Inteligencia de fuentes abiertas (OSINT)
Objetivos: Al terminar este tema, podrás…
- Identificar qué información expone una persona en fuentes públicas sin saberlo
- Aplicar herramientas básicas de reconocimiento pasivo a un objetivo simulado
- Evaluar tu propia huella digital y tomar decisiones sobre cómo reducirla
- Reconocer cuándo el OSINT cruza la línea ética y legal
Apertura: el correo que sabía demasiado
Recibiste un correo. El remitente dice ser de Recursos Humanos de Systemica SAS, una empresa de tecnología en Bogotá. (Caso ficticio, construido para esta clase.) El correo dice:
“Hola Andrés, nos llegó tu perfil a través de LinkedIn. Vimos que estás terminando tu carrera en ECI y que trabajas con el profesor Vela en proyectos de seguridad. Tenemos una vacante de pasantía en nuestro equipo de red team que encaja perfectamente con tu perfil. Necesitamos que completes este formulario de preselección con tu cédula y datos bancarios para registrarte en el sistema de proveedores antes de la entrevista. El plazo vence mañana.”
El correo trae tu foto.
Pausa para reflexionar
¿Qué dato de ese correo te parece imposible de averiguar sin hackear algo? ¿Qué detalle haría dudar a un estudiante atento, y cuál haría confiar a uno que anda con afán?
Explicación: de los hallazgos a los conceptos
Lo que acabas de hacer tiene nombre
OSINT (Open Source Intelligence, inteligencia de fuentes abiertas) es la recopilación y el análisis de información disponible públicamente para construir un conocimiento útil sobre alguien o algo. La palabra inteligencia importa: el trabajo no termina cuando encuentras datos, empieza cuando los organizas hasta tener un modelo del objetivo, es decir, quién es, qué hace, con quién se relaciona y qué podría usarse en su contra. Cuando el objetivo es una persona, ese modelo se llama perfil del objetivo, y es lo que tu grupo armó con su expediente.
El reconocimiento pasivo consiste en recopilar información sobre un objetivo usando exclusivamente fuentes públicas, sin interactuar con sus sistemas. Suele ser una de las primeras fases de un ataque dirigido, porque quien conoce el terreno desde afuera decide mejor dónde actuar. Quien lo hace puede ser cualquiera de los actores de la clase 03, desde un delincuente oportunista hasta un grupo organizado.
El correo de Andrés se pudo escribir así, con datos que cualquiera encuentra:
| Dato en el correo | Fuente pública |
|---|---|
| Nombre completo | LinkedIn, perfil universitario público |
| Universidad (ECI) | LinkedIn, correo institucional con dominio .edu.co |
| Nombre del profesor | LinkedIn (relaciones), GitHub (commits con correo institucional) |
| Interés en pasantías | Estado «Abierto a oportunidades» en LinkedIn |
| Foto | Foto de perfil de LinkedIn o Instagram público |
El reconocimiento pasivo no activa ninguna alarma
Ningún sistema de protección ni registro de acceso anota que alguien buscó tu nombre en Google o revisó tu LinkedIn. El atacante puede hacer OSINT durante días sin dejar ningún rastro técnico en los sistemas de la víctima.
De dónde sale cada dato
Los datos de un perfil salen de cinco tipos de fuente. Casi todos aparecieron en las piezas de tu expediente, aunque no lo hayas notado.
Redes sociales y presencia corporativa. LinkedIn es una red de perfiles profesionales: allí cada persona publica su cargo, su historial de empleos y las herramientas con las que trabaja. Una oferta de empleo revela aún más, porque al pedir experiencia con ciertos programas o proveedores la organización cuenta qué usa por dentro. Las redes sociales funcionan como fuente de inteligencia porque quien publica casi nunca imagina que su perfil se va a leer como un informe.
Artefactos técnicos. GitHub es una plataforma donde los desarrolladores guardan y comparten el código de sus programas, y cada cambio guardado (un commit) lleva el correo de quien lo hizo. Borrar un archivo con una clave en un cambio posterior no elimina las versiones anteriores, que siguen en el historial. Otro artefacto es el dominio, la dirección de un sitio como ejemplo.com. Cada vez que alguien compra un dominio, la entidad que lo registra guarda una ficha con quién lo compró, cuándo, hasta cuándo está pagado y qué servidores responden por él (los que contestan cuando alguien escribe el nombre del dominio en un navegador). Esa ficha se llama registro WHOIS y sus datos solían publicarse por defecto. Los titulares pueden contratar un servicio de privacidad que reemplaza sus datos por los de un intermediario, pero no todos lo hacen, y las fichas antiguas conservan lo que se escribió el día de la compra. Quien lee una ficha sin privacidad obtiene el nombre del administrador y su correo, es decir, una persona concreta a quien escribirle.
Bases de datos de filtraciones. Cuando una empresa sufre una filtración, los datos de sus usuarios circulan en foros durante años. El servicio público Have I Been Pwned permite verificar si un correo apareció en alguna filtración conocida. Que un correo aparezca allí importa por lo que puede acompañarlo: a veces una contraseña, protegida de la manera que viste en la clase 08 o sin ninguna protección. Quien reutiliza la misma contraseña en varios servicios le entrega a un atacante un acceso sin necesidad de explotar ninguna falla técnica.
Registros públicos. Las entidades públicas colombianas publican información de acceso libre. Los contratos con el Estado aparecen en el SECOP (Sistema Electrónico de Contratación Pública), y las cámaras de comercio llevan un registro con los datos de las empresas y sus representantes legales. Los documentos de una licitación suelen incluir correos y teléfonos de contacto.
Documentos indexados involuntariamente y sus metadatos. Un archivo guarda más información de la que muestra al abrirlo. Un PDF de una licitación lleva dentro el nombre de la persona que lo creó, el programa con el que lo hizo, la fecha de la última edición y, a veces, la carpeta del computador donde estaba guardado. A esos datos que describen al archivo y no su contenido se les llama metadatos. En tu computador puedes verlos con clic derecho sobre el archivo y Propiedades. Una foto tomada con un celular puede traer además las coordenadas del lugar donde se tomó. La organización que publicó el documento rara vez sabe que los metadatos viajan con él.
Tus propios metadatos
Elige un documento que hayas recibido o descargado esta semana, ábrelo y mira sus propiedades. ¿Qué dato sobre quien lo creó no aparecía en el contenido? ¿Esa persona lo habrá sabido?
Además de estas cinco fuentes existen otras herramientas que se nombran aquí y se explican en la lectura. La búsqueda inversa de imagen encuentra otras apariciones de una foto en Internet. La búsqueda de un nombre de usuario muestra en qué plataformas existe el mismo alias. Shodan es un buscador de dispositivos conectados a Internet, como cámaras, impresoras y routers, y no de páginas web. El detalle de cada fuente está en Lectura disponible — Fuentes y herramientas a fondo.
Pivote y correlación
Un perfil no se arma de golpe. Se parte de un dato de partida, como un nombre, y se usa para encontrar otro dato, que a su vez sirve para encontrar un tercero. Cada salto de un dato al siguiente se llama pivote. En el correo de Andrés, el nombre llevó a un perfil de LinkedIn, el perfil a una universidad, la universidad a un profesor y el profesor a un repositorio de código. Ninguna de esas piezas era peligrosa sola. El daño está en la correlación, que consiste en unir datos de fuentes distintas hasta que forman un perfil que ninguna fuente contenía. Eso fue lo que tu grupo hizo con su expediente: lo que se podía hacer contra la persona elegida no estaba escrito en ninguna pieza, salió de combinar varias. Cada pieza es pública, pero el perfil resultante es lo que hace el daño.
Google Dorks
Google no muestra solo las páginas que sus dueños quieren destacar. Su rastreador recorre automáticamente todo lo que encuentra enlazado, incluidos los archivos, y guarda una copia, de modo que también aparece lo que nadie pensó en esconder. Un Google Dork es una consulta con operadores de búsqueda avanzada que aprovecha esa copia para encontrar información específica ya indexada.
| Operador | Función | Ejemplo |
|---|---|---|
site: | Restringe la búsqueda a un dominio | site:empresa.com |
filetype: | Filtra por tipo de archivo | filetype:pdf site:empresa.com |
"texto exacto" | Busca la frase exacta | "@empresa.com" "Director" |
Huella digital
Tu huella digital es el conjunto de datos sobre ti que se pueden encontrar en fuentes abiertas. Se divide en dos mitades que conviene separar. La huella activa es la que dejas tú a propósito: un perfil, una foto, un comentario. La pasiva es la que dejan otros o los sistemas: una lista de asistencia que publicó un colegio, una mención en una noticia, tu correo en una base de datos que alguien filtró. De la primera eres responsable, aunque a veces se te olvide que la publicaste. De la segunda no, y por eso mismo suele ser la más difícil de reducir. Las organizaciones también tienen huella, que se forma con decisiones normales como publicar ofertas de empleo, registrar contratos o usar GitHub, y que en conjunto dibuja un mapa que alguien puede usar. Cómo se reduce la huella de una organización está en Lectura disponible — La huella de una organización y los límites del OSINT.
Dónde termina el OSINT legítimo
Recopilar información pública no es en sí un delito, pero tres cosas cambian la valoración. La primera es el propósito: hacerlo como preparación de un ataque es reconocimiento para un delito, hacerlo en un ejercicio académico es educación y hacerlo dentro de un encargo de seguridad autorizado es práctica profesional. La segunda es la agregación, porque unir datos públicos produce una imagen más peligrosa que cualquiera de ellos. La tercera son los datos personales: el artículo 15 de la Constitución y la Ley 1581 de 2012, que viste en la clase 09, protegen los datos personales aunque sean accesibles, según para qué se usen. Además, el artículo 269A de la Ley 1273 castiga acceder a un sistema informático sin autorización o por fuera de lo acordado. El detalle legal está en Lectura disponible — La huella de una organización y los límites del OSINT.
Tu propia huella
Cualquiera que quisiera escribirte un mensaje como el de Andrés haría primero una búsqueda sobre ti. Hacerla tú antes es la forma más directa de saber qué encontraría.
Tu nombre entre comillas
Abre una ventana privada y busca tu nombre completo entre comillas. Elige el resultado que más te sorprenda y nombra la página exacta donde aparece, quién lo publicó y qué podría hacer con él una persona que no te conoce. No compartas capturas con nadie de esa búsqueda.
Cierre: del perfil al ataque
Los cinco perfiles que salieron de la galería tienen algo en común: ninguno se armó rompiendo un sistema, y cada uno describe a una persona concreta con nombre, cargo, correo y costumbres. Con ese material alguien podría escribirle a esa persona un mensaje que ella creería, porque habla de cosas que solo alguien cercano sabría. El correo de Andrés fue un ejemplo. Cómo se escribe ese mensaje y por qué funciona es el tema de la clase 12, que retoma el perfil del objetivo como punto de partida.
Lo que viste hoy tiene tres lecturas disponibles para cuando quieras profundizar: Lectura disponible — Fuentes y herramientas a fondo, Lectura disponible — La huella de una organización y los límites del OSINT y Lectura disponible — Conceptos clave, esta última con los términos de la sesión.
Lectura disponible — Fuentes y herramientas a fondo
Esta lectura desarrolla las fuentes que la sesión presentó en una frase o en un párrafo. Es profundidad opcional, no se te exige haberla leído: es el texto de referencia al que puedes volver cuando quieras entender una fuente con más detalle.
Registros WHOIS
Un registro WHOIS reúne los datos con los que se inscribió un dominio. Los campos más comunes son el titular, es decir, quien lo compró, la fecha de registro y la de vencimiento, los servidores de nombres, que indican en qué proveedor está alojado el sitio, y un correo administrativo. Hoy muchos registros muestran un servicio de privacidad en lugar de los datos reales, y por eso un registro antiguo puede decir más que uno reciente del mismo dominio. Quien lee un registro puede deducir quién administra el dominio, hace cuánto existe y qué proveedor usa. Si el correo del administrador es personal y no institucional, además sabe que esa persona mezcla su vida privada con la de la empresa.
Metadatos de fotos y documentos
Los metadatos de un documento dependen del programa que lo creó, pero casi siempre incluyen el autor, el programa y su versión, la fecha de creación y de la última edición, y, a veces, la ruta completa donde se guardó el archivo. En un PDF se ven con clic derecho sobre el archivo y Propiedades, o desde el visor en la sección de información del documento. Una ruta como C:\Users\nombre\Escritorio\ revela el nombre de usuario del computador donde se hizo. Las fotos tomadas con celular pueden guardar la fecha, el modelo del teléfono y las coordenadas del lugar. Muchas redes sociales eliminan esos datos al subir la imagen, pero una foto enviada por correo o publicada en un sitio propio suele conservarlos.
Registros públicos colombianos
El SECOP es el sistema donde las entidades del Estado publican sus procesos de contratación: quién contrató, con qué empresa, por cuánto y con qué documentos. Esos documentos son útiles para un perfil porque nombran representantes legales y personas de contacto y, con frecuencia, traen correos y teléfonos. Las cámaras de comercio llevan el registro mercantil de las empresas, que contiene datos de quienes las constituyeron y de sus representantes legales, y es consultable por el público. Que estos registros sean públicos tiene una razón legítima, la transparencia, y no la puede evitar la organización: es un ejemplo de huella que una organización no controla.
Have I Been Pwned
Este servicio de consulta pública se encuentra en haveibeenpwned.com. Al ingresar un correo muestra en qué filtraciones conocidas apareció y qué tipo de dato se expuso: contraseña, nombre, número de teléfono, dirección. Para un defensor, sirve para saber qué cuentas conviene proteger. Para un atacante, que un correo aparezca en varias filtraciones indica que la persona usa ese correo en muchos servicios, y que si reutiliza contraseñas una de ellas puede servir en otro lugar.
Búsqueda inversa de imagen
En lugar de buscar con palabras, se sube una imagen a Google Imágenes, Yandex o TinEye, y el buscador encuentra otras apariciones de esa imagen: otros perfiles, artículos, menciones. Sirve para verificar si una persona usa la misma foto en varias plataformas y para detectar fotos robadas.
Búsqueda de nombre de usuario
La misma persona suele usar el mismo alias en varias plataformas. Una búsqueda manual del nombre de usuario en distintos servicios, o herramientas como Sherlock, muestra en cuáles existe ese identificador, lo que amplía el perfil a servicios que no habrías buscado directamente.
Shodan
Shodan indexa dispositivos conectados a Internet: cámaras, routers, impresoras, servidores industriales, sistemas de control de edificios. No indexa páginas web, sino hardware expuesto, y permite buscar por organización, tecnología, ubicación o versión de software. Una organización puede tener su servidor de impresión o su cámara de seguridad indexados sin saberlo. No se usa en la actividad de esta clase, pero completa el cuadro: el OSINT recopila información sobre personas y también mapea la infraestructura técnica expuesta.
Operadores de Google, ampliado
Los tres operadores de la sesión se reúnen aquí, y las consultas combinadas muestran cómo se encadenan.
| Operador | Función | Ejemplo |
|---|---|---|
site: | Restringe la búsqueda a un dominio | site:empresa.com filetype:pdf |
filetype: | Filtra por tipo de archivo | filetype:xlsx site:empresa.com |
"texto exacto" | Busca la frase exacta | "@empresa.com" "Director" |
Combinados:
site:linkedin.com "PagaFácil SAS" "desarrollador"
"@empresa.com" filetype:pdf site:empresa.com
filetype:pdf "organigrama" site:empresa.com
Límite ético y legal
Buscar y entrar son actos distintos: una consulta en Google no es el delito, pero abrir un panel de administración o un archivo de configuración que encontraste y no te corresponde sí puede serlo. El artículo 269A de la Ley 1273 castiga acceder a un sistema informático «sin autorización o por fuera de lo acordado», y lo que decide es la falta de autorización, no lo que pensabas hacer después. Lo que se discutió en la clase 09 aplica aquí. En este curso estas consultas se usan sobre objetivos ficticios.
Lectura disponible — La huella de una organización y los límites del OSINT
Esta lectura desarrolla la huella de una organización y el detalle legal que la sesión resumió. Es profundidad opcional y no se te exige haberla leído.
La huella digital de una organización
Los datos que tu grupo encontró en su expediente no los acumuló nadie con la intención de exponerlos. Son el residuo de decisiones normales: publicar ofertas de empleo, registrar contratos con el Estado, usar GitHub para colaborar, emitir comunicados de prensa. Cada una de esas acciones tiene sentido por separado, y juntas construyen un mapa que un atacante puede usar. Hay tres preguntas que conviene hacerse sobre cualquier organización.
La primera es qué está expuesto sin que nadie lo sepa. El área de tecnología puede tener una política de no publicar detalles de infraestructura, pero un desarrollador que sube un archivo con claves a un repositorio público la desmonta en un cambio. El equipo de comunicaciones publica una foto del evento de la empresa y al fondo hay una pantalla con un panel de administración abierto.
La segunda es qué combina con qué. El nombre del director técnico en LinkedIn, su correo corporativo en un PDF de licitación y ese mismo correo en una filtración antigua dan, juntos, credenciales probables para una cuenta con acceso privilegiado, aunque ninguno de los tres datos sea peligroso por sí solo.
La tercera es qué controla la organización y qué no. Puede controlar su repositorio, pero no que un exempleado haya dejado credenciales en un repositorio personal antes de irse, ni que sus contratos con el Estado estén en el SECOP por mandato legal. Saber qué no se puede controlar es el punto de partida para diseñar controles compensatorios.
Reducir la exposición de una organización
El primer paso es un inventario de lo expuesto: saber qué dominios y subdominios existen, qué repositorios son públicos y qué documentos están indexados antes de que lo sepa un atacante. El segundo es una política de publicación de ofertas de empleo que describa el tipo de experiencia buscada sin nombrar versiones específicas de software ni herramientas internas, por ejemplo pidiendo experiencia con herramientas de protección de equipos en lugar de nombrar un producto concreto. El tercero es revisar los metadatos de los documentos antes de publicarlos fuera de la organización. El cuarto es un proceso técnico de baja de empleados que se van: revocar accesos, revisar los repositorios personales vinculados al trabajo y cambiar las credenciales compartidas, tarea que se relaciona con la contención y la recuperación que viste en la clase 10.
Lo que no funciona es asumir que nadie va a buscar información sobre la organización. Los ataques dirigidos suelen empezar con esa búsqueda, y las herramientas automáticas, como los buscadores de dispositivos que indexan Internet de forma continua, ya recopilan esos datos tanto si hay un atacante interesado como si no.
Cuándo el OSINT cruza la línea
El OSINT sobre información pública no es en sí un delito, pero hay zonas grises que le importan a un ingeniero de seguridad. La agregación produce una imagen más peligrosa que cualquier dato individual: un subdominio expuesto, el nombre del administrador de sistemas en LinkedIn y su correo en una filtración forman un vector de ataque completo, y cada pieza es pública mientras que el perfil resultante es lo que hace el daño. Aunque una empresa tenga menos protección de privacidad que una persona, sus empleados conservan derechos fundamentales, y un OSINT organizacional que recopile información personal de trabajadores específicos puede tocar el artículo 15 de la Constitución, que reconoce el derecho a conocer, actualizar y rectificar la información recogida sobre las personas.
El propósito también pesa. Hacer OSINT sobre un objetivo como preparación de un ataque es reconocimiento para un delito, hacerlo en un ejercicio académico controlado, con el objetivo explícito de entender la metodología, es educación, y hacerlo dentro de un encargo de seguridad autorizado es práctica profesional legítima. La Ley 1581 de 2012 protege los datos personales aunque sean técnicamente públicos cuando el uso se aparta de la finalidad para la que se publicaron, y el artículo 269A de la Ley 1273 castiga el acceso a un sistema informático «sin autorización o por fuera de lo acordado». Ese artículo se define por la falta de autorización y no por la intención de quien accede, como se vio en la clase 09.
Consentimiento y datos públicos
Imagina que un colegio publica la lista de asistentes a un evento, con nombres y correos de las familias. Esos datos son públicos y, a la vez, la Ley 1581 puede protegerlos. ¿Cómo puede ser público y protegido al mismo tiempo? Defiende una posición sobre si recopilarlos para un informe de exposición exige el consentimiento de cada titular y formula la objeción más fuerte que te harían.
Cómo retirar un dato propio
Si encuentras en una búsqueda un dato tuyo que quieres retirar, la ruta depende de quién lo publicó. Si lo publicó una persona o una organización, el primer paso es pedirle directamente que lo retire, y si es una organización que trata datos personales, puedes apoyarte en tu derecho de habeas data, que incluye en ciertos casos pedir su supresión. Si el dato ya está retirado del sitio pero sigue apareciendo en los resultados, los buscadores principales ofrecen formularios para solicitar la eliminación de resultados con información personal sensible, y no todas las solicitudes prosperan. Si el dato apareció en una filtración, el paso más útil es cambiar la contraseña de las cuentas afectadas y activar la verificación en dos pasos donde exista.
Lectura disponible — Conceptos clave
| Término | Definición |
|---|---|
| OSINT | Inteligencia obtenida de fuentes de acceso público para generar un perfil útil de un objetivo |
| Reconocimiento pasivo | Fase previa al ataque: recopilar información sin interactuar con los sistemas del objetivo |
| Perfil del objetivo | Modelo de una persona construido con datos públicos: quién es, qué hace, con quién se relaciona y qué podría usarse en su contra |
| Pivote | Paso de un dato conocido a otro nuevo que se encuentra gracias al primero |
| Correlación | Unión de datos de fuentes distintas hasta formar un perfil que ninguna fuente contenía por separado |
| Google Dork | Consulta con operadores avanzados de búsqueda para encontrar información específica indexada públicamente |
| Metadatos | Datos que describen un archivo y no su contenido, como autor, programa, fecha de edición y ruta |
| WHOIS | Ficha pública de un dominio con su titular, fechas de registro y vencimiento, servidores de nombres y correo administrativo |
| Huella digital | Conjunto de datos que existen sobre una persona o entidad en fuentes digitales accesibles |
| Huella activa y pasiva | La activa es la que dejas tú al publicar; la pasiva es la que dejan otros o los sistemas sin que tú lo decidas |
| Have I Been Pwned | Servicio público que verifica si un correo apareció en filtraciones de datos conocidas |
| Shodan | Motor de búsqueda de dispositivos conectados a internet (cámaras, servidores, routers, sistemas industriales) |
Nota de evaluación: La nota de clase (20% del total) corresponde a la calidad del perfil del objetivo producido en la actividad: amplitud de piezas del expediente consultadas, utilidad de los hallazgos para un ataque hipotético, y claridad de la presentación.