En corto: Google Hacking
- Google Hacking es usar los operadores avanzados del buscador para encontrar información muy concreta, a veces publicada por error.
- OSINT es la investigación con fuentes públicas. Los atacantes la usan, pero tú también puedes usarla para protegerte.
- La mejor forma de aprovecharlo es buscarte a ti mismo y a tu web para ver qué está a la vista.
- Entrar en sistemas ajenos sin permiso es delito en España, aunque la puerta «esté abierta».
El nombre asusta, pero la idea es sencilla. Google indexa muchísimas páginas y archivos. A veces, entre ellos hay documentos o datos que nadie quería hacer públicos. Con las búsquedas adecuadas, salen a la luz.
Por eso conviene entenderlo. No para curiosear en lo ajeno, sino para que lo tuyo no esté ahí.
Qué es el Google Hacking
Se llama Google Hacking (o «Google dorking») a usar los operadores avanzados del buscador para encontrar información muy específica. No es ningún truco secreto: son funciones normales de Google, combinadas con intención.
Los profesionales de la seguridad lo usan en auditorías autorizadas para descubrir qué información de una organización está expuesta. Los delincuentes lo usan para lo mismo, pero sin permiso y con malas intenciones.
Los operadores básicos, explicados
Estos son los más conocidos. Google documenta varios en su ayuda de búsqueda avanzada:
- «comillas» busca una frase exacta. Ejemplo: «Lluís Ridao» fotógrafo.
- site: limita los resultados a un dominio. Ejemplo: site:tudominio.com.
- filetype: busca un tipo de archivo concreto. Ejemplo: site:tudominio.com filetype:pdf.
- intitle: busca palabras en el título de la página. Ejemplo: site:tudominio.com intitle:presupuesto.
- inurl: busca palabras dentro de la dirección web. Ejemplo: site:tudominio.com inurl:clientes.
- Guion (-) excluye un término. Ejemplo: «tu nombre» -facebook.
Dos avisos útiles. Primero, no dejes espacio después de los dos puntos: site:tudominio.com funciona, site: tudominio.com no. Segundo, según la documentación de Google para webmasters, los resultados de site: no siempre son exhaustivos. Que algo no aparezca no garantiza que no esté indexado.
Qué es la Google Hacking Database
La Google Hacking Database (GHDB) es un catálogo público de búsquedas que pueden revelar información sensible expuesta por accidente. La mantiene OffSec como parte del proyecto Exploit Database. La empezó a recopilar Johnny Long en el año 2000 y pasó a OffSec en 2010.
Está pensada para auditores de seguridad e investigadores. Para una persona normal, lo interesante es la lección de fondo: si existe una lista de búsquedas para encontrar errores ajenos, conviene asegurarse de no ser uno de esos errores.
Qué es OSINT
OSINT son las siglas en inglés de inteligencia de fuentes abiertas. Según Wikipedia, es recopilar y analizar datos de fuentes de acceso público con fines de inteligencia. «Abiertas» significa públicas, por oposición a secretas. No tiene nada que ver con el software libre.
En la práctica, OSINT es juntar piezas que por separado parecen inofensivas: un perfil de LinkedIn, una foto con ubicación, un PDF con tu teléfono, un comentario antiguo en un foro. Juntas, pueden dar mucha información sobre ti. Así es como se preparan muchas estafas personalizadas.
Lo usan periodistas, investigadores, empresas de seguridad y también estafadores. Y lo puedes usar tú para ver tu propia huella.
Lo importante: usa estas técnicas solo contigo mismo, con tu web o con sistemas para los que tengas permiso por escrito. En España, acceder sin autorización a un sistema informático saltándose sus medidas de seguridad, o quedarse dentro contra la voluntad de su titular, está castigado con prisión de seis meses a dos años (artículo 197 bis del Código Penal).
El aviso legal, más claro
El artículo 197 bis del Código Penal castiga a quien accede sin autorización a un sistema de información vulnerando sus medidas de seguridad, o se mantiene dentro en contra de la voluntad de quien tiene derecho a excluirlo. La pena es de seis meses a dos años de prisión. Interceptar transmisiones de datos no públicas también es delito, con prisión de tres meses a dos años o multa.
Encontrar algo en Google no te da permiso para usarlo. Si das por casualidad con datos ajenos expuestos, lo correcto es no descargarlos y avisar al responsable de la web.
Cómo usarlo para protegerte: búscate a ti
Haz esta revisión con calma, una vez al año como mínimo:
- Tu nombre entre comillas. Prueba «nombre apellido» y variantes con tu segundo apellido o tu apodo.
- Tu nombre con datos de contacto. Prueba «tu nombre» «tu teléfono» o «tu nombre» «tu correo». Si aparecen juntos en alguna página, apúntala.
- Tu correo o tu teléfono solos. Escríbelos entre comillas y mira dónde salen.
- Tu nombre en documentos. Prueba «tu nombre» filetype:pdf. Actas, listados de oposiciones o boletines pueden incluirte.
- Tus usuarios. Busca tus nombres de usuario entre comillas para ver perfiles antiguos que ya no usas.
- Imágenes. Revisa la pestaña de imágenes con tu nombre. Las fotos dicen mucho.
Para el teléfono, la dirección y el correo, Google tiene una herramienta específica: Resultados sobre ti. Te avisa cuando aparecen en la búsqueda y te permite pedir que se retiren esos resultados. Ojo: retirarlos de Google no borra la página original.
Cómo usarlo para proteger tu web
Si tienes una web, un blog o una tienda online, revisa qué ha indexado Google:
- Todo lo indexado. Busca site:tudominio.com y repasa los resultados. ¿Hay páginas de pruebas, borradores o carpetas que no deberían estar?
- Documentos. Busca site:tudominio.com filetype:pdf, y repite con doc, xls o txt. Revisa que no haya facturas, presupuestos o listados con datos personales.
- Rutas raras. Prueba site:tudominio.com inurl:backup o inurl:old para localizar restos de copias o versiones antiguas.
- Subdominios. Busca site:tudominio.com -www para ver subdominios que quizá habías olvidado.
Si encuentras algo que no debería estar, bórralo del servidor o protégelo con contraseña primero. Después, puedes usar la herramienta de retirada de Search Console para ocultarlo de los resultados. Ese bloqueo dura unos seis meses, así que el borrado en el servidor es lo que lo arregla de verdad.
Y si encuentras algo tuyo en una web ajena
- Pide la retirada al responsable de la web. Es el paso que elimina el problema de raíz.
- Pide la desindexación al buscador. Según la AEPD, el derecho al olvido se pide primero al buscador, que tiene formularios para ello. El enlace dejará de aparecer al buscar tu nombre.
- Reclama si no te hacen caso. Si el buscador no responde o la respuesta no es adecuada, puedes presentar una reclamación ante la AEPD.
- Pide ayuda. El 017 es la línea gratuita y confidencial de INCIBE, disponible todos los días de 8:00 a 23:00.
Conocer cómo buscan los demás es la mejor manera de que no te encuentren por sorpresa.
Para seguir leyendo: Seguridad digital para torpes · ¿Me han robado la contraseña? Cómo comprobarlo y qué hacer en 15 minutos
