Для всех, кто держит пароли от админ-панели и аккаунтов в документе или таблице Google Drive, гадая «безопасно ли это?». Вот честный ответ. Без шагов атаки — только как хранить их безопасно.
Взгляд этого сайта: проблема не в «использовании Drive», а в «открытом тексте»
Распространённое заблуждение — «класть в облако плохо». Это не так. Настоящая проблема — держать это открытым текстом, в списке. Синхронизировать зашифрованное хранилище паролей (например, KeePass .kdbx) через Drive — это нормальная, безопасная практика по всему миру: файл — это просто шифртекст без своего мастер-ключа.
И наоборот, как бы ни был заперт ваш аккаунт Google, если содержимое — таблица открытым текстом, любой, кто попадёт в этот аккаунт, прочтёт всё. Мыслите категориями «читаемо без вашего ключа или нет», а не облако vs не-облако.
Почему список открытым текстом опасен
Соблазнительно думать «это в аккаунте Google с надёжным паролем, так что нормально». Но список открытым текстом накапливает свои собственные риски.
Конкретно, любое из этого утекает весь список.
Захват аккаунта Google
Предоставление доступа вредоносному подключённому приложению
Фишинг через ручное копирование
Разрастание устройств и ссылок для доступа
И собственное шифрование Google Drive — это шифрование, сквозь которое может читать сам Google, а не рассчитанное на секреты. Сделайте секреты нечитаемыми без вашего ключа, прежде чем передавать их любому хосту. Это правило обращения с секретами (та же идея, что в файлы .env и секреты).
Шкала от опасного к безопасному
Даже «хранится на Drive» сильно варьируется по тому, что внутри.
✗ таблица открытым текстом
вписано прямо в документ/таблицу
△ зашифрованный zip
архив с паролем; это хлопотно, и им перестают пользоваться
○ зашифрованное хранилище
KeePass .kdbx, синхронизируемый через Drive
◎ менеджер паролей
Bitwarden/1Password; автозаполнение + мониторинг
Для распространённых мест хранения паролей — можно ли прочитать содержимое, если кто-то попал в ваш аккаунт Google (или на ваш компьютер).
| Где хранится | Читаемо, если кто-то внутри? | Оценка |
|---|---|---|
| Вписано в Google Документ или Таблицу | Да, как есть | Опасно |
| Excel только с защитой листа | Да (она блокирует правки, это не шифрование) | Опасно |
| Excel с «Зашифровать с использованием пароля» | Нет без пароля на открытие | Второй по качеству вариант (нет автозаполнения и предупреждений) |
| KeePass .kdbx, синхронизируемый через Drive | Нет без мастер-пароля | Безопасно |
| Google Менеджер паролей с шифрованием на устройстве | По словам Google, прочитать можете только вы | Безопасно |
| Специализированный менеджер паролей (Bitwarden / 1Password) | Нет без мастер-пароля | Безопасно |
Решают две вещи: зашифровано ли содержимое и копируете ли вы пароли вручную. Зашифрованный файл Excel проходит первую проверку, но поскольку вы каждый раз копируете из таблицы, риск вставить пароль на поддельный сайт остаётся.
Как хранить их правильно
Лучший ответ — перейти на специализированный менеджер паролей. Эти шаги помогут отказаться от списка открытым текстом.
Используйте специализированный менеджер паролей
Сделайте мастер-пароль длинным и уникальным
Поставьте устойчивую к фишингу MFA на менеджер и аккаунт Google
После переноса удалите список открытым текстом навсегда
Переходите на passkey там, где можете
Список открытым текстом в Google Docs
- захвачен один аккаунт — и утекает всё
- вы можете вставить в поддельный сайт вручную (нет защиты от фишинга)
- нет обнаружения утечек, автозаполнения или версий
- доступ подключённого приложения может прочитать содержимое
Специализированный менеджер паролей
- содержимое остаётся зашифрованным при синхронизации (провайдер не может его прочитать)
- не заполнит автоматически на поддельном домене = устойчив к фишингу
- встроенная надёжная генерация, мониторинг утечек, история
- защищён мастер-паролем плюс MFA
Если вы всё же хотите использовать Drive
Есть два минимальных условия.
- Храните только зашифрованный файл хранилища (.kdbx и т. п.); никогда документ/таблицу открытым текстом
- Поставьте устойчивую к фишингу MFA на аккаунт Google
При обоих условиях Drive становится просто местом, где синхронизируется шифртекст, и риск резко падает.
Перенос таблицы в менеджер паролей
Перепечатывать список по одной записи не нужно. Файл CSV (простой табличный формат) позволяет импортировать всё за раз.
Выберите, куда переносить, затем скачайте CSV
В Google Таблицах: «File» → «Download» → «Comma-separated values (.csv)» (Файл → Скачать → CSV). Этот CSV — сам незашифрованный список, поэтому планируйте импортировать и удалить его в тот же день.
Переименуйте столбцы под импортёр
Google Менеджеру паролей нужны заголовки url, username и password в первой строке. У Bitwarden свои заголовки (name, login_uri, login_username, login_password и т. д.). Если названия не совпадают, импорт не удастся, поэтому следуйте образцу на странице справки вашего менеджера.
Импортируйте
В Google Менеджере паролей откройте passwords.google.com → «Settings» → «Import» (Настройки → Импорт). В веб-приложении Bitwarden используйте «Tools» → «Import» (Инструменты → Импорт). Google принимает до 3000 паролей за раз.
Удалите CSV и исходный список
Удалите скачанный CSV и очистите корзину компьютера. И Google, и Bitwarden советуют удалять этот файл после импорта. Удалите и исходную таблицу на Drive, затем удалите её навсегда из корзины Drive (она удаляется автоматически через 30 дней, но до тех пор остаётся).
Сначала смените важные пароли
Начиная с аккаунтов, утечка которых ударит сильнее всего (почта, интернет-банк, админ-панели сайтов), перейдите на новые пароли, сгенерированные менеджером паролей. Всё время, пока они лежали в списке, их мог прочитать любой, кто попал в ваш аккаунт Google.
Как проверить свою настройку
Даже после «я всё перенёс» часто остаются старые копии и настройки доступа. Проверьте эти четыре вещи в своём аккаунте.
Найдите в Drive слово «пароль»
Поиск в Drive смотрит на текст внутри файлов, а не только на имена файлов. Ищите «пароль», «password», «pw», «логин» и подобное, а чтобы сузить до таблиц и документов, добавьте type:spreadsheet или type:document. Проверьте также общие диски и файлы, которыми с вами поделились другие.
Проверьте настройки доступа найденных файлов
Выберите файл, откройте «Настройки доступа» и посмотрите, установлен ли общий доступ «Все, у кого есть ссылка». При такой настройке любой, у кого есть ссылка, может открыть файл без входа в аккаунт Google. Если пока не можете удалить файл, переключите доступ на «Доступ ограничен».
Проверьте приложения с доступом к аккаунту
Страница связанных приложений аккаунта Google (myaccount.google.com/linkedapps) показывает приложения, которым вы дали доступ к аккаунту Google. Отзовите доступ у всего, чем больше не пользуетесь или чего не узнаёте.
Проверьте папку «Загрузки» и файлы Excel
Поищите старые выгрузки .csv или .xlsx. Если вы всё ещё держите список в Excel, убедитесь, что он защищён через «Файл» → «Сведения» → «Защита книги» → «Зашифровать с использованием пароля», а не только защитой листа.
Заодно убедитесь, что вход в аккаунт Google использует passkey или двухэтапную аутентификацию (→ руководство по MFA).
Частые ошибки и как их исправить
- Удалили строки, но оставили файл: Google Документы и Таблицы хранят историю версий, и прежние версии можно открыть и восстановить. После переноса удалите файл целиком или удалите историю версий как владелец.
- Полагаются на защиту листа: Microsoft говорит, что это не функция безопасности. Чтобы содержимое было нечитаемым, нужно зашифровать весь файл.
- CSV для переноса остался в «Загрузках»: его может открыть любой, кто пользуется компьютером. Удалите его сразу после импорта.
- Пароль на открытие зашифрованного файла записан в том же Drive: если кто-то попадёт в аккаунт Google, он получит и то, и другое. Держите этот единственный пароль в голове или на бумаге дома.
- Таблица используется, чтобы делиться паролями с семьёй или командой: используйте вместо этого функцию совместного доступа менеджера паролей. Когда кто-то уходит, можно отозвать доступ только у него.
Реальный пример: то, что было читаемо в одном месте, привело к следующим учётным данным
В июне 2026 года японская краудфандинговая платформа CAMPFIRE опубликовала результаты расследования несанкционированного доступа. По данным компании, учётные данные GitHub, выданные сотруднику, были использованы третьей стороной, а затем информация, доступная для просмотра на GitHub, была использована для поиска и получения учётных данных облачной среды, используемой для внутренних задач. Компания сообщает, что могли быть раскрыты 225 846 записей затронутых пользователей без повторов (см. наш разбор утечки CAMPFIRE, на английском).
Этот случай касается среды разработки компании, но схема та же, что и у личного списка паролей. Когда кто-то попадает в один аккаунт и находит там читаемые другие учётные данные, ущерб не ограничивается этим аккаунтом. Хранить список паролей открытым текстом в аккаунте Google — значит, что следующие учётные данные уже ждут того, кто попадёт внутрь.
Что делает сам этот сайт
Этот сайт держит секреты — пароли, ключи, строки подключения — вне общих документов, вне репозитория кода и вне заметок по передаче дел, никогда открытым текстом (→ держать секреты вне git). Повседневные входы живут в менеджере паролей, а важные аккаунты удвоены устойчивой к фишингу MFA. Причина проста: никогда не допускать состояния, где взлом одного места раскрывает всё. Список открытым текстом — типичный способ создать ровно такое состояние, поэтому мы его избегаем.
Читать дальше
- Проверка утечек: Как проверить, не утёк ли ваш пароль (Have I Been Pwned)
- Данные: как люди хранят пароли? ── что показывают данные опросов и безопасный способ
- Как это работает: как безопасно хранить пароли (хеширование + соль) ── после вашего собственного хранения, как сервис должен их хранить
- Глоссарий: что такое хеширование / что такое соль
- Основы: базовый чек-лист безопасности (аккаунты, которые защищать в первую очередь, защита секретов)
- Глоссарий: файлы .env и секреты
- Разбор случая: утечка CAMPFIRE (от GitHub к внутреннему облаку) (на английском)
- Самохостинг: держать секреты вне git / самохостинг Git vs GitHub
- Инструмент: проверка надёжности пароля
Источники
- Поддержка Microsoft, «Protection and security in Excel» (защита листа не является функцией безопасности; шифрование файла): support.microsoft.com
- Справка Google Диска, «Find files in Google Drive»: support.google.com / «Share files from Google Drive» (общий доступ): support.google.com / «Delete and restore files» (корзина хранится 30 дней): support.google.com
- Справка редакторов Google Документов, «Check activity and file versions» (история версий и её удаление): support.google.com
- Справка аккаунта Google, «Manage links between your Google Account and third-party apps»: support.google.com
- Справка аккаунта Google, «Import passwords» (заголовки CSV, ограничения, удаление после импорта): support.google.com / «On-device encryption»: support.google.com
- Справка Bitwarden, «Import Data to Bitwarden» и «Condition a Bitwarden .csv or .json»: bitwarden.com / bitwarden.com
- CAMPFIRE, Inc., результаты расследования несанкционированного доступа (2 июня 2026, на японском): campfire.co.jp