Qué es Google Dork y cómo los hackers hallan datos expuestos

Un analista de seguridad abre Google, escribe tres palabras con operadores especiales y en segundos encuentra un archivo .sql expuesto con nombres de usuario y contraseñas de una base de datos de comercio electrónico. No se utilizó ninguna herramienta de hacking ni se explotó ninguna vulnerabilidad. El servidor simplemente dejó ese archivo accesible al público — y Google lo indexó. Eso es Google Dorking.

¿Qué es un Google Dork?

¿Qué es exactamente un Google Dork?

Un Google Dork es una consulta de búsqueda avanzada que combina operadores especiales de Google para localizar información sensible expuesta públicamente — como archivos de configuración, paneles de administración y credenciales que nunca deberían haber sido indexados.

El término surgió alrededor de 2002, acuñado por el investigador Johnny Long (conocido en línea como j0hnny). Se dio cuenta de que el propio Google podía usarse como herramienta de reconocimiento en pruebas de intrusión — una práctica que se conoció como Google Hacking. Long documentó cientos de dorks y los reunió en la Google Hacking Database (GHDB), hoy mantenida por Offensive Security en Exploit-DB, con más de 7.000 entradas catalogadas por categoría.

Es importante aclarar: usar un Google Dork no es "hackear" en el sentido clásico. No se rompe ninguna barrera de seguridad. Lo que está expuesto simplemente no debería estarlo. El problema está en la configuración del servidor, no en Google.

Los operadores que convierten Google en herramienta de OSINT

Los dorks funcionan combinando operadores de búsqueda avanzada que Google ofrece de forma nativa. Los más usados en seguridad son:

• site: — restringe los resultados a un dominio específico (site:empresa.com)
• filetype: — filtra por tipo de archivo (filetype:sql, filetype:log, filetype:env)
• inurl: — busca un término dentro de la URL (inurl:admin, inurl:config)
• intitle: — busca un término en el título de la página (intitle:"Index of")
• intext: — busca un término en el cuerpo del texto de la página
• ext: — funciona de forma idéntica a filetype

La combinación de estos operadores es lo que hace al Google Dorking efectivo. Un solo operador raramente revela algo crítico; dos o tres combinados pueden ser muy precisos. site:empresa.com filetype:sql es mucho más revelador que filetype:sql solo.

Qué encuentran hackers y pentesters con Google Dorks

La lista de lo que se puede encontrar es extensa. Ejemplos clásicos de la GHDB incluyen:

• intitle:"Index of" backup — directorios de backup abiertos sin autenticación
• filetype:sql "password" — volcados de bases de datos con credenciales
• inurl:"/wp-admin/install.php" — instalaciones de WordPress sin terminar, con creación de administrador aún activa
• filetype:log inurl:"access.log" — registros de acceso al servidor accesibles desde el navegador
• intitle:"phpMyAdmin" inurl:phpMyAdmin — paneles de administración de bases de datos sin restricción de IP
• site:empresa.com filetype:xls OR filetype:xlsx — hojas de cálculo internas olvidadas en un directorio público

En pruebas de intrusión, esta fase se llama reconocimiento pasivo: recopilar la mayor cantidad de información sobre un objetivo sin interactuar directamente con sus sistemas. El Google Dorking es parte esencial del kit de OSINT (Open Source Intelligence). Este tipo de reconocimiento también alimenta ataques de ingeniería social, donde el atacante usa datos públicos para ganar credibilidad antes de abordar a la víctima.

La Google Hacking Database — el repositorio de dorks catalogados

La GHDB (disponible en exploit-db.com/google-hacking-database) clasifica los dorks en categorías como: Files Containing Passwords, Sensitive Directories, Error Messages, Web Server Detection y Advisories and Vulnerabilities. Cada entrada incluye el operador exacto, una descripción de lo que revela y el nivel de riesgo potencial.

La base de datos crece constantemente porque las nuevas tecnologías y frameworks siempre introducen nuevos patrones de URL y archivo que eventualmente quedan expuestos por mala configuración. Un servidor recién desplegado puede ser encontrado por dorks específicos en cuestión de días, en cuanto Googlebot lo indexa por primera vez.

Cómo proteger tu sitio contra Google Dorking

La defensa es relativamente sencilla. El problema casi siempre es de configuración, no de arquitectura.

1. Audita tu propia exposición: busca regularmente site:tudominio.com filetype:log, site:tudominio.com intitle:"Index of" y variaciones con filetype:sql y filetype:env. Lo que encuentre Google, también lo encontrará un atacante.
2. Configura correctamente el robots.txt: bloquea la indexación de rutas sensibles como /admin, /backup, /logs y /config. Recuerda: robots.txt es una sugerencia para Googlebot, no una barrera de acceso — los directorios sensibles nunca deben ser accesibles públicamente.
3. Usa Google Search Console: la herramienta de eliminación de URLs permite solicitar la eliminación de páginas ya indexadas que no deberían ser públicas.
4. Revisa los permisos de archivos en el servidor: archivos como .env, wp-config.php y config.php nunca deben ser accesibles vía HTTP. Bloquéalos mediante .htaccess en Apache o un bloque location en Nginx.
5. Desactiva el listado de directorios: Options -Indexes en Apache y autoindex off en Nginx evitan que las carpetas sin index.html muestren su contenido como listado.

Si sospechas que tu correo o credenciales ya circulan en línea por alguna filtración anterior, vale la pena verificar si tu correo aparece en filtraciones conocidas — un paso práctico que cualquier persona puede dar en dos minutos.

El Google Dorking no es un delito — usar los datos encontrados puede serlo

Las leyes sobre acceso no autorizado varían según el país. En la práctica, realizar búsquedas con Google Dorks para encontrar información indexada públicamente se sitúa en un área gris legal; descargar, usar o divulgar esa información sin autorización generalmente constituye una infracción. En pruebas de intrusión autorizadas con alcance documentado y consentimiento del cliente, el Google Dorking es una parte legítima del reconocimiento — el contexto determina la legalidad.

Conclusión

Los Google Dorks revelan un problema que existe antes de cualquier ataque técnico: datos que nunca deberían ser públicos, simplemente ahí, esperando a quien sepa buscarlos. La técnica existe desde los primeros años de Google y sigue siendo efectiva porque la mala configuración de servidores es atemporal.

La defensa empieza por ti: busca tu propio dominio con los operadores anteriores antes de que lo haga cualquier atacante. Y mientras revisas tu exposición digital, también vale la pena saber cómo identificar correos de phishing — otro vector de ataque ampliamente alimentado por datos recopilados mediante OSINT y Google Dorking.