Las herramientas OSINT se eligen más fácilmente según la tarea que cumplen: un conjunto para dominios e infraestructura, otro para redes sociales, otro para imágenes y vídeo, otro para datos de filtraciones y unas cuantas para registros, archivo y para atar cabos. Esta guía enumera las herramientas que los investigadores usan realmente en cada categoría, para qué sirven y dónde están sus límites. También cubre la parte que la mayoría de las listas de herramientas omite: lo que cada consulta revela sobre usted y cómo gestionan los equipos esa capa de red, que es el tema de nuestra página sobre proxies para OSINT y periodismo de investigación.
Si es nuevo en este ámbito, empiece por nuestra introducción a qué es OSINT, que trata las fuentes, el método y los límites legales. Este artículo da por hecho que conoce lo básico y quiere el conjunto de herramientas.
Dominios e infraestructura
Las preguntas aquí son quién gestiona un dominio o un servidor, qué más está conectado a él y cómo ha cambiado.
- ICANN Lookup consulta los datos de registro mediante RDAP, el sustituto moderno de WHOIS. Desde el GDPR, la mayoría de los datos personales aparecen ocultos, pero el registrador, la fecha de creación y los servidores de nombres siguen siendo útiles.
- crt.sh busca en los registros de transparencia de certificados. Todo certificado TLS de confianza pública queda registrado, así que buscar un dominio suele revelar subdominios y nombres de host relacionados que el propietario nunca enlazó en ninguna parte.
- SecurityTrails muestra el historial de registros DNS, lo que ayuda a averiguar dónde estaba alojado un sitio antes de pasar detrás de una CDN.
- Shodan y Censys indexan dispositivos y servicios conectados a internet. Responden a preguntas como qué otros hosts comparten este certificado o ejecutan exactamente este banner de servidor.
- urlscan.io carga una URL en un entorno aislado y registra lo que solicitó, con qué dominios contactó y qué aspecto tenía.
- VirusTotal reúne los veredictos de muchos motores antivirus y analizadores de URL, y muestra las relaciones entre dominios, direcciones IP y archivos.
Dos de ellas tienen ajustes de visibilidad que conviene conocer. Los análisis de urlscan.io pueden ser públicos, no listados o privados, y los públicos pueden verlos otras personas, incluidas las que están detrás del sitio que investiga. Los archivos y las URL enviados a VirusTotal pueden verlos sus usuarios de pago. Nunca suba allí un documento confidencial y dé por hecho que un envío puede alertar a un adversario cuidadoso.
Redes sociales y nombres de usuario
Las preguntas aquí son dónde aparece una persona o una cuenta, qué publicó y cuándo.
- Sherlock es una herramienta de línea de comandos de código abierto que comprueba un nombre de usuario en cientos de sitios.
- WhatsMyName hace lo mismo a partir de una lista de sitios mantenida, con una interfaz web para quienes prefieren no usar la línea de comandos.
- La búsqueda propia de las plataformas, con operadores avanzados y filtros de fecha, sigue siendo la fuente más fiable, porque las herramientas de terceros dejan de funcionar cada vez que una plataforma cambia sus páginas o su API.
Ese último punto pesa más cada año. Las plataformas cambian a menudo el acceso para investigadores: Meta cerró CrowdTangle en agosto de 2024 y trasladó a los investigadores aprobados a Meta Content Library. Construya su método en torno a lo que la plataforma permite hoy y cuente con que las herramientas de esta categoría dejen de funcionar sin previo aviso.
Imágenes y vídeo
Las preguntas aquí son dónde apareció primero una imagen, dónde y cuándo se tomó, y si se editó.
- Búsqueda inversa de imágenes con Google Lens, TinEye, Bing Visual Search y Yandex Images. Indexan partes distintas de la web, así que utilícelas todas. TinEye puede ordenar los resultados empezando por los más antiguos, lo que ayuda a encontrar el original.
- El plugin InVID-WeVerify es una extensión de navegador creada para verificadores de datos. Divide los vídeos en fotogramas clave para la búsqueda inversa e incluye varios filtros forenses de imagen.
- ExifTool lee los metadatos de archivos de imagen y vídeo: modelo de cámara, marcas de tiempo y, a veces, coordenadas GPS. La mayoría de las plataformas sociales los eliminan al subir el archivo, así que resulta más útil con los originales.
- SunCalc muestra la posición del sol para cualquier lugar y momento, lo que permite contrastar una hora declarada con las sombras de una foto.
- Google Earth Pro ofrece imágenes históricas, y Copernicus Browser da acceso gratuito a imágenes recientes de los satélites Sentinel, para confirmar una ubicación y ver cómo ha cambiado.
Datos de brechas y filtraciones
La pregunta aquí es si una cuenta, una dirección de correo electrónico o una organización aparece en una brecha conocida. Es la categoría con los límites legales más estrictos.
- Have I Been Pwned indica si una dirección de correo electrónico aparece en brechas conocidas. Su búsqueda por dominio cubre todas las direcciones de un dominio, pero solo después de demostrar que controla ese dominio, lo que la hace adecuada para comprobar la exposición de su propia organización.
- Los servicios comerciales de búsqueda de filtraciones permiten a los investigadores buscar directamente en los registros filtrados. Se usan en trabajos de fraude e inteligencia de amenazas, pero ponen ante usted grandes cantidades de datos personales.
Las normas aquí son más estrictas que en las demás categorías. Los registros filtrados son datos personales y, con arreglo al GDPR y a leyes similares, buscarlos y almacenarlos constituye un tratamiento que exige una base jurídica y una finalidad clara. Usar una contraseña filtrada para iniciar sesión en una cuenta es un acceso no autorizado, sea cual sea el objetivo de la investigación. Los equipos que vigilan filtraciones de su propia organización suelen hacerlo dentro de una política escrita, como describe nuestro artículo sobre monitorizar la dark web y los sitios de pegado en busca de credenciales filtradas. Se trata de información general, no de asesoramiento jurídico.
Registros, archivo y análisis de vínculos
Tres categorías de apoyo hacen que las demás sean útiles.
Empresas y registros públicos. OpenCorporates reúne registros mercantiles de muchos países, y los registros nacionales, como Companies House en el Reino Unido o la base de datos EDGAR de la SEC, son las fuentes primarias que hay que citar.
Archivo y captura. Wayback Machine y archive.today muestran versiones anteriores de las páginas y permiten guardar otras nuevas. Hunchly registra cada página que visita durante una investigación, con marcas de tiempo, que es lo que convierte un hallazgo en una prueba.
Automatización y análisis de vínculos. theHarvester recopila correos electrónicos, subdominios y hosts de un dominio a partir de fuentes públicas. SpiderFoot ejecuta automáticamente docenas de consultas sobre un objetivo. Maltego representa los resultados como un grafo, para que pueda ver qué dominios, personas y organizaciones están conectados. El sitio web OSINT Framework es un amplio directorio si necesita algo más específico.
| Categoría | Para empezar | Opciones gratuitas |
|---|---|---|
| Dominios e infraestructura | crt.sh, ICANN Lookup, urlscan.io | crt.sh, ICANN Lookup, planes gratuitos de las demás |
| Redes sociales y nombres de usuario | Búsqueda de la plataforma, Sherlock, WhatsMyName | Sherlock, WhatsMyName |
| Imágenes y vídeo | Búsqueda inversa de imágenes, InVID-WeVerify, ExifTool | Todas |
| Datos de filtraciones | Have I Been Pwned | Have I Been Pwned para direcciones individuales |
| Registros y archivo | OpenCorporates, Wayback Machine, Hunchly | Búsqueda de OpenCorporates, Wayback Machine |
| Análisis de vínculos | SpiderFoot, Maltego | SpiderFoot (código abierto) |
La capa que ninguna herramienta cubre: lo que ve el objetivo
Cada una de las herramientas anteriores consulta un servicio en su nombre o le lleva directamente al objetivo. El segundo caso es donde se producen las fugas en las investigaciones.
Cuando abre un dominio sospechoso, un kit de phishing o una tienda de falsificaciones desde la red de su oficina, el sitio registra la dirección IP de su organización. Los operadores cuidadosos vigilan sus registros y reaccionan: bloquean su rango, le muestran una página inofensiva o retiran el sitio antes de que lo haya capturado. Muchos sitios también muestran contenidos distintos según el país del visitante, así que una página revisada desde su oficina puede no ser lo que ven las víctimas locales.
Los equipos de investigación lo gestionan con unos pocos hábitos:
- Mantenga el tráfico de recopilación fuera de su propia red. Un proxy residencial hace que la solicitud salga desde una conexión doméstica en el país o la ciudad que interesa, de modo que el objetivo ve a un visitante local corriente y no a su empresa.
- Aísle el navegador. Use un perfil de navegador separado, o una máquina virtual para todo lo que pueda ser malicioso, para que las cookies y las sesiones de su trabajo habitual nunca lleguen al objetivo. Nuestra página del caso de uso de ciberseguridad describe a los equipos de seguridad que hacen esto a gran escala.
- Trate con cuidado las cuentas de investigación. Algunos investigadores usan cuentas de investigación separadas, a menudo llamadas sock puppets, para ver contenido que exige iniciar sesión. Muchas plataformas prohíben las cuentas falsas en sus condiciones, así que revise las condiciones y la política de su organización, deje constancia de por qué existe la cuenta y nunca la use para engañar o contactar con las personas a las que investiga.
- Conozca los límites. Un proxy cambia la dirección IP que ve un sitio. No oculta la huella de su navegador, sus cuentas con sesión iniciada ni su comportamiento. Nuestro artículo explicativo un proxy no es una herramienta de anonimato trata qué más delata a los investigadores.
En resumen
Elija las herramientas OSINT según la pregunta que quiere responder: consultas de certificados y DNS para la infraestructura, búsqueda de nombres de usuario y búsqueda en la plataforma para las redes sociales, búsqueda inversa y metadatos para las imágenes, servicios de notificación para la exposición en filtraciones, y archivo y análisis de vínculos para unirlo todo. Compruebe qué comparte cada herramienta sobre sus búsquedas, mantenga la recopilación fuera de su propia red y trate los datos de filtraciones y las cuentas de investigación como los riesgos legales y éticos que son.
Si su equipo necesita ver sitios como un visitante local de otro país, puede probarlo con una prueba gratuita: 100 MB de Residential Proxies durante 3 días, o 1 día de ISP Proxies con hasta 10 IPs.