Para empezarNingún firewall ni cifrado de grado militar te protegerá si un atacante conoce tus rutinas, tus gustos y el nombre de tu mascota.
El eslabón más débil
La seguridad técnica perfecta se desploma en segundos cuando el eslabón humano es manipulado o expuesto. Los atacantes rara vez empiezan rompiendo servidores; empiezan observando a las personas.
Qué es OSINT
OSINT o Inteligencia de Fuentes Abiertas es la práctica de recopilar, analizar y correlacionar información disponible públicamente para extraer inteligencia útil. Es totalmente legal y constituye la primera fase de cualquier auditoría o ataque dirigido.
Fases del ciclo OSINT
Para estructurar una investigación sin dejar huella digital, los analistas y atacantes siguen un proceso metódico de cinco etapas.
Marca cada paso al entenderlo · 0/5
Tu vida en internet
Más del 80% de la información necesaria para comprometer a una empresa o individuo ya está publicada de forma voluntaria en redes sociales, registros de dominios y filtraciones previas.
Búsqueda de huella digital
Herramientas como Sherlock permiten rastrear nombres de usuario en decenas de plataformas sociales de manera automatizada en segundos.
$ python3 sherlock.py target_user
[*] Checking username target_user on:
[+] Twitter: https://twitter.com/target_user
[+] GitHub: https://github.com/target_user
[+] Instagram: https://instagram.com/target_user
Reconocimiento de dominios
El análisis de infraestructura mediante fuentes abiertas descubre correos electrónicos, subdominios y tecnologías utilizadas por una organización, ampliando la superficie de ataque.
Extracción con theHarvester
Utilizamos theHarvester para recopilar emails y nombres asociados a un dominio objetivo utilizando motores de búsqueda públicos.
$ theHarvester -d target.com -b google -l 100
[*] Target: target.com
[+] Finding emails...
[email protected], [email protected], [email protected]
[+] Hosts found: 3
Metadatos peligrosos
Un simple documento PDF o imagen publicado en la web de una compañía puede revelar nombres de usuarios de red, versiones de software, rutas internas y coordenadas GPS exactas si no se limpian los metadatos.
Ingeniería Social
La ingeniería social es el arte de manipular a las personas para que confíen en el atacante, revelen información confidencial o ejecuten acciones que comprometan la seguridad de sus sistemas.
Pilares psicológicos del ataque
Los ingenieros sociales explotan sesgos cognitivos y emociones humanas básicas para desactivar el pensamiento crítico de la víctima.
Marca cada paso al entenderlo · 0/4
El vector principal
Según múltiples informes de ciberseguridad industrial, más del 90% de las brechas de datos exitosas comienzan con un correo de phishing bien dirigido apoyado en datos OSINT previos.
Phishing y Spear Phishing
Mientras el phishing tradicional es masivo e impersonal, el spear phishing utiliza inteligencia OSINT para personalizar el mensaje, haciendo que la suplantación sea casi indetectable para la víctima.
Generación de campañas de prueba
En entornos controlados de laboratorio, herramientas como GoPhish permiten simular ataques para medir la resiliencia y concienciación del personal.
$ ./gophish
time=202X-... level=INFO msg="Starting admin server on 0.0.0.0:3333"
time=202X-... level=INFO msg="Starting phish server on 0.0.0.0:80"
[*] GoPhish framework initialized successfully.
Límites legales y éticos
Realizar OSINT pasivo suele ser público, pero realizar escaneos intrusivos, pretexting o campañas de phishing sin autorización explícita y por escrito constituye un delito grave de acceso no autorizado.
Cómo mitigar estos riesgos
La defensa contra la ingeniería social y la exposición OSINT requiere una combinación de tecnología, política y educación continua.
Marca cada paso al entenderlo · 0/4
Siguiente nivel
Comprender cómo se recopila la información y se manipula el factor humano te convierte en un analista mucho más completo, preparado tanto para auditar como para proteger cualquier organización.
¿Te acuerdas? Toca para comprobarlo
Atajos: ← → para cambiar de pieza · / para buscar