En un mundo donde las filtraciones de datos son constantes, las bases de datos mal configuradas siguen siendo la causa número uno, exponiendo información sensible a cualquiera que sepa dónde buscar.

Este error humano, lamentablemente común, deja a las personas y organizaciones abiertas a hackers, amenazas cibernéticas, estafas y nuevas filtraciones de datos.

Aun ahora, mientras lees esto, hay numerosas empresas que olvidaron, no sabían que debían o no les importaba asegurar sus bases de datos, dejándolas disponibles en la red global.

Definición de bases de datos mal configuradas

Cuando hablamos de bases de datos mal configuradas, nos referimos a sistemas que alguien montó sin ajustes de seguridad adecuados, dejándolos públicos para que Internet entero pueda verlos (y potencialmente explotarlos).

Los controles de acceso pueden faltar o otorgarse a demasiadas personas, y las contraseñas/configuraciones por defecto podrían haberse dejado sin cambios por el usuario.

Otros problemas habituales incluyen otorgar control administrativo total a usuarios y aplicaciones cuando basta con un nivel básico, almacenar información sensible en texto plano y deshabilitar registros de seguridad (lo que impide rastrear accesos no autorizados).

Cientos de miles de personas comunes desconocen cuán frecuente es este problema, y sus datos están en juego. Hablamos de decenas de miles de brechas de seguridad en pocos años, y no hay una estimación de cuántas bases de datos públicamente accesibles aún existen. Aquí tres ejemplos entre muchos:

En 2026, investigadores hallaron una base de datos no protegida en la nube pública de Nextcloud, que contenía 367,000 registros (8 GB) de datos sensibles de empleados y clientes.

En 2025, IMDataCenter, un proveedor de limpieza de datos y servicios de mejora, filtró 38 GB de registros personales sensibles. La base de datos desprotegida y sin cifrado albergaba 10,820 entradas en total.

En 2024, la empresa de tecnología de análisis deportivo TrackMan expuso datos sensibles de clientes: 110 TB y 31,602,260 registros. La base de datos no tenía contraseña.

El caso Tribeca Film Festival

Como nota destacada, estos ejemplos fueron el trabajo de investigación de seguridad de Jeremiah Fowler, quien recientemente descubrió una nueva filtración de datos que afectaba al Tribeca Film Festival.

Fowler encontró cuatro bases de datos públicas sin contraseñas ni cifrado. Contenían 666,369 registros en total, con sellos de tiempo desde 2019 hasta 2026. Entre kits de prensa y materiales de marketing figuran nombres completos, direcciones de correo, números de teléfono, direcciones IP y contraseñas hasheadas.

Algunas de estas bases pertenecen a grandes nombres de la industria, incluyendo directores, productores y actores reconocidos.

Una hoja de cálculo hallada contenía datos obtenidos mediante huellas de dispositivos/usuarios, como datos del agente de usuario, información del dispositivo, detalles del navegador y aplicaciones fuente.

Fowler no pudo precisar quién gestionaba exactamente las bases, cuánto tiempo habían estado públicas ni si alguien más accedió a ellas antes que él. Esto es frecuente.

El problema de los archivos de copia de seguridad descuidados

Los archivos de copia de seguridad suelen olvidarse, ignorarse o simplemente considerarse irrelevantes, incluso cuando contienen una cantidad significativa de datos potencialmente sensibles concentrados en un solo lugar, el gran botín para los estafadores.

Fowler describe estas copias como “activos entre los más descuidados en materia de seguridad de datos”. Mientras las organizaciones suelen centrarse en proteger los sistemas de producción, ponen en segundo plano copias de seguridad, exportaciones, archivos y entornos de desarrollo.

Aun así, “los archivos de respaldo pueden convertirse en un único punto de exposición si no están adecuadamente asegurados”, advierte el investigador.

El caso de Estados Unidos

Podría parecer que solo las empresas privadas, quizá las más pequeñas, cometen estos errores. Sin embargo, las brechas más grandes derivadas de bases de datos mal configuradas pertenecen a gobiernos.

Estados Unidos se cita frecuentemente como el país con mayor número de incidentes de datos. Entre otros eventos, en 2011, la Oficina del Contralor de Texas reveló una filtración de información personal de 3.5 millones de personas, incluyendo números de Seguro Social, fechas de nacimiento y números de licencia de conducir. La oficina mantenía la información en un servidor estatal públicamente accesible.

En 2015, el investigador Chris Vickery encontró una base de datos con 191 millones de votantes, 300 GB en total, disponible para todos. La causa: una base de datos mal configurada.

“Si conoces la dirección IP, boom, puedes acceder a todo”, dijo Vickery. “Sin autenticación, sin contraseña, sin seguridad alguna involucrada.”

En 2017, la firma de seguridad UpGuard reveló que Vickery encontró una base de datos de 1.1 TB de la Comité Republicano (RNC) con datos personales de casi todos los votantes registrados en Estados Unidos, recopilados para la campaña de Donald Trump. Estuvo accesible públicamente durante dos semanas debido a una configuración de seguridad incorrecta.

El caso de Brasil

La sector público de Brasil también ha visto un notable número de exposiciones de datos derivadas de errores humanos, no de hackers activos.

En 2018, investigadores de ciberseguridad descubrieron una base de datos gigantesca y accesible abiertamente con información sensible de 120 millones de brasileños. Un simple error de renombrado dejó la estructura de directorios sin protección, lo que abrió la base para ver y descargar en la web.

En 2020 se registraron dos filtraciones significativas. Desarrolladores dejaron credenciales de acceso codificadas débilmente en el código fuente del sitio oficial del Ministerio de Salud. Los datos personales y expedientes médicos de más de 243 millones de personas quedaron públicos durante más de seis meses.

Otra filtración ese año expuso más de 16 millones de expedientes médicos de pacientes con COVID-19 luego de que un empleado subiera una hoja de cálculo con datos sensibles a GitHub.

Consecuencias potenciales de las bases de datos mal configuradas

Los problemas derivados de estas configuraciones pueden ser numerosos y sus efectos pueden hacerse sentir años después de la filtración inicial.

Las empresas pueden enfrentar pérdidas financieras, sanciones regulatorias, demandas, interrupciones operativas y daño reputacional. Si los hackers encuentran estas bases, pueden exigir pago para restaurar el acceso o vender la información en el mercado negro.

Para una persona cuyo dato ha quedado expuesto, las consecuencias pueden ser graves: los ciberdelincuentes pueden abusar de datos personales y financieros, e incluso usar esa información para estafar a otros.

Tomemos los casos mencionados: la exposición de datos internos de un gran festival podría revelar información sensible sobre operaciones y participantes. “Este tipo de información podría generar riesgos de privacidad y seguridad al revelar datos de contacto personales que podrían usarse para phishing, ingeniería social, correlación de identidad, intentos de suplantación o reconocimiento adicional de sistemas de almacenamiento internos”, escribe Fowler.

En el caso de datos de votantes de EE. UU., no solo se trata de datos individuales, sino de la magnitud de la información concentrada en una única base. Esto, si llega a manos equivocadas, facilita una amplia variedad de estafas fraudulentas.

UpGuard argumenta que el hecho de que “una base de datos nacional tan enorme pueda ser creada y alojada en línea, sin siquiera las protecciones más simples contra acceso público, es preocupante.”

“Más allá de las aplicaciones criminales casi ilimitadas de estos datos para robo de identidad, fraude y reventa en el mercado negro”, UpGuard señala, “la magnitud de los datos y el poder analítico podrían aplicarse a esfuerzos aún más ambiciosos: marketing corporativo, spam, targeting político avanzado.”

En lo que respecta a violaciones relacionadas con la salud, estas bases pueden generar altos ingresos para los vendedores en el mercado negro debido a la sensibilidad de la información. Los riesgos incluyen robo de identidad, toma de cuentas, fraude financiero y creación de perfiles adicionales para estafar, de forma indefinida.

Los ciberdelincuentes pueden incluso extorsionar a pacientes y proveedores de servicios de salud, normalmente pidiendo grandes sumas de dinero. Además, el exploit puede permanecer oculto, o no verse su alcance completo de inmediato, sino semanas o meses después.

Modelo de responsabilidad compartida

Por último, a pesar de la idea errónea común, no corresponde a Amazon Web Services ni a Microsoft Azure proteger las bases de datos de cada usuario. El proveedor asegura la infraestructura en la nube subyacente, mientras que el cliente debe proteger sus propios datos.

Con base en el modelo de responsabilidad compartida, el cliente debe garantizar las configuraciones correctas de la base de datos y asegurar adecuadamente todos los datos. Amazon especifica que el cliente asume la responsabilidad de las actualizaciones y parches de seguridad, así como del software de la aplicación y la configuración del firewall de seguridad proporcionado por AWS.

El gráfico a continuación muestra la seguridad “del” la nube frente a la seguridad “en” la nube.

Reflexiones finales

Las bases de datos sin seguridad adecuada son la principal causa de filtraciones y brechas de datos, atravesando industrias y gobiernos, y muchas veces se asume que quienes las administran “deberían saber hacerlo”. Estas bases suelen contener una diversidad de información sensible expuesta involuntariamente a Internet, sin medidas básicas de seguridad.

Esto las convierte en un blanco jugoso para los delincuentes, que pueden utilizarlas para ransomware, venderlas en el mercado negro o usarlas en una variedad de estafas.

La configuración adecuada de las bases de datos es responsabilidad de cada titular de la base de datos.