viernes, 18 de mayo de 2018

VEO TRELLO, que ves ? Una cosita... y qué cosita es: Indexado de paneles públicos muestra información sensible

Estimados amigos de Inseguros !!!

En el post de hoy voy a mostraros un pequeño truco de búsqueda en Google, ya sabéis, un DORK que publicó hace unos días el señor https://twitter.com/xKushagra/ en donde podíamos buscar información indexada por Google en tableros PUBLICOS mediante el sencillo DORK: inurl:https://trello.com AND intext:COSAS.

Para los que no lo sepan, Trello es un servicio en la nube que permite crear paneles de trabajo con distintas etiquetas, fases, al estilo de soporte para metodologías Canvas. Es muy potente y tiene muchas opciones.

Antes del contenido, un poco de chapa. Cuando usamos servicios en la nube como este o cualquier otro, confiamos en la seguridad del proveedor. Es MUY importante saber con quien estamos operando y cual es su nivel de madurez respecto a calidad del servicio y seguridad.

Estoy harto de ver gente con servicios low cost implementados en empresas y que luego adolecen de tremendos fallos, tanto de productividad, disponibilidad como de seguridad.

Al final todo en esta vida se paga, y cuando te vas a un proveedor de soluciones en la nube potente, la diferencia suele ser abismal. En este caso ha sido solo un pequeño "fallo de concept" en permitir a Google indexar el contenido, aunque mirándolo bien, es el usuario el que publica Paneles de manera descontrolada... El resultado es peligroso y doloroso para algunas organizaciones. Es que las empresas no buscan su nombre en Google todos los días?...

Probando cosas de mi región encontré panales graciosos:



Esta gente sospecho que ha tenido algún que otro incidente de seguridad en el pasado o gatillazo :-)

Otro panel curioso que he visto es el de una periodista Mexicana que va recopilando información y luego escribe post para distintos medios. Sería gracioso inventar alguna noticia y hacerle el desarrollo hasta ver donde llega xD...


Un panel entretenido también y peligroso es este, un sistema de gestión de mutuas o similar en desarrollo en el que trabajan con datos reales, datos de salud, partes de accidentes, ingresos y demás.



Más de lo mismo





Como puedes ver, hay información de todo tipo.

Solo es cuestión de jugar con la palabra que buscas y echarle un ratito.

Espero que busques bien tus empresas, datos y contactos y sobre todo, se consciente del riesgo que tiene publicar información en servidores ajenos.

Gracias por leerme !!!