El buscador de Google cuenta con varios trucos y filtros que pueden usarse para encontrar prácticamente cualquier tipo de contenido. Es posible decir que muestre en los resultados solamente archivos de texto, por ejemplo, o filtrar por fechas en cualquier momento.
Hace unas horas checkpoint publicaba una noticia en la que indicaba como un grupo de hackers consiguió robar contraseñas y publicarlas en Internet de tal forma que Google podía indexarlas, estando así al alcance de cualquier persona. En el texto indican el paso a paso usado en el hackeo, con la técnica explicada con detalle.
En el artículo indican también cómo cualquier persona puede acceder a miles de contraseñas robadas a través de una simple búsqueda en Google. En este caso se trataba de una campaña de phishing que comenzó el pasado mes de agosto mediante el envío de correos electrónicos que se hacían pasar por notificaciones de escaneado de Xerox. Los datos robados (credenciales de más de mil empleados de la empresa) se divulgaron por error en una web pública, de forma que Google lo indexó sin problemas.
Y es que es realmente fácil encontrar este tipo de contenido en Google. Basta con poner filetype:txt contraseñas para acceder a documentos que pueden contener contenido privado y que se publicó por error, aunque generalmente los primeros resultados no muestran nada muy confidencial. Usando esa técnica es posible, por ejemplo, encontrar una guía en TXT de Cómo hackear bancos, un archivo que se publicó en 2019 dentro de una web de noticias, seguramente de forma sigilosa. El archivo en cuestión aún está disponible, siendo incluso una buena guía para que los responsables por la seguridad de los pequeños bancos se protejan de forma adecuada.
Muchos hackers acostumbran a realizar ese tipo de tarea, comentan el paso a paso para realizar alguna acción específica y lo cuelgan en una web que no sea suya, para que otras personas puedan utilizar el material.
Es un problema de difícil solución, ya que Google únicamente indexa lo que los «webmasters» le indican. Google no puede, ni debe, revisar el contenido de todo lo que allí se indexa, aunque un sistema de IA podría fácilmente avisar a alguien si hay un documento con contraseñas publicada en su web.