OSINT:
qué puede averiguar de ti (o de tu empresa) alguien con paciencia y Google
Serie Red Team / Concienciación | unfantasmaenelsistema.com
Antes de que un atacante lance el primer paquete contra una red, ya lleva días —a veces semanas— trabajando. No toca nada, no deja rastro y no comete ningún delito: simplemente lee. Lee la web de la empresa, los perfiles de sus empleados, las ofertas de trabajo que publica, los documentos PDF que ha colgado sin revisar, los repositorios de código de sus desarrolladores y los registros públicos de sus dominios. A esa fase se la llama OSINT, inteligencia de fuentes abiertas, y es la fase 0 de cualquier auditoría de seguridad seria y de cualquier ataque real.
Este artículo es a la vez una introducción a la disciplina y un ejercicio de concienciación. Vamos a ver qué tipo de información se puede reconstruir sobre una persona o una organización usando solo fuentes públicas, con qué metodología se hace, dónde están los límites legales —que son estrictos— y, sobre todo, cómo reducir tu propia huella y la de tu organización.
Qué aprenderás en este artículo
Qué es exactamente OSINT y cuál es su marco legal en España · La metodología de cuatro fases: definir, recolectar, correlar, documentar · Operadores de búsqueda avanzada (Google dorks) y para qué sirven de verdad · Metadatos de documentos e imágenes: lo que publicas sin saber que lo publicas · OSINT de personas, de dominios y de infraestructura, a alto nivel · Cómo auditar y reducir tu exposición y la de tu empresa
1. Qué es OSINT y qué no es
OSINT (Open Source Intelligence) es el proceso de recopilar información de fuentes de acceso público y convertirla en inteligencia útil: no es el dato suelto, sino la conclusión que se extrae al cruzar muchos datos sueltos. El término viene del mundo de la inteligencia militar y diplomática, donde «fuente abierta» se opone a fuentes humanas o interceptación de señales.
En seguridad ofensiva y defensiva, OSINT abarca cualquier información obtenible sin autenticarse en un sistema ajeno ni engañar a una persona para que la revele: páginas web, buscadores, redes sociales públicas, boletines oficiales, registros mercantiles, bases de datos de brechas ya divulgadas, metadatos de ficheros publicados, cachés y archivos históricos de la web.
1.1 La frontera que no se cruza
- Acceder a un sistema con credenciales que no son tuyas —aunque las hayas encontrado en una brecha— es acceso no autorizado, no OSINT
- Preguntar directamente a un empleado haciéndote pasar por otra persona es ingeniería social activa, una técnica distinta con su propio marco legal y ético
- Escanear puertos, forzar directorios o probar credenciales ya es interacción con el objetivo: ha terminado la fase pasiva
- Recopilar sistemáticamente datos personales de un particular concreto para hostigarlo o exponerlo (doxing) es acoso, con independencia de que cada dato viniera de una fuente abierta
Marco legal en España: OSINT no es barra libre
El acceso o la interceptación sin autorización de datos o sistemas está tipificado en los arts. 197, 197 bis y 197 ter del Código Penal; los daños informáticos, en el art. 264 · El tratamiento de datos personales obtenidos de fuentes abiertas sigue estando sujeto al RGPD y a la LOPDGDD: que un dato sea accesible no significa que puedas almacenarlo, perfilarlo o publicarlo · El acoso (art. 172 ter CP) puede cometerse acumulando información pública sobre una persona con fin de vigilancia u hostigamiento · En un pentest, la fase OSINT debe estar cubierta por el contrato y su alcance por escrito, igual que el resto de la auditoría; en concienciación y formación, trabaja siempre sobre tu propia organización o sobre objetivos de práctica preparados para ello
2. Metodología: cuatro fases
El OSINT improvisado —abrir veinte pestañas y copiar lo que llame la atención— produce ruido, no inteligencia. El proceso ordenado tiene cuatro fases que se repiten en ciclo.
| Fase | Qué se hace | Error típico |
|---|---|---|
| 1. Definir | Fijar el objetivo y las preguntas concretas a responder, y el alcance autorizado | Empezar a buscar sin saber qué se busca |
| 2. Recolectar | Obtener datos de fuentes abiertas, anotando siempre de dónde sale cada uno | No registrar la fuente ni la fecha de cada hallazgo |
| 3. Correlar | Cruzar datos de distintas fuentes para confirmar, descartar o construir una hipótesis | Dar por cierto un dato que aparece en una sola fuente |
| 4. Documentar | Redactar hallazgos, evidencias y nivel de confianza; identificar huecos | Entregar capturas sueltas sin narrativa ni conclusiones |
La fase de correlación es la que convierte OSINT en una disciplina y no en una colección de trucos. Un nombre de usuario reutilizado en cinco plataformas, una foto de perfil que aparece también en un foro de hace diez años, un dominio registrado con el mismo teléfono que otro: cada coincidencia sube o baja la confianza en una hipótesis.
Higiene operativa de quien investiga
Trabaja desde un navegador o una máquina virtual dedicada, sin sesiones personales iniciadas, para no contaminar resultados ni dejar tu identidad en el objetivo · No inicies sesión en redes sociales con tu cuenta real para ver un perfil: muchas plataformas notifican las visitas o las usan para recomendaciones · Guarda las evidencias con fecha y URL exacta; la web cambia y un hallazgo sin fecha no vale nada en un informe
3. Operadores de búsqueda avanzada (Google dorks)
Los buscadores exponen operadores que acotan la consulta mucho más de lo que permite la caja normal. Combinándolos se encuentran documentos y páginas que están públicos pero que nadie enlazó pensando en que se indexarían. La lista de referencia histórica es la Google Hacking Database (GHDB) de Exploit-DB.
| Operador | Efecto | Ejemplo de uso legítimo |
|---|---|---|
| site: | Limita a un dominio o subdominio | site:ejemplo.com — inventario de lo indexado de tu web |
| filetype: / ext: | Filtra por extensión de fichero | site:ejemplo.com filetype:pdf — PDF publicados |
| intitle: / inurl: | Palabra en el título o en la URL | site:ejemplo.com inurl:login — portales de acceso |
| intext: | Palabra en el cuerpo de la página | intext:»contraseña por defecto» — revisión de manuales propios |
| cache: | Versión cacheada por el buscador | revisar qué guardó el buscador de una página ya cambiada |
| -palabra | Excluye resultados | site:ejemplo.com -www — subdominios distintos del principal |
# Auditoria de tu PROPIO dominio: que ha quedado publico e indexado site:tudominio.com filetype:xlsx OR filetype:docx OR filetype:pdf site:tudominio.com inurl:(admin OR login OR panel OR intranet) site:tudominio.com intitle:"index of" # listados de directorio abiertos # Lo mismo para subdominios olvidados site:*.tudominio.com -site:www.tudominio.com
Los dorks encuentran, no autorizan
Que un buscador te devuelva un panel de administración o una hoja de cálculo con datos no te da ningún derecho a entrar ni a descargarla si no es tuya: sigue siendo acceso no autorizado · Sobre tu propia organización, en cambio, este es uno de los ejercicios de reducción de superficie más rentables que puedes hacer en una tarde
4. Metadatos: lo que publicas sin querer
Casi todos los ficheros llevan metadatos: información sobre el fichero incrustada en el propio fichero. Una foto hecha con el móvil puede incluir el modelo de cámara, la fecha exacta y —si el GPS estaba activo— las coordenadas donde se tomó. Un PDF o un documento de ofimática suele guardar el nombre del autor, la organización, la plantilla usada, las rutas internas de red y el software con su número de versión.
4.1 EXIF en imágenes
El estándar EXIF almacena en las fotos parámetros de disparo y, con frecuencia, geolocalización. Las grandes redes sociales suelen eliminar estos datos al subir la imagen, pero muchos foros, blogs, wikis, gestores documentales y descargas directas no lo hacen. Una galería de fotos «de la oficina» puede revelar la dirección exacta de una sede que no figura en ningún sitio.
4.2 Metadatos en documentos ofimáticos y PDF
Al recopilar los documentos publicados por una organización y extraer sus metadatos en bloque, se obtiene con frecuencia la convención de nombres de usuario (por ejemplo, inicial del nombre más apellido), los nombres de servidores internos, las versiones de software instaladas y a veces impresoras y rutas de red. Herramientas como FOCA o metagoofil automatizaron históricamente esta recolección; ExifTool es el cuchillo suizo para inspeccionar un fichero concreto.
# Inspeccionar los metadatos de un fichero propio antes de publicarlo exiftool documento.pdf exiftool foto.jpg | findstr /I "GPS" # Windows exiftool foto.jpg | grep -i gps # Linux / macOS # Limpiar TODOS los metadatos de una copia antes de subirla exiftool -all= -o copia_limpia.pdf documento.pdf
Antes de subir cualquier fichero a una web pública
Exporta a PDF con la opción de eliminar información personal, o pasa un limpiador de metadatos · En Windows: clic derecho, Propiedades, Detalles, «Quitar propiedades e información personal» · Desactiva el geoetiquetado de la cámara del móvil si vas a compartir fotos en abierto
5. OSINT de personas
El objetivo de esta sección no es enseñar a perfilar a nadie, sino que entiendas qué se reconstruye sobre una persona con datos públicos, para que puedas evaluar tu propia exposición.
- Identidad digital cruzada: un mismo alias reutilizado en varias plataformas permite enlazar cuentas que la persona cree separadas; existen buscadores que comprueban un nombre de usuario en cientos de servicios a la vez
- Brechas de datos divulgadas: servicios como Have I Been Pwned indican en qué filtraciones públicas aparece un correo, sin mostrar la contraseña; sirve para saber qué credenciales tuyas conviene rotar y dónde tenías cuenta
- Huella profesional: perfiles laborales, ponencias, actas de congresos, contribuciones a proyectos y ofertas de empleo de la empresa dibujan el organigrama y el stack tecnológico
- Agregadores y registros: boletines oficiales, registros mercantiles y de la propiedad, hemerotecas y datos de asociaciones profesionales son fuentes públicas por ley
- Contenido visual: la búsqueda inversa de imágenes localiza dónde más aparece una foto de perfil; los elementos de fondo de una foto pueden situar una ubicación
Perfilar a un particular concreto tiene un límite claro
Este artículo describe capacidades a efectos de defensa y concienciación; recopilar de forma dirigida y sistemática datos de una persona física identificada, fuera de un encargo autorizado, puede constituir tratamiento ilícito de datos (RGPD/LOPDGDD) y, según el fin y la intensidad, acoso (art. 172 ter CP) o descubrimiento de secretos (art. 197 CP) · El doxing —publicar datos personales para exponer o intimidar— queda fuera de cualquier marco legítimo, sea cual sea el origen de los datos
6. OSINT de dominio, empresa e infraestructura
Sobre una organización, la información pública permite dibujar buena parte de su superficie expuesta a internet sin enviar un solo paquete a sus sistemas.
| Fuente pública | Qué revela |
|---|---|
| WHOIS / RDAP | Datos de registro del dominio, fechas, registrador, a veces contactos |
| Registros DNS | Servidores de correo (MX), de nombres (NS), TXT (SPF/DKIM), servicios apuntados |
| Certificate Transparency (crt.sh) | Subdominios revelados por los certificados TLS emitidos |
| Motores de subdominios pasivos | Nombres de host históricos y actuales agregados de múltiples fuentes |
| Repositorios de código públicos | Claves y credenciales filtradas por error, rutas internas, dependencias |
| Archivos históricos de la web | Páginas y ficheros retirados pero aún recuperables (Wayback Machine) |
| Ofertas de empleo | Tecnologías concretas en uso: EDR, SIEM, cloud, versiones |
Certificate Transparency merece una mención aparte: como toda CA está obligada a registrar públicamente los certificados que emite, consultar crt.sh para tu dominio revela subdominios que quizá creías internos. Es la misma técnica que cubrimos en el artículo de TLS y PKI, aplicada al inventario.
6.1 Infraestructura: Shodan y Censys
Shodan y Censys escanean internet de forma continua y publican lo que encuentran: qué servicios responden en cada IP, qué versiones anuncian, qué certificados presentan, qué paneles quedan expuestos. Consultar tu propio rango de direcciones en estos servicios es la forma más rápida de descubrir un servicio que alguien levantó «un momento» hace ocho meses y sigue ahí.
# Consultas OSINT sobre TU PROPIA infraestructura # Subdominios a partir de Certificate Transparency curl -s "https://crt.sh/?q=%25.tudominio.com&output=json" | jq -r '.[].name_value' | sort -u # Registros DNS basicos dig +short ANY tudominio.com dig +short TXT tudominio.com # revisa que expone tu SPF # En Shodan (web o CLI), acotado a tu rango asignado: # net:203.0.113.0/24 # org:"Nombre de tu organizacion"
Escanear ya no es OSINT pasivo
dig y una consulta a crt.sh o a la API de Shodan interrogan a terceros, no al objetivo: siguen siendo pasivos · Lanzar tú un escáner de puertos, un fuzzer de subdominios activo o un enumerador contra sistemas que no son tuyos es interacción directa y requiere autorización expresa por escrito; sin ella, puede incurrir en los arts. 197 bis y 264 CP
7. Reducir tu huella y la de tu organización
Todo lo anterior se vuelve del revés en cuanto lo aplicas sobre ti mismo. Un ejercicio de OSINT defensivo —a veces llamado «self-OSINT» o auditoría de exposición— consiste en buscarte a ti y a tu empresa como lo haría un tercero y cerrar lo que no debería estar abierto.
7.1 A nivel personal
- Búscate en Have I Been Pwned y rota las contraseñas de los servicios que aparezcan; no reutilices credenciales entre sitios (ver el artículo de gestores de contraseñas)
- Revisa la privacidad de tus perfiles y separa alias entre ámbitos que quieras mantener sin vincular
- Elimina metadatos antes de publicar fotos y documentos; desactiva el geoetiquetado
- Solicita la retirada de tus datos a los agregadores que los publiquen; en la UE tienes derecho de supresión
7.2 A nivel de organización
- Inventario periódico con site: y crt.sh: qué subdominios, paneles y documentos están indexados
- Política de metadatos: limpieza obligatoria de todo fichero antes de publicarlo en la web
- Revisión de repositorios de código públicos y del historial en busca de secretos; rotación de los que aparezcan y escaneo automático de secretos en el pipeline
- Ofertas de empleo genéricas: describe el puesto sin regalar el nombre y la versión de cada producto de seguridad que usáis
- Consulta recurrente de vuestro rango en Shodan/Censys y cierre de lo que no deba estar expuesto
- Concienciación: lo que el personal publica sobre su trabajo es la mayor fuente de OSINT sobre la empresa
Recursos y lecturas
OSINT Framework (osintframework.com) — árbol de herramientas por tipo de dato · Exploit-DB Google Hacking Database — catálogo de dorks de referencia · Have I Been Pwned (haveibeenpwned.com) — exposición de un correo en brechas divulgadas · crt.sh — consulta de Certificate Transparency · ExifTool — inspección y limpieza de metadatos · Michael Bazzell, «OSINT Techniques» — manual de referencia de la disciplina · Nuestros artículos de TLS y PKI, gestores de contraseñas y OWASP Top 10, para el contexto defensivo
Conclusión
OSINT no es hackear: es leer con método lo que ya está publicado. Precisamente por eso es tan potente y tan difícil de detectar —no hay nada que detectar— y por eso la única defensa real es controlar lo que se publica en primer lugar.
El marco legal marca una frontera nítida: mirar fuentes abiertas es lícito; acceder a sistemas ajenos, engañar a personas o perfilar y exponer a un particular concreto, no. Dentro de esa frontera, la herramienta más útil que te llevas de este artículo es la costumbre de buscarte a ti y a tu organización antes de que lo haga otro.
unfantasmaenelsistema.com | Seguridad, sistemas y todo lo que no debería funcionar (pero funciona)