Cuando una autoridad afirma que tu sitio exponía datos personales, la acusación parece cerrada. Pero debes revisar dos cosas: cómo fue obtenida esa evidencia y si el contenido era realmente accesible al público.
No todas las páginas accesibles mediante una herramienta de descubrimiento están públicamente expuestas de la misma manera.
Revisa la preservación de la evidencia
Solicita los elementos originales y revisa:
Solicita URLs completas, fecha y hora de acceso, archivos y capturas originales, valores hash y procedimiento de obtención. La evidencia debe permanecer disponible para revisión posterior e identificar quiénes verificaron el acceso. Una captura recortada puede mostrar datos sensibles sin demostrar de qué página salieron ni qué condiciones permitían consultarlos.
Distingue si el contenido estaba indexado, accesible por enlace directo, protegido por credenciales o disponible solo bajo una configuración determinada. No repitas la exposición para comprobarla y no escanees sistemas de la autoridad. La revisión debe hacerse en tus propios sistemas y dentro de la autorización.
En un caso real sobre exposición de datos, la autoridad afirmó que cierta información era pública, pero la dirección no estaba publicada ni indexada y el procedimiento usado para localizarla había forzado el descubrimiento. La revisión de la ruta de acceso y de las condiciones de consulta fue central para entender qué estaba realmente expuesto. También quedó claro que la custodia del material obtenido por la propia autoridad era insuficiente.
El caso no se reducía a comprobar si una URL abría. Había que saber si podía encontrarse sin conocimiento previo, qué permisos exigía, qué registros existían y cómo se preservó la evidencia. La falta de indexación no demostraba seguridad absoluta, así como la posibilidad de acceder tampoco demostraba que toda la información hubiera sido pública para cualquiera.
Si recibes una sanción, conserva la resolución, las direcciones, las capturas y los registros de tu sistema antes de modificar configuraciones cuando sea posible. El abogado revisa obligaciones de privacidad y debido proceso; el especialista evalúa el método de descubrimiento y la trazabilidad. Contener una exposición real sigue siendo necesario, pero no obliga a aceptar sin revisión la explicación técnica de la autoridad.
Conserva logs, permisos, cambios y usuarios administradores antes de retirar contenido. Si es necesario contener, documenta la medida y protege primero lo esencial cuando sea posible. El abogado debe revisar alcance y obligaciones de privacidad, mientras el análisis técnico explica qué demuestra la verificación y qué preguntas siguen sin respuesta.
Si no existe integridad ni custodia, una captura posterior no repara ese defecto por sí sola.
La ruta exacta importa
Una página puede existir en un puerto no estándar y en una ruta con mayúsculas y minúsculas específicas. Que exista no significa que cualquier usuario pueda encontrarla.
Pregunta:
- ¿Estaba enlazada públicamente?
- ¿Aparecía en buscadores?
- ¿Había camino ordinario para llegar?
- ¿Era necesario descubrir la ruta con herramientas?
- ¿Qué registros demuestran acceso público real?
No confundas existencia con exposición generalizada.
Descubrimiento forzado no equivale a acceso público ordinario
Algunas metodologías prueban miles de rutas hasta encontrar páginas ocultas. Si el verificador tuvo que utilizar ese mecanismo, la afirmación de que el contenido estaba expuesto al público necesita explicación.
No concluyas automáticamente que hubo intrusión. Documenta qué fue técnicamente posible para una persona común y qué solo fue posible con herramientas especializadas.
Revisa también tu propia seguridad
Aunque la evidencia de la autoridad sea deficiente, puede existir un riesgo real. Revisa:
- Archivos accesibles.
- Enlaces públicos.
- Indexación.
- Permisos.
- Puertos y rutas.
- Registros de acceso.
- Datos que efectivamente contiene cada página.
La defensa no consiste en negar todo, sino en separar evidencia insuficiente de vulnerabilidades reales.
La exposición debe demostrarse con acceso y contexto
Una verificación de datos personales o expediente por filtración de información debe identificar URL, fecha, permisos, método de descubrimiento y contenido efectivamente accesible. Que un archivo no apareciera en Google no descarta acceso público; que apareciera una captura tampoco prueba su origen por sí sola. La empresa necesita contener y conservar configuración; el abogado necesita revisar método y alcance de la autoridad. No se escanean sistemas ajenos ni se repite la exposición para probar un punto.
Comprueba accesibilidad, alcance y método
Revisa la dirección exacta, fecha, hora y condiciones en las que la autoridad encontró los datos. No es lo mismo un archivo indexado públicamente que un enlace sin autenticación difícil de adivinar o un directorio accesible solo con credenciales. Cada escenario requiere evidencia distinta.
Solicita capturas completas, videos, registros de descarga, archivos obtenidos y descripción del procedimiento. Una captura recortada puede mostrar información privada sin demostrar desde qué dirección se accedió ni si era pública para cualquier usuario.
Preserva tus propios registros de servidor, configuraciones, cambios y accesos. Documenta quién administraba el sitio y qué medidas existían. No borres los archivos antes de conservar evidencia; si necesitas retirar el acceso urgentemente, registra la medida y protege primero lo esencial cuando sea posible.
No ejecutes escaneos o pruebas sobre sistemas de la autoridad ni accedas a datos ajenos para replicar el hallazgo. Reproduce la revisión únicamente en tus sistemas y dentro de la autorización disponible. La investigación debe evitar una nueva exposición.
Analiza también el tipo de dato, cantidad de personas, período y accesos observados. La ausencia de descargas registradas no prueba que nadie accedió, y la presencia de un archivo no demuestra por sí sola difusión masiva. La defensa puede señalar errores de método o alcance, pero también debe corregir riesgos reales y evaluar las obligaciones de protección y notificación aplicables con asesoría jurídica.
