Los datos que escribes en un formulario de Chrome/Edge pueden ser subidos a un servidor ajeno debido la función de corrección gramatical y usas la opción "Mostrar contraseña"

La mayoría de las veces que utilizamos algún servicio de corrección o traducción de texto en el navegador, el funcionamiento del mismo requiere que el texto original que se nos muestra sea remitido a servidores en la nube que se encargarán de analizarlo y devolvérnoslo debidamente corregido o traducido. Esto, por supuesto, constituye un potencial problema de privacidad, pues concede al servidor en cuestión información sobre las webs que visitamos y sobre qué clase de textos escribimos.

 Pero en Google Chrome y Microsoft Edge no sólo no ofrecen dicha funcionalidad offline (traducción sin usar la nube), sino que sus herramientas de corrección de texto pueden terminar exponiendo nuestra privacidad de manera mucho más directa: remitiendo nuestras contraseñas a los servidores de Google y Microsoft.

Los investigadores de ciberseguridad de Otto-JS, el corrector ortográfico de Chrome y Edge (a grandes rasgos el mismo, pues el código del segundo se basa en el del primero) está enviando a la nube los datos identificativos que introducimos en los campos de formulario de las webs: nombre de usuario, correo electrónico, fecha de nacimiento, DNI......y, en el caso de que hagamos clic en 'Mostrar contraseña', en el mismo momento en que los asteriscos se convierten en texto, nuestras contraseñas también terminan subidas a un servidor, lejos de la seguridad de nuestro PC. 

En su web explicaban que sus pruebas demostraron que esto ocurría al iniciar sesión en plataformas tan relevantes como Office 365, Alibaba Cloud, Google Cloud, AWS Secrets Manager o LastPass, capaces de exponer la infraestructura digital de una empresa; también se hacen eco de que estas dos últimas plataformas ya han corregido el problema (basta con añadir un atributo 'spellcheck="false"' al código HTML de la página).

Revisión ortográfica básica

• Chrome o tu sistema operativo proporcionan el corrector ortográfico.
• El texto que escribes en el navegador no se envía a Google.

Revisión ortográfica mejorada

• Este corrector ortográfico se usa en la Búsqueda de Google.
• El texto que escribes en el navegador se envía a Google para mejorar las sugerencias ortográficas.
• En algunos sistemas operativos, puedes actualizar las palabras personalizadas del diccionario del corrector ortográfico.

• https://support.google.com/chrome/answer/12027911
  

Sin embargo, como bien dicen en Mixx.io, "no hay motivo para que se ejecuten sobre este tipo de campos, tengan o no el atributo HTML spellcheck negativo".

spellcheck=false

Otto-JS recoge también en su web declaraciones de Christofer Hoff, director de Tecnología Segura de LastPass:

"Resulta desconcertante que los usuarios puedan estar exponiendo, sin darse cuenta, datos confidenciales sólo por habilitar funciones inocuas del navegador... sin entender que cualquier cosa que escriban, incluidas las contraseñas, podría resultar en que esos datos se envíen a terceros".

Fuentes:

https://www.otto-js.com/news/article/chrome-and-edge-enhanced-spellcheck-features-expose-pii-even-your-passwords

https://www.bleepingcomputer.com/news/security/google-microsoft-can-get-your-passwords-via-web-browsers-spellcheck/

https://www.genbeta.com/seguridad/cuidado-mostrar-contrasena-corrector-texto-chrome-edge-envia-a-nube-datos-privados-que-escribes-web