OSINT en ciberseguridad: Guía práctica para implementarlo | OpenWebinars

Qué es OSINT y cómo mejora la ciberseguridad

La inteligencia de fuentes abiertas, más conocida como OSINT (del inglés Open Source Intelligence), es la disciplina de recopilar y analizar información de fuentes públicas y legalmente accesibles para generar inteligencia útil. No trata acerca de comprometer sistemas ni de acceder a información privada, sino de la búsqueda de la información que puede ayudarnos a comprometerlo o securizarlo en función de tu rol dentro del mundo de la ciberseguridad.

Si todavía no conoces la inteligencia de fuentes abiertas, nuestro anterior artículo OSINT para principiantes: Qué es y cómo aprovecharlo te introducirá en este apasionante mundo enseñándote diferentes fuentes de OSINT, sus características, aplicaciones y todas las fases de su proceso.

Aplicación en seguridad digital

En el contexto de la ciberseguridad, OSINT es una herramienta de doble filo. Los equipos de ciberseguridad la utilizan para:

• Identificar la superficie de ataque: Descubrir qué sistemas, empleados o datos de la empresa están expuestos en internet.
• Ciberinteligencia de amenazas: Monitorizar foros en la dark web para anticipar nuevas tácticas de ataque o detectar si la información de la empresa ha sido filtrada.
• Fase de reconocimiento en hacking ético: Simular los primeros pasos de un atacante para encontrar posibles vectores de entrada.

Por otro lado, los ciberdelincuentes la usan para planificar sus ataques, recopilando información sobre sus objetivos para personalizar campañas de phishing o identificar sistemas vulnerables.

Valor estratégico

El gran poder del OSINT reside en el análisis de los datos recolectados, transformándolos en inteligencia estratégica que puede determinar el éxito de una operación. Seguir un método estructurado permite a las organizaciones:

• Anticipar amenazas gracias a la adquisición de información que podría ser desconocida por el equipo.
• Basar las estrategias de seguridad en datos reales sobre la exposición de la empresa.
• Optimizar los esfuerzos de defensa en las áreas más críticas y expuestas.

Fuentes OSINT más utilizadas en ciberseguridad

Un analista de OSINT eficaz sabe dónde buscar. Las fuentes son variadas y cada una ofrece un tipo de información diferente, en función del objetivo.

Motores de búsqueda y metadatos indexados

Los motores de búsqueda como Google son la primera parada. Utilizándolos con filtros de búsqueda avanzada -comúnmente conocido como google dorking o google hacking- es posible encontrar archivos específicos, versiones de software expuestas a través de banners e información de las webs, o información sensible indexada por error.

Herramientas como FOCA pueden extraer metadatos de documentos públicos para revelar nombres de usuario, software utilizado y rutas de red internas.

Redes sociales como LinkedIn, X (antes Twitter) o Facebook, así como foros y blogs accesibles para el público general; resultan una gran fuente de información. Permiten conocer la estructura de una empresa, sus empleados, las tecnologías que utilizan y hasta proveedores que pueden convertirse también en un objetivo.

Los ciberdelincuentes, a veces no atacan frontalmente a la empresa objetivo, sino que también se encargan de monitorizar sus relaciones para detectar posibles “nuevas presas” que les ayuden a comprometer el objetivo principal utilizando sus cuentas y aprovechándose de una posible relación de confianza. Esta disciplina también es conocida como SOCMINT, SOCial Media INTelligence. Podríamos decir que todo SOCMINT es OSINT, pero no todo OSINT es SOCMINT.

Infraestructura expuesta

La infraestructura expuesta es una de las partes más vigiladas por los ciberdelincuentes: suele resultar fácil conocer las direcciones IP y sus puertos abiertos, así como los registros DNS que contiene información relevante sobre dominios y subdominios.

Motores de búsqueda especializados como Shodan o Netlas no indexan contenido web, sino dispositivos conectados a internet. Permiten encontrar servidores, cámaras web, sistemas de control industrial y otros dispositivos de IoT, revelando sus versiones de software, puertos abiertos y posibles vulnerabilidades sin interactuar directamente con ellos.

Deep web y foros especializados

Es común mezclar conceptos entre la deep web y la dark web, pero es importante conocer sus diferencias:

• Deep Web: Comprende todo el contenido de internet que no está indexado por los motores de búsqueda convencionales (como Google, Bing, y las nuevas herramientas como ChatGPT, Perplexity o Gemini). Esto incluye la gran mayoría de internet accesible para cualquier usuario. Su acceso es legal y, en su mayoría, legítimo, pues simplemente requiere autenticación; aunque siempre hay que realizar una navegación segura y respetando los límites, sin realizar intrusiones.

• Dark Web: Es una pequeña porción de la Deep Web a la que solo se puede acceder con software específico que anonimiza la conexión, como la red Tor. Aunque no todo su uso es ilegal, su anonimato la convierte en un lugar ideal para evitar la censura y bloqueos de red, pero también para realizar actividades ilícitas. Aquí han existido marketplaces como Silk Road o Alphabay. Para un analista, la dark web es una fuente crucial. En sus foros especializados se pueden encontrar debates sobre nuevas vulnerabilidades (exploits), venta de credenciales robadas y bases de datos filtradas tras un ciberataque, aunque este tipo de foros también existen en la “clearnet”, aunque a veces resulta difícil acceder a ellos.

Herramientas OSINT clave para seguridad ofensiva y defensiva

Aunque los conocimientos y habilidades de los que utilizan las fuentes abiertas a su favor resultan clave, existen ciertas herramientas son casi indispensables para procesar la gran cantidad de datos que puede recopilarse durante una investigación.

Entornos de trabajo especializados

Si bien las herramientas pueden instalarse de forma individual en cualquier sistema operativo, existen distribuciones de Linux diseñadas específicamente para la ciberseguridad que agrupan y preconfiguran un vasto arsenal.

• Kali Linux y ParrotOS: Son las más conocidas y utilizadas tanto en el ámbito profesional como en el académico de la ciberseguridad. Ambas incluyen una sección dedicada exclusivamente a herramientas OSINT, que abarcan desde la recolección de información hasta el análisis de vulnerabilidades.

• Tsurugi Linux: Es una distribución enfocada en el análisis forense digital (DFIR) y, por extensión, en OSINT. Su enfoque está puesto en la investigación y la adquisición de pruebas, lo que la convierte en una favorita para analistas e investigadores del mundo de la seguridad informática.

• CSI Linux: Está orientada a investigadores, ofreciendo un entorno completo para todo el ciclo de una investigación. Dispone de una suite de herramientas OSINT para realizar una recolección de información eficiente y segura, incluyendo también soluciones para threat intelligence y análisis de malware.

Visualización y relación de entidades

Para la visualización de datos y relación de entidades, si hay una herramienta que destaca por encima de la mayoría es Maltego. Es una de las herramientas más potentes para visualizar datos, ganando una gran popularidad durante años. Permite crear gráficos que muestran las relaciones entre diferentes activos o tipos de información, como dominios, direcciones IP, correos electrónicos, empresas y perfiles sociales.

Esto ayuda a la comprensión de la información y encontrar relaciones que serían más difíciles de representar en un documento de texto.

Recolección pasiva de información técnica

Existe una gran variedad de herramientas que ofrecen grandes resultados para recopilar información de fuentes abiertas. Dependerá del objetivo que persigas:

• Para la infraestructura técnica, motores de búsqueda como Shodan, Netlas o Censys se centran en mostrar cualquier servicio y vulnerabilidad detectada en la red.

• Para una recolección más amplia y automatizada, SpiderFoot consulta en cientos de fuentes para mapear la huella digital de un objetivo (IPs, dominios, correos electrónicos), ampliando sus funcionalidades con la posibilidad de conectar decenas de APIs de terceros.

• Otras como Sherlock o Maigret se especializan en encontrar perfiles de usuario a través de múltiples redes sociales a partir de un único alias, aunque pueden provocar un alto número de falsos positivos.

• Herramientas como FOCA extraen valiosos metadatos de documentos públicos que pueden ser encontrados en la red. Los google dorks siguen siendo esenciales, y aunque se pueden usar manualmente, herramientas como GooFuzz se especializan en automatizar el dorking para descubrir documentos u otros archivos sensibles de forma ágil y segura.

Análisis centrado en personas y redes

El análisis de la información obtenida sobre personas y sus redes es clave para entender el contexto de un objetivo. La inteligencia de fuentes abiertas tiene una gran utilidad en el análisis centrado en las personas y la información que comparten en redes acerca de su vida personal y su organización.

Un excelente punto de partida es el taller de OSINT para fuga de datos empresariales de OpenWebinars. Con este taller aprenderás a utilizar herramientas OSINT específicamente para localizar fugas de información y proteger los activos de una empresa, una habilidad altamente demandada en el sector.

Integración con flujos automatizados

La eficiencia en OSINT se logra a través de una metodología organizada y la automatización, especialmente para combatir el “ruido de información” y procesar datos a una escala que puede acercarse a lo imposible manualmente. Muchas herramientas modernas ofrecen APIs que permiten integrarlas en scripts personalizados que agilicen la recolección, filtrado y muestra de la información.

Esto permite crear flujos de trabajo que se ejecutan de forma autónoma. Por ejemplo, se puede automatizar un flujo que, cada día, tome una lista de dominios de una empresa, busque nuevos subdominios, detecte las tecnologías utilizadas y vulnerabilidades de cada una si las hubiese.

Cómo implementar OSINT en tu estrategia de ciberseguridad

Integrar OSINT no es solo adoptar herramientas, sino desarrollar un proceso metodológico.

Diagnóstico del entorno digital propio

El primer paso es aplicar OSINT a uno mismo. Es interesante realizar una investigación para entender qué información sobre tu organización está públicamente disponible y qué podría aprovecharse de ella en diferentes escenarios de ataque. Esto incluye desde datos técnicos como subdominios y direcciones IP hasta información sobre empleados que sea publicada en redes sociales.

Un diagnóstico inicial te dará una visión clara de tu superficie de ataque externa.

Diseño de casos de uso específicos

Definir objetivos claros es fundamental para que los esfuerzos de una investigación a través de OSINT ofrezcan buenos resultados. En lugar de realizar búsquedas genéricas, enfócate en casos de uso concretos que aporten valor directo al objetivo:

• Threat hunting y ciberinteligencia: Proactivamente, los analistas pueden usar OSINT para buscar amenazas dirigidas a la organización. Esto incluye monitorizar la dark web en busca de credenciales filtradas de la empresa, analizar dominios de phishing recién registrados que imiten productos utilizados por la compañía, o rastrear la infraestructura de grupos de ciberdelincuentes conocidos por atacar el sector.

• Pentesting y red team: En cada fase de reconocimiento de cualquier prueba de intrusión, el OSINT tiene un gran peso. El objetivo es mapear la superficie de ataque externa, identificando subdominios, tecnologías web, direcciones IP de servidores, correos electrónicos de empleados y cualquier otra información que pueda servir como punto de entrada de un ciberataque, todo ello sin generar alertas en los sistemas de la empresa, como firewalls o portales de autenticación.

• Protección de la marca y puestos ejecutivos: Las empresas también pueden aprovechar las fuentes abiertas para detectar el uso no autorizado de su marca o campañas dirigidas con la intención de desprestigiar. Además, se aplica para identificar posibles amenazas físicas o digitales contra personalidades clave (conocidas como C-Level), analizando su exposición pública en redes sociales.

Integración con procesos existentes

El verdadero valor que aporta la inteligencia de fuentes abiertas brilla cuando enriquece los flujos de trabajo de seguridad ya establecidos:

• Gestión de vulnerabilidades: Un escáner de vulnerabilidades solo puede analizar los activos que conoce. Se pueden descubrir sistemas que el equipo de TI desconocía su estado, pero que están expuestos a internet o tienen una configuración incorrecta. Esta información amplía el alcance del programa de gestión de vulnerabilidades, asegurando que no queden puntos ciegos peligrosos.

• Respuesta a incidentes: Cuando el equipo de respuesta a incidentes detecta un indicador de compromiso (IOC), como una dirección IP, un hash o un dominio malicioso, OSINT permite enriquecerlo. Se puede investigar la reputación de la IP, los dominios históricos asociados a ella o quién es el propietario del dominio (WHOIS). Este contexto es vital para entender al atacante, su infraestructura y anticipar sus próximos movimientos.

• Concienciación y formación en seguridad: Los hallazgos de OSINT son extremadamente útiles para crear campañas de concienciación sobre phishing e ingeniería social mucho más realistas y efectivas. Demostrar a los empleados lo fácil que es encontrar información sobre ellos o su trabajo en fuentes abiertas es una poderosa lección que refuerza la necesidad de una buena higiene digital y fortalece la cultura de seguridad de la empresa, aunque debe realizarse con una fuerte ética y siempre dentro de la legalidad.

Evaluación ética y continua del proceso

Durante toda la investigación, es vital realizar una autoevaluación constante. Antes de cada acción durante las investigaciones, es importante preguntarse: “¿Esto que voy a hacer es legal? ¿Se mueve en una zona gris o alegal? ¿Podría tener consecuencias negativas para alguien?”.

Esta reflexión continua es la mejor forma de asegurar que el proceso se mantiene dentro de los límites éticos y normativos, evitando problemas futuros.

Riesgos y limitaciones del uso de OSINT

A pesar de su poder, OSINT no está exento de desafíos y riesgos que deben gestionarse con inteligencia y precaución.

Legalidad y cumplimiento normativo

La principal limitación es la legalidad, un terreno complejo. El hecho de que la información sea pública no otorga un derecho ilimitado a recopilarla, almacenarla y, sobre todo, correlacionarla. Publicar información agregada de una persona, aunque obtenida de fuentes abiertas, puede constituir doxxing, una práctica considerada como ilegal en la gran mayoría de países, que puede tener graves consecuencias.

Las leyes de protección de datos como el RGPD imponen obligaciones estrictas sobre el tratamiento de datos personales. Las organizaciones y los profesionales deben consultar a sus departamentos legales para definir los límites claros de sus investigaciones y asegurarse de que cada paso esté justificado y documentado; así como asegurar que la información sea tratada y salvaguardada.

Falsos positivos y datos desactualizados

La información en internet es cambiante y no siempre fiable. Un perfil de un empleado puede estar desactualizado, una dirección IP que pertenecía a un actor malicioso puede haber sido reasignada a un servicio legítimo o que sea compartida, o un dominio puede haber cambiado de propietario.

Confiar en un único dato sin validarlo puede llevar a conclusiones desastrosas. Por ello la validación y el contraste de la información de múltiples fuentes independientes son cruciales para la toma de decisiones. Un analista riguroso nunca da por sentado un dato; busca siempre una segunda y tercera fuente que lo corrobore antes de considerarlo como inteligencia fiable.

Ruido informativo y exceso de datos

El volumen de datos, a veces puede ser abrumador. Uno de los mayores desafíos del analista es mantener la información clasificada y convertirla en inteligencia. Sin un objetivo claro y preguntas bien definidas desde el inicio, es fácil caer en un estado de “parálisis por análisis”, perdiendo tiempo en aspectos poco relevantes para la investigación.

Aquí es donde una metodología estricta, el uso de la programación y herramientas que filtran y categorizan la información se vuelven indispensables para conseguir una investigación exitosa y rápida.

Dependencia de perfiles formados

Las herramientas son solo una parte del proceso. El verdadero valor de OSINT proviene, sin duda, de la habilidad del analista para pensar críticamente, formular las preguntas correctas y conectar piezas de información. Junto a esas habilidades,