¿Quién Más Puede Ver Tus Archivos? El Error al Compartir en la Nube que Casi Todos Cometen
🇺🇸 Read this article in English
La mayoría de los dueños con los que hablo imaginan un robo cuando piensan en una fuga de datos. Alguien con capucha, adivinando contraseñas, entrando a la fuerza. Esa es la versión de película. La versión que yo veo en el sur de Arizona es mucho más silenciosa y bastante más vergüenza: nadie entró a la fuerza. Un archivo se compartió con “cualquiera que tenga el enlace” hace tres años, y ahí sigue, abierto en internet.
Una investigación publicada este mes lo explica mejor que yo. Una firma de seguridad revisó datos de configuración en la nube de 3,000 organizaciones que usan las plataformas de Amazon, Microsoft y Google. Los controles de acceso débiles aparecieron en entre el 80% y el 98% de las cuentas, según el proveedor. No hablamos de unas cuantas empresas descuidadas. Hablamos de casi todas.
El problema no son los hackers. Son las configuraciones.
“Mala configuración” es una palabra técnica para algo muy común: un interruptor que se activó por comodidad y nunca se volvió a apagar. Tu equipo necesitaba enviar una propuesta grande a un cliente, entonces alguien activó el acceso público. Funcionó. Todos siguieron con su día. El interruptor se quedó encendido.
Esto importa más que antes porque los criminales dejaron de adivinar contraseñas y empezaron a buscar puertas abiertas. Sale más barato rastrear internet en busca de archivos expuestos que atacar a una empresa de frente. Si tus cotizaciones, tu nómina o tus contratos se pueden abrir sin iniciar sesión, nunca vas a recibir una alerta. No hay alarma para una puerta que tú dejaste abierta a propósito.
Tres formas en que se filtran archivos sin que nadie entre por la fuerza
El enlace que nunca expira
En Microsoft 365, Google Drive y Dropbox, la forma más rápida de compartir algo es un enlace público. Es un solo clic, y por defecto ese enlace casi nunca tiene fecha de vencimiento. El proyecto termina, la relación con el cliente termina, el empleado que lo creó se va — y el enlace sigue funcionando.
La cuenta que sobrevivió al empleado
Cuando alguien se va, casi todas las pequeñas empresas se acuerdan de apagar el correo. Muchas menos se acuerdan de la carpeta compartida, del portal de contabilidad, de la aplicación de sincronización que sigue instalada en una laptop personal. He auditado negocios donde una persona que se fue hace dos años todavía podía abrir la carpeta financiera de la empresa desde su casa.
Todos son administradores
Esta casi siempre es accidental. Es más rápido darle acceso total a un empleado nuevo que averiguar qué necesita en realidad. Multiplica eso por cinco años de contrataciones, y ahora una sola contraseña robada abre todos tus archivos en lugar de una sola carpeta.
Por qué vale una hora de tu semana
Los grupos de ransomware cambiaron su modelo de negocio. Antes sólo bloqueaban tus archivos y pedían dinero. Ahora primero copian tus datos, luego los bloquean, y después amenazan con publicar lo que se llevaron. Un buen respaldo te devuelve la operación — y deberías tener respaldos probados y fuera del sitio — pero un respaldo no “despublica” tu lista de clientes.
Eso cambia las cuentas. Una carpeta filtrada no es sólo un dolor de cabeza técnico. Es una llamada a cada cliente que esté en esa carpeta. Y rara vez empieza con algo dramático: en la mayoría de estos casos los atacantes simplemente usaron credenciales que ya estaban expuestas. Es el mismo patrón del que escribí cuando la brecha de un proveedor puso en riesgo los datos de sus clientes — el punto débil fue un acceso que nadie estaba vigilando.
Qué puedes hacer esta semana
- Saca tu reporte de archivos compartidos. Tanto Microsoft 365 como Google Workspace permiten que un administrador liste cada archivo compartido públicamente. Córrelo una vez. A la mayoría de los dueños les sorprende lo que aparece.
- Elimina los enlaces públicos que ya no necesitas. Todo lo que sea más viejo que un proyecto terminado debería cambiar a “sólo personas específicas”. Configura los enlaces nuevos para que expiren en 30 días.
- Escribe una lista de salida de cinco líneas. Correo, carpeta compartida, software de contabilidad, gestor de contraseñas, equipo de la empresa devuelto. Cinco líneas le ganan a una política perfecta que nadie sigue.
- Cuenta tus administradores. Un negocio con diez empleados no necesita seis administradores. Necesita dos, y los demás reciben sólo lo que su trabajo requiere.
- Dedica quince minutos a tu equipo. Muéstrales la diferencia entre “compartir con María” y “compartir con cualquiera”. Una capacitación corta en concientización de seguridad previene más fugas que cualquier producto que yo te pueda vender.
En resumen
No necesitas un presupuesto de seguridad más grande para arreglar esto. Necesitas una tarde y a alguien dispuesto a revisar. Los negocios que salen lastimados no son los que tienen tecnología débil — son aquellos donde nadie revisó nunca quién sigue teniendo las llaves. Suma protección de dispositivos y filtrado de correo encima de permisos limpios, y habrás cerrado las puertas que los atacantes sí usan.
Si prefieres no andar buscando entre menús de administrador, se entiende. Para eso estamos. Hay más guías en lenguaje sencillo en nuestro blog.
¿No sabes quién puede ver tus archivos?
Revisamos tu configuración de archivos compartidos, tus cuentas de usuario y tus permisos de administrador, y te entregamos una lista en lenguaje sencillo de lo que hay que arreglar. Sin tecnicismos y sin presión.
¿Quieres el panorama completo para proteger tu empresa? Empieza por nuestras soluciones de ciberseguridad para pequeñas empresas.
Envíanos un mensaje
¿Tienes una pregunta sobre tu configuración en la nube, o quieres una segunda opinión sobre quién tiene acceso a qué? Mandámela y te respondo personalmente.
— Nemuel Cruz, Incognito Cyber Security
