OSINT, abreviatura de open source intelligence (inteligencia de fuentes abiertas), es la inteligencia que se produce a partir de información que cualquiera puede obtener de forma lícita: noticias, registros públicos, documentación societaria, publicaciones en redes sociales, imágenes por satélite, sitios web y los rastros técnicos que dejan. “Fuente abierta” no tiene aquí nada que ver con el software de código abierto. Significa que la fuente está abierta al público, por oposición a la información secreta u obtenida por medios encubiertos.
El término procede de la inteligencia gubernamental, pero hoy la mayor parte del trabajo OSINT la realizan periodistas, equipos de seguridad, analistas de fraude y cumplimiento normativo, equipos de protección de marca e investigadores. Nuestra página sobre proxies para OSINT y periodismo de investigación trata la parte de recopilación para esos equipos; este artículo cubre lo básico: qué es OSINT, de dónde procede, cómo se lleva a cabo y dónde están los límites.
Una definición práctica
La legislación estadounidense ofrece una de las definiciones más citadas. La Section 931 de la National Defense Authorization Act for Fiscal Year 2006 describe la inteligencia de fuentes abiertas como aquella “producida a partir de información disponible públicamente” que se “recopila, explota y difunde de manera oportuna a un público adecuado con el fin de atender una necesidad de inteligencia concreta”.
Dos elementos de esa definición también importan fuera del ámbito gubernamental.
- La información disponible públicamente es la materia prima, no el producto. Una captura de pantalla de una publicación es información. Saber quién la publicó, cuándo, desde dónde y si es auténtica es inteligencia.
- Parte de una necesidad. OSINT responde a una pregunta que alguien tiene realmente: si este proveedor es real, quién está detrás de este dominio de phishing, si este suceso ocurrió donde y cuando afirma el vídeo. Recopilar todo lo que es público, sin una pregunta, es acumular, y eso genera sus propios problemas legales.
De dónde procede OSINT
Las fuentes abiertas se agrupan en unas pocas categorías amplias.
| Tipo de fuente | Ejemplos | Preguntas habituales |
|---|---|---|
| Medios de comunicación | Sitios de noticias, emisiones, notas de prensa, medios locales | Qué se publicó, quién lo publicó, cuándo |
| Registros públicos | Registros mercantiles, registros judiciales, anuncios de licitación, registros de la propiedad y urbanismo | Quién posee o dirige una entidad, qué historial jurídico tiene |
| Plataformas sociales y comunitarias | Publicaciones públicas, foros, reseñas, plataformas de vídeo | Qué dice, muestra y afirma la gente, y cuándo |
| Imágenes y mapas | Imágenes por satélite y a pie de calle, servicios de cartografía | Dónde está algo, si ha cambiado |
| Rastros técnicos | Registros DNS, datos WHOIS y RDAP, registros de transparencia de certificados, páginas web archivadas | Quién gestiona un dominio o servidor, qué más está conectado a él |
| Literatura gris | Artículos académicos, informes de ONG, ponencias, publicaciones oficiales | Qué se sabe ya sobre un tema |
La mayoría de las investigaciones combinan varias de ellas. Un dominio hallado en un correo de phishing lleva a los datos de registro, después a los certificados emitidos para nombres de host relacionados, luego a una inscripción en un registro mercantil y, por último, a un perfil social. Cada paso es público por sí mismo; el valor está en las conexiones.
Técnicas principales
Búsqueda avanzada. Los operadores de búsqueda (site, filetype, frases exactas, intervalos de fechas) reducen enormes conjuntos de resultados a las pocas páginas que importan. También importa ejecutar las mismas consultas desde distintos países, porque los resultados y las fuentes locales varían según la ubicación.
Archivo y seguimiento de cambios. Las páginas cambian y desaparecen. Los archivos web muestran lo que decía una página en el pasado, y guardar copias propias con marca de tiempo, junto con la URL y la hora de captura, es lo que convierte un hallazgo en una prueba.
Verificación de imágenes y vídeos. La búsqueda inversa de imágenes localiza copias anteriores de una fotografía. La geolocalización (cotejar puntos de referencia, carteles y relieve con mapas) y la cronolocalización (sombras, meteorología, otras grabaciones del mismo suceso) comprueban si una foto o un vídeo muestra lo que afirma. Los metadatos del archivo pueden ayudar, aunque la mayoría de las plataformas los eliminan al subirlo.
Análisis de infraestructura. En el trabajo de seguridad, el historial DNS, los registros de transparencia de certificados y los datos de alojamiento permiten cartografiar los dominios y servidores de un adversario. Nuestro artículo sobre proxies residenciales para inteligencia de amenazas explica por qué parte de esa infraestructura se comporta de forma distinta según quién la consulte.
Investigación en registros. Los registros mercantiles, judiciales y de contratación responden a preguntas sobre titularidad e historial. Nuestra guía sobre recopilación de registros públicos para el periodismo de investigación trata en detalle el método y la verificación.
Cómo se organiza el trabajo
El OSINT profesional sigue un ciclo: definir la pregunta, recopilar, procesar (eliminar duplicados, traducir, estructurar), analizar y, por último, informar a quien necesita la respuesta. El ciclo se repite a medida que los hallazgos plantean nuevas preguntas.
Dos hábitos distinguen el trabajo fiable de las conjeturas:
- Corroboración. Ninguna fuente aislada basta. Las afirmaciones se contrastan con fuentes independientes, y el informe indica el grado de confianza del analista.
- Documentación. Cada hallazgo registra de dónde procede, cuándo se capturó y cómo. El Berkeley Protocol on Digital Open Source Investigations, publicado por el Human Rights Center de UC Berkeley junto con la Oficina de Derechos Humanos de la ONU, establece este tipo de estándar para investigaciones que pueden acabar ante un tribunal.
Límites legales
“Público” no significa “todo vale”. Los principales límites son los siguientes. Se trata de información general, no de asesoramiento jurídico; las normas dependen de su país y de su finalidad.
Los datos personales siguen siendo datos personales. Con arreglo al GDPR y a leyes similares, la información sobre una persona identificable está protegida aunque se haya publicado abiertamente. Recopilarla exige una base jurídica, una finalidad clara y limitarse a lo que esa finalidad requiere. El periodismo y la investigación en seguridad suelen contar con excepciones específicas, pero no son ilimitadas.
Público significa que no ha hecho falta forzar la entrada. Acceder sin autorización a cuentas, grupos privados o sistemas puede constituir delito según leyes sobre uso indebido de sistemas informáticos, como la Computer Fraud and Abuse Act de Estados Unidos o la Computer Misuse Act del Reino Unido. Adivinar contraseñas, usar credenciales filtradas o eludir un muro de inicio de sesión no es OSINT.
Las condiciones de las plataformas siguen aplicándose. Muchos sitios restringen en sus condiciones la recopilación automatizada o las cuentas falsas. Incumplir las condiciones suele ser una cuestión contractual más que penal, pero puede provocar el cierre de cuentas y restar solidez a sus pruebas.
Los derechos de autor afectan a lo que se vuelve a publicar. Recopilar una página para analizarla no es lo mismo que publicar las fotos o el texto que contiene.
Para la cuestión concreta de la recopilación automatizada, nuestro resumen sobre si el web scraping es legal repasa los casos principales.
Límites éticos
Lo legal es el mínimo, no el estándar. Los investigadores con experiencia también se preguntan:
- ¿Es proporcionado? Cartografiar una red de fraude justifica una recopilación mayor que satisfacer la curiosidad sobre un particular.
- ¿Quién podría resultar perjudicado? Los terceros, las fuentes y los familiares también aparecen en los datos públicos. Reduzca al mínimo lo que conserva sobre personas que no son el objeto de la investigación.
- ¿Podría ser erróneo el hallazgo? Una identificación equivocada en público, sobre todo en internet, causa daños duraderos. Corrobore antes de nombrar a nadie.
- ¿Se está protegiendo a sí mismo y a sus fuentes? La investigación puede alertar a la persona investigada, y algunas toman represalias.
Qué papel desempeñan los proxies
El trabajo OSINT tiene una capa de red que es fácil olvidar. Cada página que abre comunica al sitio su dirección IP. Eso puede revelar su organización a la persona investigada, y muchos sitios muestran contenidos, resultados o precios distintos según dónde parezca encontrarse el visitante.
Un proxy residencial permite a un analista ver un sitio como un visitante local del país o la ciudad que interesa, y mantiene la red propia de la organización fuera de los registros del objetivo. Los equipos que recopilan a gran escala, como los de seguridad que vigilan kits de phishing o el uso indebido de marcas, también lo emplean para repartir las solicitudes de modo que la recopilación se mantenga dentro de lo que los sitios toleran. Nuestro caso de uso de ciberseguridad describe esos flujos de trabajo.
Conviene tener claro lo que esto hace y lo que no. Un proxy cambia la dirección IP que ve un sitio; no convierte en anónimo a un investigador, y las cuentas con sesión iniciada, las huellas del navegador y el comportamiento pueden seguir identificándole. Nuestro artículo explicativo un proxy no es una herramienta de anonimato profundiza en esos límites, y la seguridad operativa tiene que cubrirlos.
Preguntas frecuentes
¿Qué significa OSINT?
Open source intelligence, es decir, inteligencia de fuentes abiertas: inteligencia producida a partir de información disponible públicamente. “Fuente abierta” se refiere a que la fuente es pública, no al software de código abierto.
¿Es legal OSINT?
Recopilar y analizar información pública es, en general, legal, pero siguen aplicándose la normativa de protección de datos, las leyes sobre uso indebido de sistemas informáticos, las condiciones de las plataformas y los derechos de autor. Los datos personales siguen protegidos aunque sean públicos, y eludir inicios de sesión o controles de acceso no es OSINT.
¿Quién utiliza OSINT?
Periodistas, equipos de seguridad e inteligencia de amenazas, analistas de fraude y cumplimiento normativo, empresas de due diligence, equipos de protección de marca, investigadores de derechos humanos y gobiernos.
¿Qué diferencia hay entre OSINT y el scraping de datos?
El scraping es un método de recopilación. OSINT es todo el proceso de responder a una pregunta a partir de fuentes públicas: planificar, recopilar de forma manual o automática, verificar, analizar e informar.
En resumen
OSINT no es “buscar a alguien en Google”. Es una forma rigurosa de responder a una pregunta concreta a partir de fuentes públicas, con corroboración, documentación y límites claros. Parta de la pregunta, recopile solo lo que necesita, registre de dónde procede cada hallazgo y trate los límites legales y éticos como parte del método.