Hacking Dados do Google Cloud via Vulnerabilidades Perigosas no Looker Studio

A Tenable Research identificou nove falhas críticas no Looker Studio, não no Looker (produto distinto, auto-hospedado), que permitiam exfiltração e manipulação de dados entre tenants, mesmo em ambientes com isolamento rígido. As vulnerabilidades exploravam dois vetores principais: ataques 'zero-click', onde requisições maliciosas executavam SQL arbitrária usando credenciais do proprietário do relatório, e ataques 'one-click', nos quais o simples clique em um link ou abertura de um relatório injetava consultas via contexto do navegador da vítima. Casos concretos incluem 'Alias Injection' (contornando filtros com comentários SQL), 'Sticky Credential' (retenção indevida de credenciais ao clonar relatórios) e exploração de APIs de link para injeção cross-tenant, tudo sem necessidade de interação além do acesso ao relatório.

O impacto atingiu conectores nativos do GCP como BigQuery, Sheets e Spanner, mas também bancos externos como PostgreSQL e MySQL. Diferentemente de incidentes anteriores como 'LookOut' (fevereiro/2026, no Looker auto-hospedado), 'LeakyLooker' é exclusivo do Looker Studio gerenciado, reforçando que plataformas de BI não são apenas ferramentas analíticas, mas superfícies de ataque com lógica de autenticação e autorização próprias, e frágeis quando integradas a múltiplos backends com permissões amplas.

Essas falhas expõem uma contradição estrutural no ecossistema de dados: enquanto arquiteturas modernas exigem integração fluida entre fontes (BigQuery, Sheets, Cloud Storage), os mecanismos de controle de acesso no nível do relatório raramente refletem a granularidade dos dados subjacentes. Um único relatório público com um conector mal configurado podia, por exemplo, permitir reconstrução parcial de tabelas via contagem de quadros ou vazamento silencioso via requisições de imagem. Para equipes de engenharia de dados e governança, isso significa rever não só políticas de compartilhamento, mas também quem tem permissão para criar relatórios com conectores sensíveis, e se esses relatórios herdam credenciais de forma implícita ou persistente.