El fallo de seguridad que dejó al descubierto miles de conversaciones privadas de DeepSeek en Google

¿Qué quedó expuesto?

Las conversaciones indexadas eran sorprendentemente sensibles. Periodistas independientes de medios como Izvestia, RBC y Gazeta verificaron que los buscadores podían ver diálogos completos, incluyendo:

• Documentos de trabajo e informes contables
• Análisis financieros sobre criptomonedas y el mercado del oro
• Conversaciones personales, incluyendo quejas sobre relaciones y preguntas médicas
• Nombres de archivos intercambiados durante los chats

Aproximadamente un tercio de los diálogos en ruso descubiertos provenían de usuarios rusohablantes, pero el problema fue de alcance global . El número de páginas indexadas era tan grande que Google agrupó resultados similares y señaló que solo se mostraban los elementos más relevantes .

Causa raíz: la falta de una etiqueta noindex

Esto no fue un hackeo. Google simplemente indexó las páginas públicas de "Conversaciones Compartidas" que los propios usuarios crearon usando el botón "Compartir" de DeepSeek. Las páginas eran completamente públicas pero carecían de una etiqueta noindex o de restricciones adecuadas en robots.txt para bloquear el rastreo de los motores de búsqueda .

DeepSeek sí advertía a los usuarios antes de compartir que "cualquier persona con el enlace puede ver" la conversación . Pero no advertía que esas páginas podían ser indexadas por Google y aparecer en los resultados de búsqueda, una omisión crítica que muchos usuarios no anticiparon .

Cuatro fallos de seguridad que hicieron posible la filtración

Más allá de la falta de la etiqueta noindex, el descubrimiento de Konitzny expuso fallos de diseño más profundos:

1. Sin un panel centralizado de gestión de enlaces compartidos. Los usuarios no tienen forma de ver una lista única de todas las conversaciones que han compartido. La única manera de revocar un enlace es eliminarlo manualmente desde la configuración de cada chat individual .

2. Sin opción de revocación con un solo clic. Una vez creado un enlace, no existe una función de revocación masiva para invalidar inmediatamente todas las conversaciones compartidas públicamente . Esto significa que un usuario que ha compartido docenas de chats a lo largo del tiempo no tiene una forma rápida de bloquearlos.

3. Sin noindex ni bloqueo de rastreo por defecto. Las páginas compartidas de DeepSeek se servían sin los encabezados anti-indexación estándar que la mayoría de los servicios de uso compartido de documentos en la nube (Google Docs, Notion, Dropbox) utilizan como línea de base . Este es un control de seguridad operativa básico que cualquier plataforma con uso compartido público debería implementar.

4. Diseño poco amigable para el usuario. La función de compartir es fácil de usar, pero difícil de deshacer. Como señaló un analista, el problema "radica en el desajuste entre la facilidad para compartir y la dificultad para controlarlo después" .

Un patrón más amplio de preocupaciones sobre la privacidad

Este incidente no ocurrió en el vacío. DeepSeek se ha enfrentado a un escrutinio recurrente en materia de privacidad y seguridad:

• Déficits de transparencia y procesamiento opaco de datos. Los críticos han señalado que las políticas de DeepSeek no cumplen con los requisitos de los Artículos 12 a 14 del GDPR para una comunicación clara de la privacidad .
• Flujos de datos transfronterizos hacia China. Los datos de los usuarios se almacenan en servidores en China, y la política de privacidad de DeepSeek reconoce que los datos personales (incluyendo correo electrónico, número de teléfono e historiales de chat) se recopilan y almacenan allí .
• Preocupaciones sobre código oculto. Expertos han informado de que el código de DeepSeek incluye capacidades que podrían enviar datos de usuarios directamente a las autoridades chinas, aunque esta afirmación sigue siendo discutida .
• Advertencias gubernamentales. Varios gobiernos occidentales han señalado a DeepSeek por riesgos de privacidad, siendo Australia uno de los primeros en emitir una advertencia oficial .

La tensión central: velocidad de la IA frente a higiene de seguridad

Este caso es un ejemplo clásico de la brecha entre el despliegue rápido de funciones de IA y una higiene de seguridad adecuada. DeepSeek añadió una función de uso compartido útil, pero descuidó los controles de seguridad operativa básicos (bloqueo de rastreo, gestión centralizada de enlaces y revocación masiva) que deberían acompañar a cualquier mecanismo de uso compartido público.

La misma carrera por ofrecer capacidades avanzadas de IA está produciendo productos en los que la postura de privacidad del usuario depende de que este recuerde hacer cosas (como desmarcar "compartir" o eliminar manualmente los enlaces) en lugar de que el sistema imponga valores predeterminados seguros.

Cómo protegerse

Si ha utilizado la función de compartir de DeepSeek, puede seguir estos pasos:

1. Revise sus enlaces compartidos. Abra cada conversación que pueda haber compartido y busque una opción de gestión de enlaces o uso compartido.
2. Elimine todos los enlaces compartidos manualmente. No hay una opción masiva, así que debe hacerlo uno por uno .
3. Revise Google. Use site:chat.deepseek.com para ver si alguna de sus conversaciones compartidas aparece en los resultados de búsqueda.
4. Asuma que cualquier enlace compartido es público. No comparta conversaciones que contengan datos sensibles.

La exposición de DeepSeek no es un incidente aislado: es una advertencia sobre los riesgos ocultos de las plataformas de IA que priorizan la velocidad sobre la seguridad. Hasta que protecciones básicas como los encabezados noindex y la gestión centralizada de enlaces se conviertan en algo estándar, todos los usuarios de IA deben asumir que sus conversaciones compartidas pueden ser encontradas por cualquiera.