Функция усиленной проверки грамматики Chrome собирает и направляет на серверы Google все написанное в браузере, включая пароли. Это происходит на сайтах, которые в формах ввода паролей не используют HTML-атрибут, блокирующий проверку грамматики.

Пароли в форме авторизации на сайтах могут отправляться на серверы Google, когда пользователь использует функцию «раскрыть пароль». Это опция на многих веб-сайтах, которая облегчает ввод паролей, отображая их текстом, а не звездочками.

Однако это также означает, что обычная защита конфиденциальности Chrome не работает, поскольку браузер рассматривает раскрытый пароль как обычный текст, предназначенный для проверки орфографии. Веб-сайты могут предотвратить это, добавив HTML-атрибут «spellcheck=false» в форму ввода пароля.

Но анализ экспертов портала Bleeping Computer показывает, что многие веб-сайты, включая сайты крупных компаний, таких как Facebook, пренебрегают этим. Сайт менеджера паролей LastPass не активировал необходимый атрибут. После того с ним связались эксперты, компания отредактировала свой сайт, добавив атрибут spellcheck=false к своему полю ввода.

В Google объясняют, что расширенная проверка орфографии включается только по желанию, и людям предупреждают, что их введенная информация посылается на серверы. В компании также говорят, что некоторые собранные данные могут быть конфиденциальными, поэтому текст не привязывается к идентификационным пользовательским данным, а только временно хранится и обрабатывается на серверах Google. Кроме того, компания пообещала усовершенствовать свои процессы, чтобы исключить обработку паролей.

Расследование также выявило, что расширение браузера Microsoft Editor виновато в той же проблеме. Служба Microsoft также полагается на облачную обработку, чтобы предложить усовершенствованные проверки орфографии, стиля и грамматики.