Contraseñas en texto claro indexadas por Google

Hablar a esta altura del poder que tiene Google para indexar sitios web y todo su contenido ya no tiene mucho sentido. Pero evidentemente hay personas que todavía no son lo suficientemente conscientes de ello.

Todos deberíamos estar atentos y cuidar la información que dejamos expuesta al público en la web, ya que la misma estará disponible para todo el mundo. Y, como si fuera poco, Google (y otros buscadores también) se encargará de indexarlo y servírselo a todo aquel que lo requiera.

Hoy se me ocurrió ver qué datos de información sensible tiene indexados el buscador de Mountain View y empecé por lo más jugoso: nombres de usuario y contraseñas. Por lo tanto comencé con un dork muy simple que, para mi sorpresa, arrojó muchos mas resultados de los esperados.

El dork que utilicé ha sido el siguiente:

(filetype:xls OR filetype:txt) AND "password" AND ("username" OR "ID") AND "ftp"

De esta manera la búsqueda arrojó archivos de hojas de cálculo y de texto en los que se incluía la palabra password, además la palabra username o ID y la palabra ftp, y ha arrojado un total de 5.840 resultados.

Obviamente todos los resultados no contienen los datos que yo buscaba, pero ha sido tal la rapidez con la que encontré archivos jugosos que no tuve la necesidad de afinar la búsqueda.

Ejemplo jugoso

A continuación voy a dejarles un ejemplo en el cual encontré una punta de ovillo y eso me ha llevado a obtener varias credenciales correctas de cuentas activas.

Por razones obvias he difuminado la imagen para no difundir datos confidenciales de forma explícita, pero los mismos se encuentran online y públicos, por lo tanto no tendrán inconvenientes en encontrarlos.

Dentro de ese archivo hay no solo credenciales de FTP, sino también de hostings web. Por lo tanto se puede ingresar al mismo y obtener datos confidenciales de la cuenta.

Con todas esas credenciales se puede ingresar al panel del sitio web de alojamiento virtual.

Se me ocurre ingresar al web mail, al cual se ingresa con las mismas credenciales, y tengo todo el acceso.

Dentro de la cuenta FTP se encuentran almacenados todos los correos electrónicos. Por lo que no solo están accesibles desde la web mediante un web mail, sino que también con sólo conocer las credenciales a la cuenta de FTP, podemos acceder a todos los mails.

Obviamente solo entré para confirmar que las credenciales son válidas, pero no hice absolutamente nada, ni siquiera leer su correo. Pero esto está accesible para cualquier persona que tenga acceso a Internet, y no creo que todo el mundo tenga las mismas intenciones que yo, por lo tanto es un riego bastante alto que se corre al exponer toda esta información.

Seguramente esta persona ni siquiera sepa que la información de acceso a su información (valga la redundancia) se encuentra abierta y disponible para los 2.267.233.742 de usuarios que tiene la red de redes (más información aquí).

Esto nos deja varias conclusiones y/o recomendaciones a tomar en cuenta, como por ejemplo que hay que saber en quién confiamos nuestros datos, dónde publicamos nuestra información, quienes son los usuarios que deben tener accesos a la información y qué accesos deben tener, pero la más importante es la concientización.

Si todos somos conscientes de los riesgos a los cuales nos sometemos al realizar diferentes acciones o al ignorar ciertas medidas de seguridad, pondríamos mayor atención a la custodia de nuestros datos.