Un fallo en Google Photos permite que cualquiera pueda ver tus imágenes

Google Photos es uno de los repositorios de imágenes más empleado en todo el mundo, máxime desde que es un servicio que proporciona a los usuarios almacenamiento gratuito ilimitado. Además, se trata de un entorno seguro… bueno, hasta ahora.

Google Drive sí garantiza que las fotos compartidas solo son vistas por determinados usuarios seleccionados

Según ha descubierto Robert Wiblin, un desarrollador de software, un fallo en Google Photos puede permitir a cualquier persona ver tus fotografías aunque no tenga permisos para ello con sólo hacerse con un enlace de acceso. El resultado de la investigación ha sido publicado en Medium.

Vamos a explicar cómo funciona la vulnerabilidad. Es algo común enviar a otro usuario un enlace para que pueda ver algunas de nuestras fotos subidas a Google Photos. Se trata en realidad de una función muy útil, que permite, por ejemplo, compartir con los compañeros de un viaje que acabamos de realizar las imágenes de nuestra excursión y no otras.

En Google Fotos tan sólo tenemos que seleccionar las fotos que queremos compartir y a qué contactos queremos hacérselas llegar. Al hacer esto, el sistema envía a cada uno de esos contactos un enlace para que pueda entrar a verlas, y lo hace por el medio que nosotros decidamos: correo electrónico, mensaje a través de WhatsApp…

Claro, se trata de un enlace que se envía a cualquiera -no es necesario que sea usuario de una cuenta de Google- lo que plantea una realidad: cualquier otra persona que tuviera acceso a ese enlace (porque se lo reenvíen o porque acceda a ese servicio al que se ha enviado) podría ver las imágenes que nosotros sólo habíamos seleccionado para que las vieran determinadas personas.

Esto supone que cualquier foto de Google Photos, aunque sea seleccionada como privada, si se comparte su enlace con algún usuario, deja de serlo, para ese usuario y para cualquier otra persona que tenga acceso al enlace. La realidad es que podrá verla y que nuestras fotos privadas dejan de serlo al ser compartidas.

De momento no hay solución a esta vulnerabilidad. En Google Drive no ocurre de la misma manera, puesto que se notifica a los usuarios quién puede ver el contenido cuando se genera un enlace para compartir. En Google Fotos, servicio que justo la semana pasada anunció tres importantes novedades, este queda expuesto.