La próxima vez que escribas algo confidencial en un documento de Google Docs, o en cualquier otra herramienta en línea con función para compartir, ten cuidado con los permisos que otorgas.
En declaraciones a The Register , el fundador del servicio de generación de códigos QR Pageloot afirmó haber aprendido la lección por las malas. Siim Kostabi recordó cómo un contratista que trabajaba para la empresa expuso accidentalmente los datos de acceso a su entorno de pruebas, credenciales que nunca debieron salir de un entorno de pruebas interno.
El desafortunado desarrollador tenía acceso a un entorno de pruebas (utilizado para probar el código de software nuevo antes de su lanzamiento). Guardó los datos de inicio de sesión en un documento de Google y lo configuró para que "cualquiera con el enlace pueda verlo".
Resulta que la Búsqueda de Google puede indexar documentos de Google Docs con esa configuración si el enlace se vuelve accesible en la web pública. Los archivos con la opción "Cualquiera con el enlace" no se indexan automáticamente, así que no sabemos con exactitud cómo Google descubrió este documento en particular. Lo que sí sabemos es que lo descubrió: el archivo de credenciales terminó en la Búsqueda de Google.
Un desarrollador de Pageloot introdujo el dominio de la empresa en Google mientras depuraba el código, y la función de autocompletar de Google mostró un nombre de host de prueba seguido de lo que parecía ser una cadena de credenciales. Efectivamente, el documento era accesible en línea. La Búsqueda de Google estaba mostrando información de un documento que se había compartido demasiado.
Cabe destacar que Pageloot actuó con rapidez. Restringió el acceso del contratista y cambió todas las credenciales afectadas. Además, prohibió el almacenamiento de contraseñas en Google Docs, Slack, Notion y cualquier otro espacio de trabajo compartido.
El problema es que ninguna de esas soluciones existía antes de que la función de autocompletar mostrara la contraseña. Si nadie lo hubiera detectado, las credenciales podrían haber permanecido expuestas.
Las personas comparten datos privados en herramientas en línea todo el tiempo.
Si alguna vez hubo un ejemplo de por qué deberías usar un gestor de contraseñas, este es uno de ellos. En lugar de eso, el contratista escribió sus datos de inicio de sesión en un documento de Google, presumiblemente para tenerlos a mano.
Pageloot no es la única que se enfrenta a este problema. Ateam, una empresa japonesa Android Un desarrollador de videojuegos dejó una instancia de Google Drive configurada para que cualquier persona en internet con el enlace pudiera verla desde marzo de 2017 hasta noviembre de 2023. Esta única configuración errónea expuso 1369 archivos y datos personales de 935 779 personas. Ateam afirmó no haber encontrado pruebas de que se hubiera sustraído nada, aunque siete años de acceso abierto no resultan tranquilizadores.
Scale AI, la empresa de etiquetado de datos fundamental para las ambiciones de IA de Meta, también dejó 85 documentos de Google Docs con material de capacitación para Meta, Google y xAI, editables por cualquier persona con un enlace. Los contratistas calificaron la configuración de "increíblemente chapucera". Posteriormente, Scale deshabilitó la capacidad de los usuarios para compartir públicamente los documentos administrados.
Esto es una tendencia. Hace tres años, la empresa de seguridad con IA Metomic analizó aproximadamente 6,5 millones de archivos de Google Drive y descubrió que el 40,2 % contenía información confidencial. Poco más de un tercio se compartía externamente, mientras que el 0,5 % era de dominio público.
Puede que ese 0,5% no parezca mucho, pero si lo comparamos con 6,5 millones de archivos, sigue representando miles de archivos de acceso público.
Sin embargo, este no es solo un problema de Google. La gente también comparte información confidencial por accidente a través de otras herramientas, como el sistema de gestión de proyectos Trello. Hacer público un tablero de Trello lo hace visible para todos, lo cual fue lamentable para los usuarios gubernamentales cuando expusieron contraseñas y planes de seguridad de esa manera en 2018.
El problema es que, a medida que las herramientas se vuelven más colaborativas, las personas no pueden seguir el ritmo. Cometen errores. El Informe de Investigaciones de Violaciones de Datos de Verizon de 2025 atribuye alrededor del 60 % de las violaciones a factores humanos, incluyendo configuraciones incorrectas y el uso indebido de credenciales válidas.
¿Cuánto cuesta la casilla de verificación?
Pageloot sufrió otro fallo en el control de acceso relacionado con un cliente. Un exempleado descontento, cuyo acceso nunca había sido revocado, lo utilizó para redirigir los códigos QR del cliente al sitio web de la competencia. La causa principal era la misma: nadie controlaba quién tenía acceso a qué.
Kostabi aprendió la lección: hay que estar atento a quién tiene acceso a qué.
Los consumidores también pueden tomar algunas precauciones sencillas. No guarden contraseñas ni otra información confidencial en documentos compartidos comunes. Utilicen un gestor de contraseñas y, antes de compartir en cualquier servicio en línea, verifiquen quién podrá acceder al contenido compartido.
«Una de las mejores suites de ciberseguridad del mundo».
Según CNET.Lee su reseña →
