Puede que ahora mismo Google esté mostrando información de tu empresa que jamás debería ser pública. No hablamos de un ciberataque sofisticado ni de malware avanzado. Hablamos de simples búsquedas.
En este artículo vas a entender qué es el Google Dorking, cómo funciona, qué riesgos reales implica y cómo evitar que tu información termine siendo parte de los resultados de búsqueda.
¿Qué es el Google Dorking y por qué debería preocuparte?
¿Qué es el Google Dorking?
Es una forma de usar comandos especiales en la barra de búsqueda de Google para encontrar información que no debería estar a la vista de todos. No se trata de un fallo de Google, sino de un error de las personas que dejan sus archivos o datos mal configurados en internet.
El nombre viene de «Googledork«, un término inventado por el hacker Johnny Long para referirse a personas que, por descuido, exponen su información privada en la red.
¿Por qué debería preocuparte?
Aunque parece una simple búsqueda, es peligroso porque cualquier persona con estos comandos puede encontrar:
Tus archivos privados: Documentos con datos bancarios, informes confidenciales o copias de seguridad de empresas.
Tus contraseñas: Listas de usuarios y claves que fueron publicadas o indexadas por error.
Cámaras de seguridad: Transmisiones en vivo de cámaras dentro de casas o negocios que no tienen contraseña.
Datos personales: Información como tu DNI, correo electrónico o números de teléfono
Los 15 Dorks imprescindibles
site
Restringe la búsqueda a un sitio web, dominio o subdominio específico.
Ejemplo: Buscar información sobre trámites en Vitoria dentro de la web del Ayuntamiento
tramites site:vitoria-gasteiz.orginurl
Encuentra URLs que contienen una cadena de texto específica.
Ejemplo: Buscar páginas que tengan «alava» en la URL y contengan la palabra «turismo»
inurl:alava turismointitle
Busca páginas cuyos títulos incluyan los términos de búsqueda.
Ejemplo: Buscar páginas cuyo título tenga «Álava» y hablen sobre fiestas
intitle:Alava fiestasfiletype
Limita los resultados a un tipo de archivo específico, como PDF o XLS.
Ejemplo: Encontrar archivos PDF en la web del Ayuntamiento de Vitoria
site:vitoria-gasteiz.org filetype:pdf
link
Localiza páginas web que enlazan a un dominio específico.
Ejemplo: Páginas web que tengan un enlace hacia el sitio de la Diputación Foral de Álava
link:araba.euscache
Muestra la última copia guardada por Google de una página web.
Ejemplo: Ver la última versión guardada por Google de la web de turismo de Vitoria
cache:vitoria-gasteiz.org/turismoinfo
Presenta información sobre un sitio, incluyendo su caché y páginas similares.
Ejemplo: Obtener información general sobre el dominio de la Diputación
info:araba.eusrelated
Encuentra sitios web similares al que especifiques.
Ejemplo: Buscar sitios web similares al del Ayuntamiento de Vitoria (útil para encontrar otras webs municipales o de turismo)
related:vitoria-gasteiz.orgallintitle
Busca páginas que contengan múltiples palabras clave en su título.
Ejemplo: Páginas que tengan «Vitoria», «turismo» y «que ver» en el título
allintitle:Vitoria turismo que verallinurl
Localiza enlaces que contienen todas las palabras especificadas en la URL.
Ejemplo: URLs que contengan tanto «alava» como «cultura»
allinurl:alava culturaintext
Encuentra sitios web que contengan el texto buscado en el cuerpo de la página.
Ejemplo: Buscar páginas que hablen sobre «pintxos» en «Vitoria»:
intext:pintxos Vitoria
define
Proporciona definiciones de diccionarios para una palabra o frase.
Ejemplo: Buscar la definición de «Vitoria-Gasteiz»
define:Vitoria-Gasteizext
Busca archivos por su extensión (parecido a filetype:) para hallar datos como contraseñas filtradas.
Ejemplo: Buscar archivos de texto (txt) que contengan información sobre monumentos en Vitoria
Vitoria-Gasteiz monumentos ext:txtmap
Devuelve un mapa de una ubicación o dirección específica.
Ejemplo: Obtener el mapa de la Plaza de la Virgen Blanca:
map:Plaza de la Virgen Blanca Vitoriaphonebook
Busca números de teléfono e información de contacto de personas o empresas. Está casi obsoleto pero el uso es el siguiente.
Ejemplo: Buscar números de teléfono de empresas en Vitoria
phonebook:Vitoria empresasLo que una búsqueda puede revelar
El Google Dorking es extremadamente peligroso porque permite a un atacante mapear tu superficie de ataque en minutos, detectando debilidades antes siquiera de tocar tu red. No se trata de un fallo técnico complejo, sino de aprovechar la visibilidad accidental causada por errores de configuración y procesos humanos.
Filtración de Credenciales y Bases de Datos
Uno de los mayores peligros es la exposición de contraseñas y accesos directos a servidores.
- Caso Universidad de Cantabria: Se localizó una consulta SQL indexada que exponía nombres de usuario y la contraseña real «pp1234».
- Archivos de configuración (.env): Se han encontrado archivos expuestos que contienen la API key codificada, detalles de conexión a bases de datos MySQL (host, puerto 3306), nombres de usuario y contraseñas a la vista de cualquiera.
- Claves SSH y AWS: Existen dorks específicos en la base de datos GHDB para localizar claves privadas de OpenSSH en GitHub o credenciales de Amazon Web Services (AWS) en archivos JSON y YAML.
Vigilancia en Vivo y Dispositivos Conectados
El dorking permite acceder a dispositivos físicos que están transmitiendo a internet sin ninguna protección.
- Espionaje laboral: Se documentó el caso de un hombre trabajando en su oficina, transmitiendo en directo sin saberlo porque su cámara no tenía contraseña.
- Control de cámaras: Se han localizado cámaras en lugares como Paterna (España) o playas, e incluso paneles de «multiview» que permiten ver todas las cámaras de una propiedad y, mediante técnicas de investigación, determinar la ubicación exacta de una persona.
- Sistemas Industriales: Se pueden encontrar paneles de control de Siemens o portales de acceso a redes como «SSL Network Extender» de Checkpoint, lo que podría permitir a un atacante manipular infraestructura crítica.
Exposición de Instituciones Oficiales (Directory Listing)
El comando intitle:»index of» revela carpetas internas de servidores que deberían ser privadas.
Policía y NASA: Se han detectado listados de directorios abiertos en sitios web de la Policía Nacional, la NASA y la Universidad de Alicante.
Contenido sensible: En estos directorios se han encontrado desde fotogramas aéreos en servidores FTP hasta archivos de Excel con ejercicios académicos y documentos de instituciones públicas.
Información Personal y Robo de Identidad
El dorking facilita el acceso a datos de identificación personal (PII) que pueden usarse para fraudes o extorsiones.
- Documentación privada: Las búsquedas pueden revelar DNI, números de cuentas bancarias, correos electrónicos y fotos privadas.
- Imágenes íntimas: En casos graves, se ha detectado la indexación de imágenes íntimas no consentidas, las cuales pueden ser denunciadas para su retirada a través de herramientas como Google Search Console.
Escalada a Infraestructura Crítica
En auditorías reales de seguridad, el hallazgo de un simple archivo de backup o un archivo .env con claves API ha permitido a los atacantes acceder a servicios en la nube y escalar su control hasta comprometer toda la infraestructura crítica de una organización.
Cómo proteger tu empresa y tu privacidad de Google Dorking
Dado que el fallo principal suele ser de configuración y procesos humanos, la prevención se centra en cerrar las puertas que los buscadores indexan por error.
- Inventario y monitoreo constante: Escanea regularmente Google y repositorios públicos (como GitHub o buckets S3) en busca de tu dominio y subdominios. Configura Google Alerts o escáneres externos para recibir avisos sobre nuevos resultados indexados.
- Control de indexación con noindex: Utiliza la etiqueta
<meta name="robots" content="noindex">en el HTML o encabezados de respuesta HTTP para indicar a Google que no indexe contenido específico. Es vital que estas páginas no estén bloqueadas por robots.txt, ya que, de lo contrario, el rastreador nunca verá la reglanoindexy la página podría seguir apareciendo. - Uso estratégico del archivo robots.txt: Coloca este archivo en el directorio raíz para indicar qué directorios o archivos no deben ser rastreados. Sin embargo, recuerda que no es un método de control de acceso; es solo una sugerencia para los robots y cualquiera puede leer el archivo para encontrar tus carpetas «sensibles».
- Aislamiento de paneles críticos: Los paneles de administración y «dashboards» deben estar detrás de una VPN, una lista blanca de IPs o contar con autenticación multifactor (MFA).
- Hardening de configuración: No almacenes credenciales en archivos de configuración públicos (como archivos
.envo.ini). Usa gestores de secretos y variables de entorno no indexables. - Auditorías de hacking ético: Realiza pruebas de Google Dorking controlado periódicamente para descubrir qué información es ya visible antes de que un atacante la use.
Ética y Legalidad de hacer Google Dorking
En el contexto español, el Google Dorking se considera una técnica completamente legal por sí misma, ya que consiste en el uso de operadores de búsqueda legítimos para localizar información que los motores de búsqueda ya han indexado públicamente. Se clasifica como una herramienta de reconocimiento pasivo o inteligencia de fuentes abiertas (OSINT) y es utilizada legítimamente por auditores de seguridad, periodistas e investigadores. No obstante, la legalidad de esta práctica está estrictamente vinculada a la intención del usuario y a las acciones que se realicen con la información obtenida.
Límites legales en España
La línea roja que separa una búsqueda legítima de un delito se cruza cuando el dorking se utiliza para realizar un acceso no autorizado o para vulnerar la seguridad de terceros.
Allanamiento informático (Art. 197 bis 1): El Código Penal español castiga a quien acceda o facilite a otro el acceso a un sistema de información vulnerando medidas de seguridad y sin autorización. El Tribunal Supremo, en su Sentencia 494/2020, define esto como una forma de «hacking de desafío», punible incluso si no se produce un daño o perjuicio directo al sistema o a su titular.
Responsabilidad de las empresas (Art. 197 quinquies): Las personas jurídicas también pueden ser penalmente responsables en España por delitos de acceso ilícito cometidos en su nombre o beneficio, lo que refuerza la necesidad de contar con programas de compliance y una cultura de respeto al Derecho.
Descubrimiento y revelación de secretos: El uso malintencionado de dorks para apoderarse de información privada o íntima de terceros puede ser constitutivo de los delitos regulados en los artículos 197 y siguientes del Código Penal.
Consideraciones Éticas
Desde la perspectiva del hacking ético, el dorking debe utilizarse con fines de protección y auditoría.
Auditoría Preventiva: Los profesionales utilizan dorks para realizar el llamado «egosurfing» u auditorías de ciberhigiene, detectando si la propia organización tiene archivos sensibles (como backups o bases de datos SQL) expuestos por error antes de que un atacante los encuentre.
Consentimiento y Privacidad: Aunque la jurisprudencia española entiende que al publicar datos en fuentes abiertas existe un consentimiento tácito que limita la expectativa de privacidad, esto no legitima una vigilancia invasiva o permanente de la vida de una persona.
Uso Ético de la Información: El INCIBE subraya que, aunque la información sea pública, no debe utilizarse para fines poco éticos o para perjudicar a otras personas. En caso de encontrar información sensible de terceros, la conducta ética dicta notificar al propietario en lugar de difundir o explotar el hallazgo.
Para evitar problemas legales, se recomienda que cualquier prueba de penetración o búsqueda profunda sobre sistemas ajenos cuente con la autorización explícita del propietario.