Herramientas OSINT y OPSEC: El Fantasma
Objetivo de esta Guía
Aprender las herramientas de software principales que se usan para rastrear información en internet y, más importante aún, dominar el concepto de OPSEC (Seguridad Operacional) para evitar que la víctima se dé cuenta de que la estás investigando.
El mayor error de un investigador principiante no es no encontrar datos; es dejar un rastro tan evidente que el cibercriminal (o la empresa auditada) descubre quién los está investigando y cierra sus puertas.
1. El OPSEC: Regla de Vida o Muerte
OPSEC (Operational Security) es el arte de proteger tus propios métodos, tu identidad y tus intenciones.
Si te contratan para perfilar a un cibercriminal y entras a su perfil público de LinkedIn usando tu cuenta personal, LinkedIn le enviará una notificación que dice: "Carlos del Blue Team del Banco XYZ acaba de ver tu perfil". Acabas de destruir la investigación.
Mandamientos del Investigador:
- Máquinas Desechables: Nunca investigues desde tu computadora personal de uso diario. Usa una Máquina Virtual (VirtualBox/VMware) limpia.
- Identidades Sintéticas (Sock Puppets): Crea cuentas falsas (con fotos generadas por IA) para interactuar en redes sociales o foros de hackers.
- Túneles Oscuros: Usa VPNs o Tor para ocultar la dirección IP corporativa de tu empresa. Si investigas un foro criminal desde la oficina, el servidor del criminal registrará tu IP corporativa.
2. Herramientas Clave del OSINT Moderno
Aunque existen miles de herramientas, un buen investigador domina los "grandes pilares" antes de instalar decenas de scripts irrelevantes.
A. Shodan (El Buscador de las Máquinas)
Google busca páginas web. Shodan busca aparatos físicos conectados a internet. Shodan escanea todo el internet 24/7 buscando routers, cámaras IP, semáforos, plantas nucleares y bases de datos que fueron dejadas sin contraseña. Es el arma número uno para ver si una empresa tiene servidores de prueba expuestos públicamente por accidente.
B. Maltego (Mapeando Relaciones)
Es un software gráfico. Le entregas un dato (por ejemplo, el correo electrónico del cibercriminal) y Maltego busca automáticamente en internet para dibujar un árbol interactivo. Te mostrará qué cuentas de Twitter están ligadas a ese correo, qué dominios web ha comprado y quiénes son sus amigos públicos. Es magia visual para encontrar conexiones ocultas.
C. TheHarvester
Es una herramienta de terminal en Kali Linux. Le pones el nombre de una empresa (microsoft.com) y rastrea motores de búsqueda y bases de datos para devolverte una lista gigante con todos los correos electrónicos y subdominios que encontró. Es el primer paso de cualquier auditoría de Red Team.
D. Búsqueda Inversa de Imágenes
Usando herramientas como Yandex Images (que tiene un reconocimiento facial superior al de Google), puedes tomar la foto de perfil de un atacante anónimo de Telegram, subirla, y encontrar su Facebook real donde usó la misma foto hace 5 años.
Criterio de Dominio (Autoevaluación)
- Vas a investigar a un grupo criminal de Ransomware leyendo su blog en la "Dark Web" (Red Tor). El gerente te dice que uses la red Wi-Fi de la oficina central del banco para hacerlo. Basado en los principios de OPSEC, ¿Por qué esta es una idea desastrosa?
- Explica la diferencia principal entre lo que encontrarías buscando "Banco Central" en Google vs buscar "Banco Central" en Shodan.
- ¿Qué es un "Sock Puppet" y por qué es obligatorio tenerlo antes de entrar a un foro de hackers en Telegram para investigar una amenaza?