Usas password manager. Tienes 2FA en todo. Nunca publicas tu dirección. Te sientes relativamente seguro. Yo también me sentÃa asà hasta que leà lo que le pasó a un desarrollador que se buscó a sà mismo en Google durante 20 minutos.
El experimento
La premisa era simple: abrir un perfil limpio de navegador, buscar tu propio nombre y seguir la cadena de información que aparece. Sin dark web, sin herramientas de hacking, sin pagarle a ningún data broker. Solo Google y paciencia.
En el minuto 3 ya tenÃa la dirección de su casa. Un sitio web del condado —con diseño de 2004— te entrega número de parcela, fecha de compra, precio y dirección de envÃo. Todo público, todo indexado por Google. Si arriendas y crees que estás seguro, no lo estás: los data brokers te tienen con tu dirección actual, dos anteriores y los nombres de tus roommates.
Tu familia es una API pública
En el minuto 9 encontró el apellido de soltera de su mamá. ¿Cómo? Una foto de graduación en Facebook de 2017 con el caption: «Gracias a mi mamá [Nombre] [Apellido de soltera] [Apellido casada]». Su madre llenó el perfil de Facebook con su apellido de soltera porque esa generación lo hace asÃ, sin pensar.
¿Y cuántas apps usan «apellido de soltera de tu madre» como pregunta de seguridad? Bancos, correo, seguros. La respuesta está en Google, gratis, porque alguien la publicó hace 8 años en Facebook.
El perro no se salva
Minuto 14: nombre del perro, nombre del veterinario y una foto del perro en el parque. Todo concatenado desde registros de licencia municipal y fotos públicas. Si tu banco te pregunta «¿cuál es el nombre de tu mascota?» como verificación, ya viene una galleta para el perro con su nombre correcto.
La identidad no es un secreto, es un grafo
El punto más fuerte del artÃculo es este: tu identidad no es una clave maestra que puedes proteger. Es un grafo de datos conectados que ya está público. Tu dirección conecta a tus registros de propiedad, tu registro electoral, tu Amazon wishlist si alguna vez enviaste algo a tu nombre, y el nombre de tu WiFi en Wigle si dejaste el router con el SSID por defecto.
Lo que yo saco en limpio
Trabajo en ciberseguridad y administro VPS. Sé que la seguridad perimetral no sirve si el perÃmetro ya está filtrado. Pero esto es distinto: no es un ataque dirigido, es la realidad de vivir con huellas digitales por todos lados.
Algunas cosas que hice después de leerlo:
1. Busca tu nombre + tu ciudad en Google. Anota lo que aparece. Si encuentras tu dirección en un data broker, pÃdelo que la elimine. La mayorÃa tiene un formulario de opt-out.
2. Revisa tus preguntas de seguridad. Si tu banco pregunta el apellido de soltera de tu madre o el nombre de tu mascota, cambia a preguntas que no estén en tus redes sociales. O mejor, usa respuestas falsas que solo tú conoces.
3. Revisa lo que publicaste hace años. Facebook e Instagram guardan publicaciones de hace una década. Lo que en 2017 parecÃa inofensivo hoy es una respuesta de verificación de identidad.
4. Opta por no aparecer en registros públicos cuando sea posible. En Chile no tenemos county assessor sites públicos como en EE.UU., pero el Registro Electoral sà es consultable. Y los data brokers internacionales también te tienen si usas servicios que venden tu data.
El takeaway
No eres cuidadoso. Eres confiado. Yo también lo era. La diferencia es que la confianza no es una estrategia de seguridad. 20 minutos en Google no son un ataque sofisticado — son lo que cualquiera con tu nombre puede hacer desde su casa mientras toma café. Y si un desconocido puede encontrar tu dirección, el nombre de tu perro y la respuesta a tus preguntas de seguridad en 20 minutos, tu 2FA no va a salvar a tu banco si alguien llama a soporte fingiendo ser tú.
La seguridad no empieza en tu password manager. Empieza en lo que Google ya sabe de ti.
Fuente de inspiración: I Googled Myself for 20 Minutes and Found My Home Address, My Mom’s Maiden Name, and My Dog
