那持續往後測試後發現網頁有些功能看起來像是有串接資料庫，
實際上是 Google Sheet。
使用者在頁面上填的資料，一路送到某個人的 Google 帳號底下的試算表裡。
這份試算表的存取權限是什麼、誰看得到、留多久、做的人離職之後跟著誰走，沒有人知道。

企業的資料，留存於個人的私人帳號中，或許小企業存在許多這樣的事情
但在很多中型、大型企業中，從制度、資料、資訊的治理應該都是違規的

問題 4：Broken Access Control

登入後頁面中有很多連結，看起來原本的設計是：登入 → 點裡面的連結 → 取得授權人員才能讀寫的資料。

把其中一個連結貼到另一台電腦，直接開，不用登入。

也就是說，那個登入畫面只是一塊布。它擋的是「從正門進來的人」，但每一扇窗都是開的。只要拿到任何一個內部連結——群組裡轉一下、截圖裡露一角——就可以直接進到資料。登入畫面給了使用者「這個系統有保護」的感覺，實際上什麼都沒保護。

結論

一定要先各位告知 別亂玩 會有人敲門

這兩個案例我是經過主管授權跟企業授權的

洽詢該人員後也承認，這大約是2.3年前使用vibe coding出來的一個網頁
很多東西都沒有防護，就是AI給甚麼他放甚麼，最後是測試能運作就上架使用了

這兩個只是冰山一角，是浮上檯面的那一小塊。

而且它們浮上來，不是因為出事了，是因為剛好去查了 github.io 的連線。
那沒被查的那些呢？放在別的免費空間的呢？
根本不上網、用離線檔案傳來傳去的呢？

沒人知道。這才是最讓人不安的地方

這兩個案例或許有人會說不是很嚴重，跟企業無關 但真的無關嗎 ? 那其他你不知道還有哪些?。