Un exempleado avisa de que Google puede acceder a todos los documentos de los usuarios de su nube

"Google tiene todo lo que necesita para leer tus datos", escribe Martin Shelton, empleado de la compa?¨ªa durante dos a?os y medio, desde 2017 hasta el pasado septiembre. Shelton es ahora investigador principal en la fundaci¨®n Freedom of the Press, donde ha publicado un art¨ªculo sobre la que fue su empresa.

La afirmaci¨®n de Shelton tiene implicaciones muy relevantes. No solo Google tiene acceso a los documentos en su nube, sino que tambi¨¦n est¨¢n al alcance de los organismos del Gobierno de Estados Unidos que necesiten informaci¨®n. Y m¨¢s a¨²n, los administradores de las empresas que usan su herramienta colaborativa G Suite y quieren acceder al trabajo de sus empleados podr¨ªan hacerlo, seg¨²n el ingeniero.

"Google tiene muchas razones por las que puede acabar leyendo tu informaci¨®n"

El mensaje del experto es que la nube es accesible: desde Google Docs a un buz¨®n de correo. Esto no supone ninguna afirmaci¨®n explosiva en 2019. EL PA?S contact¨® con Shelton para preguntarle si con su art¨ªculo revelaba alg¨²n tipo de informaci¨®n interna, m¨¢s cuando deb¨ªa estar bajo un acuerdo de confidencialidad con la empresa tras su salida: "Todo lo que he contado ah¨ª est¨¢ basado en documentos p¨²blicos, y cada cual puede ir a mirarlo por s¨ª mismo", explica. Y a?ade: "Ahora investigar¨¦ c¨®mo Microsoft Office 365 maneja los datos de los usuarios del mismo modo".

El argumento que Martin Shelton quiere destacar es que todo lo que est¨¢ en la nube es susceptible de ser consultado por terceros. As¨ª que quien maneje informaci¨®n sensible ¨Co datos que un d¨ªa puedan llegar a serlo¨C, que use otro lugar, pero no la nube. "Google tiene muchas razones por las que puede acabar leyendo tu informaci¨®n", escribe el ingeniero.

Google comenz¨® a expulsar al azar en octubre de 2017 a usuarios de su servicio de Google Docs. Justificaba su decisi¨®n en que el usuario hab¨ªa "violado los t¨¦rminos de servicio". ?C¨®mo puede saber la compa?¨ªa que alguien ha violado sus t¨¦rminos de servicio en un documento de Drive? Porque los lee. "Usamos sistemas automatizados que analizan tu contenido para proporcionarte cosas como resultados de b¨²squeda adecuados, anuncios personalizados u otras funciones sobre c¨®mo usas nuestros servicios. Y analizamos tu contenido para que nos ayudes a detectar spam [correo no solicitado, con fines comerciales], virus y contenido ilegal", dice Google en su pol¨ªtica de privacidad.

Es ¨²til que la compa?¨ªa lea tus correos

Gmail detecta maravillosamente el spam porque lee y analiza los mensajes de correo de todos sus usuarios. Es un servicio ¨²til. Esto no implica que haya empleados de Google ojeando documentos en los buzones para encontrar ilegalidades. Pero podr¨ªan hacerlo si quisieran.

Martin Shelton admite que no supo nada sobre este asunto hasta bastante tiempo despu¨¦s de haber entrado a trabajar en Google: "Durante mucho tiempo ni siquiera yo ten¨ªa ni idea", y a?ade: "Trabaj¨¦ en el equipo de [el navegador] Chrome. Google trabaja en tantos proyectos distintos que es dif¨ªcil seguirlos todos. No sab¨ªa sobre estos sistemas hasta que empec¨¦ a investigarlos en serio".

Es sin embargo sabido que los controles f¨ªsicos ¡ªc¨¢maras, vigilancia, logs de qui¨¦n tiene acceso¡ª de la empresa en sus centros de datos son severos. Pero se sabe menos sobre qu¨¦ empleados tienen permiso para husmear en la informaci¨®n: "No sabemos cu¨¢nta gente en Google tiene acceso a datos de usuarios, ni c¨®mo se determina su acceso. ?A qu¨¦ tipo de datos pueden tener acceso y en qu¨¦ circunstancias? ?Cu¨¢nta gente puede recuperar esa informaci¨®n con una petici¨®n legal? No lo sabemos", escribe Shelton.

Pocos en el sector de la ciberseguridad se sorprenden al conocer estos detalles. "Esto es lo de siempre. Cuando aceptas los t¨¦rminos y condiciones te pliegas a la arbitrariedad del proveedor de turno. Los problemas habituales (no medi¨¢ticos) y que demuestran la tutela de Google sobre el contenido que se sube es la supresi¨®n de material con copyright o que se considera que 'vulnera la normativa de Google'", dice Enric Luj¨¢n, profesor de Ciencia Pol¨ªtica especializado en tecnolog¨ªa y privacidad de la Universidad de Barcelona y miembro del grupo Cr¨ªptica.

"No sabemos cu¨¢nta gente en Google tiene acceso a datos de usuarios"

Pero los usuarios sospechan menos de que sus documentos en la nube son accesibles y que es mejor que guarden su informaci¨®n confidencial en herramientas encriptadas o, casi mejor, fuera del ordenador. Es una llamada m¨¢s a abrir los ojos, seg¨²n el extrabajador de la tecnol¨®gica: "Hacer que G Suite est¨¦ encriptado es un desaf¨ªo t¨¦cnico enorme. Puede potencialmente romper algunas de las funciones de Google", dice Shelton a EL PA?S. "Si Google no pudiera leer los emails perder¨ªan la opci¨®n de escanear para detectar contenido malicioso, lo que es una gran ventaja de G Suite. Pero si pierden la capacidad de leer tus documentos, puedes perder la correcci¨®n ortogr¨¢fica o algunas capacidades de b¨²squeda en Google Cloud. A m¨ª me parecer¨ªa bien", a?ade.

Quienes no est¨¦n de acuerdo con este sistema deber¨ªan plantearse dejar la informaci¨®n sensible lejos de Google. No solo porque la compa?¨ªa puede verla, sino porque el administrador de una empresa puede acceder a esos datos o porque Google puede compartirla con quien quiera.

En las empresas que tienen G Suite, los "superadministradores" pueden activar Vault, que es un sistema que, seg¨²n Google, sirve para la "conservaci¨®n de datos y descubrimiento electr¨®nico". Como muchas cosas en la firma tecnol¨®gica, eso es un eufemismo para decir que ese "superadministrador" puede recuperar y buscar entre todos estos documentos: "Mensajes de Gmail, chats de la versi¨®n cl¨¢sica de Hangouts con el historial activado, chats de Google Talk con el registro habilitado, grupos de Google, archivos en Google Drive, conversaciones de Hangouts Chat con el historial activado y grabaciones de Hangouts Meet", seg¨²n Google. Nada desaparece nunca del todo, aunque lo borres. "En otras palabras, los administradores tienen la capacidad de leer los borradores de tus correos en directo, o repetir [el ritmo de escritura] despu¨¦s de que los termines", escribe Shelton.

Los periodistas, abogados, empleados p¨²blicos que manejan datos sensibles deben tener cuidado con qu¨¦ almacenan en la nube. Nada es completamente privado.