Área: Infraestructura expuesta

Contenido indexado

Busca en el índice de Common Crawl y, si está disponible, en Brave Search direcciones de vuestro dominio que apuntan a copias de seguridad y volcados, registros, repositorios de código, configuración, paneles de acceso o administración, documentación de APIs, listados de carpetas o documentos internos. Solo consulta esas fuentes (los buscadores, no vuestro servidor): no abre ninguna de esas direcciones ni prueba otras.

Qué puede encontrar

Abre cada uno para ver qué significa y cómo arreglarlo.

Direcciones delicadas en un archivo público de la web

Qué significa

Common Crawl, un archivo público que rastrea la web y que usan buscadores y empresas de inteligencia artificial, encontró direcciones de vuestra web que apuntan a copias de seguridad o volcados de datos: copias de vuestra web o de su base de datos guardadas en un archivo, a menudo olvidadas en el servidor tras una migración. Que figure significa que la dirección era accesible para cualquiera cuando se rastreó. Ward no abrió ninguna.

Qué te podría pasar

Una copia puede contenerlo todo: datos de clientes, historial de pedidos y las contraseñas de quienes entran en vuestra web. Quien encuentre el archivo puede descargarlo, sin necesidad de hackear nada. La captura puede ser antigua y el archivo ya no existir, pero los datos que tuviera pueden haberse copiado ya.

Cómo lo aprovecharía un atacante

Alguien busca en un archivo de la web nombres de archivo que parezcan copias de seguridad. Encuentra una copia de vuestra base de datos de una migración antigua, la descarga y ya tiene los correos de vuestros clientes y las contraseñas cifradas de vuestra web.

Cómo arreglarlo

Comprobad en el gestor de archivos de vuestro hosting que esos archivos ya no existen y borradlos si siguen ahí.Preguntad a vuestro hosting o informático si no sabéis cómo.
Averiguad qué contenía cada archivo: datos de clientes, contraseñas o solo páginas.
Si contenía contraseñas o claves, cambiadlas: administración de la web, base de datos y cualquier integración.
A partir de ahora, guardad las copias fuera de la parte pública de la web.
Si había datos personales en el archivo, preguntad a un abogado si tenéis que notificarlo a alguien.

Cómo comprobar que está arreglado

Ward vuelve a consultar el último rastreo. Las capturas antiguas permanecen en el archivo, así que si el archivo ya no está y los datos se atendieron, podéis marcar el hallazgo como aceptado con una nota. Marcad el hallazgo como «Pendiente de verificar» y Ward lo volverá a comprobar en uno o dos minutos. Cuando el problema haya desaparecido, pasará a «Resuelto» solo.

Quién suele arreglarlo

Tu informático

Ejemplo con datos de muestra. En tu panel, la explicación usa tu propio dominio y tus datos.

Documentos internos en un buscador

Qué significa

Un buscador muestra hoy documentos que por su nombre parecen internos, como facturas, nóminas, presupuestos o contratos, alojados en vuestro dominio. Cualquiera que busque vuestro dominio puede encontrarlos. Ward solo vio los resultados de la búsqueda y no los abrió.

Qué te podría pasar

Si alguno no debía ser público, cualquiera puede encontrarlo con una búsqueda y puede que ya exista una copia en otro sitio. La gravedad es baja, salvo que los documentos contengan datos personales o financieros.

Cómo lo aprovecharía un atacante

Alguien busca «nóminas» o «contrato» junto a vuestro dominio. Aparece una hoja de cálculo que vuestra empresa olvidó proteger, y con ella nombres, sueldos y datos bancarios de vuestros empleados.

Cómo arreglarlo

Abrid esos documentos desde vuestro lado y comprobad si son públicos a propósito.
Retirad los que no lo sean o protegedlos con contraseña, y pedid al buscador que los olvide.
Comprobad dónde se guarda el archivo: la carpeta de subidas de vuestra web es pública por defecto.
Si se expusieron datos personales, preguntad a un abogado si tenéis que notificarlo a las personas implicadas.

Cómo comprobar que está arreglado

Ward repite la búsqueda. Los buscadores tardan días en olvidar una página retirada, así que pedid que la quiten si tenéis prisa. Marcad el hallazgo como «Pendiente de verificar» y Ward lo volverá a comprobar en uno o dos minutos. Cuando el problema haya desaparecido, pasará a «Resuelto» solo.

Quién suele arreglarlo

Tu informático

Ejemplo con datos de muestra. En tu panel, la explicación usa tu propio dominio y tus datos.