Google hacking: descubra quanta informação sobre você ou sobre a sua empresa aparece nos resultados de busca online
Google hacking: descubra quanta informação sobre você ou sobre a sua empresa aparece nos resultados de busca online
A ESET América Latina alerta sobre as formas de filtrar os resultados de pesquisa do Google e o risco potencial para usuários e organizações de que informações privadas sejam expostas e acessíveis na ferramenta de busca
São Paulo, Brasil – O Google é o sistema de pesquisa mais popular e um dos mais poderosos do mercado. Esta ferramenta utiliza um “bot” que indexa uma enorme quantidade de conteúdo na web e permite que bilhões de páginas web sejam visíveis através destes resultados de pesquisa. No entanto, a ESET, empresa líder na detecção proativa de ameaças, alerta para o fato de que dentro da vasta quantidade de dados e conteúdos públicos, algumas informações confidenciais ou sensíveis podem ser reveladas nos resultados da pesquisa e, muitas vezes, isso acontece sem que o proprietário do website esteja ciente.
Ao efetuar uma pesquisa no Google, existem determinadas palavras-chave e operadores que funcionam como uma linguagem de consulta. Estes funcionam como um filtro de resultados e os usuários podem contar com estes operadores para encontrar resultados relevantes para as suas pesquisas de forma mais rápida e precisa. A ESET salienta que uma pessoa mal-intencionada também pode utilizar as mesmas técnicas para obter informações sensíveis, o que é conhecido como “Google Dorks” ou “Google Hacking”.
Comandos para filtrar as pesquisas no Google
Tabela: Exemplos de alguns operadores de pesquisa comuns. Fonte: Blackhat
A ESET afirma que, dependendo dos parâmetros utilizados para a pesquisa, os resultados serão diferentes, mas pode ser possível identificar informações de todos os tipos, por exemplo:
- URLs privadas;
- Credenciais: usuários e senhas para as suas contas;
- Credenciais do servidor: utilizadores e senhas de administrador do servidor FTP;
- Conteúdos audiovisuais: fotografias e vídeos;
- Documentação sensível: documentos de identidade, números de telefone, outras documentações;
- Informações bancárias: números de conta ou de cartão;
- Bases de dados e versões;
- E-mails;
- Acesso às câmeras de segurança em tempo real.
“Deve-se levar em consideração que por se tratar de uma busca tão apurada, e retomando uma frase da cultura popular “com grande poder vem grande responsabilidade”, o uso do Google Dorks não é ilegal, já que se trata de uma busca avançada e removê-la limitaria sua funcionalidade, levando em consideração que essa ação visa encontrar informações na internet de forma fácil, mesmo que sejam expostas e publicadas intencionalmente ou descuidadamente pelo proprietário ou até mesmo por terceiros”, afirma David Gonzalez, Pesquisador de Segurança do Laboratório da ESET América Latina.
O Google Hacking Database (GHDB) é um projeto de código aberto que compila uma enorme coleção de “dorks” conhecidos. Este projeto é atualizado e mantido pelo grupo Offensive Security (os mesmos criadores do Kali Linux, Backtrack e Exploit-DB). Esses dorks são, por sua vez, classificados em diferentes categorias:
A equipe de pesquisa da ESET América Latina compartilha alguns exemplos de como esse projeto pode ser utilizado, desde buscas em câmeras de segurança em tempo real, servidores FTP abertos, painéis de administração de banco de dados, chaves de arquivos TXT, backups de banco de dados, entre outros:
Pesquisa de câmeras de segurança em tempo real: Este “dork” encontra câmeras Web que têm o URL “view.shtml” e o título “câmera de rede” e que estão sendo transmitidas diretamente sem qualquer restrição de acesso IP (whitelist) ou que não requerem autenticação.
Legenda da imagem: Resultados da pesquisa do Google para vídeos de câmeras em tempo real |
Legenda da imagem: Exemplo de uma câmara em transmissão ao vivo |
- Procurar servidores FTP abertos: Com este “dork” pode-se encontrar servidores FTP abertos, que possivelmente estão expondo informações sensíveis, e que não requerem qualquer tipo de autenticação.
Legenda da imagem: Resultados da pesquisa do Google para servidores FTP abertos |
- Procurar painéis de administração de bases de dados: A ferramenta phpMyAdmin do conjunto de soluções LAMP (Linux, Apache, PHP/Perl/Python, MySQL) é utilizada para administrar uma base de dados MySQL ou MariaDB. Os painéis de início de sessão do phpMyAdmin não devem estar acessíveis ao público e o acesso deve ser restringido através de uma whitelist (lista de permissão com endereços de IP aprovados).
Legenda da imagem: Resultados de pesquisa do Google sem proteção do painel de administração do PHP. |
- Pesquisa de chaves em ficheiros TXT: Podem ser encontrados ficheiros TXT com o nome “KEY”, que podem expor credenciais em texto simples ou informações sensíveis sem que seja necessária qualquer autenticação para os ler.
Legenda da imagem: Resultados de pesquisa do Google com ficheiros TXT com o nome KEY. |
- Pesquisa de cópias de segurança de bases de dados: Esta consulta expõe backups de arquivos ou bases de dados com possíveis informações sensíveis e que podem ser acessadas por qualquer pessoa, sem necessidade de autenticação.
Legenda da imagem: Resultados da pesquisa no Google de cópias de segurança da base de dados sem restrições |
Caso tenha encontrado dados pessoais ou privados através destas pesquisas, a ESET América Latina recomenda as seguintes ações:
- Se considerar que as informações sobre você ou sua empresa não devem estar visíveis e acessíveis a ninguém, solicite a sua remoção através do Google Search Console. Você pode solicitar a remoção dos seguintes tipos de informação:
- Além disso, se achar que as suas senhas são públicas, fortifique-as e elabore uma diferente para cada conta. Isto limitará o risco de um cibercriminoso ou pessoa mal-intencionada acessar suas contas com as informações obtidas através destas pesquisas avançadas no Google. Recomenda-se também que utilize a autenticação de dois fatores para logar em suas contas, para torná-las menos suscetíveis a roubo. É difícil lembrar-se de senhas fortes, por isso, a utilização de um gestor de senhas para te ajudar a armazená-las e criá-las é uma boa forma de se manter seguro e tornar esta tarefa um pouco mais fácil.
- É sempre recomendável utilizar uma solução de segurança em todos os dispositivos e mantê-la atualizada com a versão mais recente para uma camada extra de segurança.
“Vale a pena pensar sobre essa ferramenta e as opções que ela oferece. É importante ajustar corretamente as configurações de privacidade das contas e serviços expostos na Internet, a fim de evitar a exposição de informações inadequadas que podem ser usadas contra nós por web criminosos”, conclui Gutiérrez, da ESET América Latina.
Para saber mais sobre segurança da informação, visite o portal de notícias da ESET: Link
Também convidamos você a escutar o Secure Connection, o podcast que te mantém atualizado sobre o mundo da segurança informática. Para ouvir, acesse: Link
