OSINT: Guía Práctica de Investigación en Fuentes Abiertas

Aprende a recolectar y analizar inteligencia de manera ética con técnicas y herramientas profesionales.

Por Jose Luis Rueda · 14 min lectura · 2026-07-04

La inteligencia de fuentes abiertas (OSINT) no es un truco de hackers ni un arsenal de espionaje. Es una disciplina metódica que cualquier profesional de seguridad, periodista, investigador corporativo o analista de riesgos puede dominar. Consiste en recolectar, procesar y analizar información disponible públicamente sin violar leyes ni accesos no autorizados.

Este artículo es una guía paso a paso de técnicas OSINT modernas. Desde la búsqueda avanzada con Google dorks hasta la geolocalización de dispositivos, pasando por el análisis de metadatos y el monitoreo ético de la dark web. Cada sección incluye ejemplos reales y herramientas probadas. La premisa es simple: si los datos están ahí fuera, alguien los va a encontrar. Que seas tú, para proteger a tu organización o hacer periodismo de investigación responsable.

Aviso legal: todas las técnicas descritas deben aplicarse exclusivamente dentro de los límites de la ley y con autorización explícita. El uso indebido de OSINT puede conllevar sanciones penales. Esta guía es para fines educativos y profesionales éticos.

¿Qué es OSINT y por qué es crítico hoy?

OSINT (Open Source Intelligence) se refiere a la disciplina de recolectar y analizar información que está disponible públicamente. No involucra hacking, infiltraciones ni acceso a sistemas protegidos. Hablamos de datos que empresas, gobiernos e individuos exponen en internet, en bases de datos públicas, redes sociales, registros de dominios, imágenes, etc. La diferencia entre un amateur y un analista está en la estructura y metodología.

Cada día se filtran millones de datos por configuraciones erróneas, metadatos en documentos o descuidos en redes sociales. Un profesional de ciberseguridad o un investigador privado usa OSINT para mapear la superficie de ataque de una compañía, verificar antecedentes, localizar activos o rastrear campañas de desinformación. En el ámbito legal, es una herramienta forense de primer orden.

1. Búsqueda avanzada en Google: el arte de los dorks

Los 'Google dorks' son cadenas de búsqueda que explotan operadores avanzados para filtrar resultados con precisión quirúrgica. Google indexa una cantidad ingente de contenido no protegido, y los dorks permiten acceder a documentos, directorios, backups, cámaras y dispositivos mal configurados. No es hacking; es simplemente preguntarle a Google de la forma correcta.

Operadores esenciales

Dominar estos operadores cambia la forma de buscar en internet:

• site: – limita los resultados a un dominio o TLD. Ejemplo: site:gob.mx.
• intitle: – busca términos en el título de la página. intitle:'index of'.
• inurl: – filtra por palabras en la URL. inurl:admin.
• filetype: – restringe por tipo de archivo. filetype:pdf 'informe financiero'.
• intext: – busca dentro del cuerpo del documento.
• cache: – muestra la versión en caché de una página.
• before: y after: – fechas de publicación.

La combinación de operadores es la clave: site:empresa.com filetype:docx intext:confidencial puede devolver documentos mal almacenados en servidores públicos.

Ejemplos prácticos

intitle:'index of' 'backup' site:com.mx

Este dork lista directorios abiertos que contienen la palabra 'backup' en sitios mexicanos.

inurl:/view.shtml 'Camera'

Busca cámaras IP accesibles sin autenticación.

filetype:sql intext:wp_users password

Podría exponer backups de bases de datos de WordPress con contraseñas hasheadas.

Una práctica recomendada es mantener una biblioteca de dorks clasificados por objetivo: información financiera, credenciales, documentos internos, dispositivos IoT. Herramientas como Google Hacking Database (GHDB) de Exploit-DB recopilan cientos de dorks útiles. Pero siempre verifica la legalidad de acceder a los resultados; un simple clic en un enlace público no es ilegal, pero descargar o utilizar información ajena sin permiso sí puede serlo.

2. Redes sociales: más allá del perfil público

Las redes sociales son un tesoro para OSINT. La gente comparte voluntariamente ubicaciones, rutinas, relaciones y opiniones. Un analista puede reconstruir una biografía detallada sin saltar las restricciones de privacidad, solo interpretando lo que se publica abiertamente.

Perfiles y conexiones

El primer paso es recopilar todos los perfiles de una persona en distintas plataformas. Herramientas como whatsmyname.app o Sherlock automatizan este proceso. Buscar por nombre, apodo, email o teléfono. Luego se mapean las conexiones: amigos, seguidos y seguidores. De ahí surgen posibles colegas, familiares o cuentas secundarias.

LinkedIn es especialmente rico en datos profesionales: cargos antiguos, proyectos, certificaciones y publicaciones. La función de búsqueda avanzada de LinkedIn permite filtrar por empresa, ubicación o formación. Una técnica común es monitorear los cambios de empleo para anticipar movimientos corporativos o fugas de información.

Geolocalización y publicaciones

Instagram y Twitter pueden revelar ubicaciones exactas. Aunque los metadatos GPS se eliminan al subir la foto, muchas imágenes contienen geolocalización voluntaria (etiquetas de lugar) o se puede inferir a través del contenido: una foto de un café con una factura a medias, un logo de un banco en una esquina, un reflejo en una ventana. El ground-truthing digital es un arte: cruzar pistas visuales con Google Street View o mapas.

Las herramientas de monitoreo como Hootsuite, TweetDeck o, para analistas avanzados, Maltego con transformadas de redes sociales, permiten seguir conversaciones en tiempo real y detectar patrones. Los metadatos de las publicaciones (hora, cliente usado, idioma) también aportan contexto.

3. Dominios y WHOIS: radiografía de una presencia digital

Cada dominio en internet deja un rastro. Los registros WHOIS históricos, los registros DNS y los subdominios son la base para mapear la infraestructura de una organización o de un atacante.

WHOIS histórico vs actual

El protocolo WHOIS muestra el propietario registral de un dominio, fechas de creación, expiración y servidores DNS. Con la entrada del RGPD muchos datos personales están redactados, pero los registros históricos (servicios como WhoisXML API, DomainTools) son valiosos. Un cambio de propietario, fechas de modificación o emails de registro pueden vincular dominios aparentemente separados.

Para obtener el WHOIS actual se usa whois.domaintools.com o la línea de comandos: whois ejemplo.com. Los datos de contacto del registrador, si no son privacidad WHOIS, pueden señalar una dirección física o un correo. Esa dirección de email luego se puede pivotar a otras investigaciones.

DNS y subdominios

Los registros DNS (A, MX, TXT, CNAME, NS) describen la configuración técnica. Con dig en Linux o herramientas en línea como dnsdumpster.com se puede obtener el mapa completo. Los registros TXT suelen contener políticas SPF o verificaciones de servicios que revelan proveedores de correo y dominios relacionados.

Encontrar subdominios es esencial para mapear la superficie de ataque. Herramientas como Sublist3r, Amass o Subfinder realizan búsquedas pasivas de subdominios combinando motores de búsqueda, registros DNS y bases de datos de certificados (Certificate Transparency). Un subdominio como staging.empresa.com puede estar desprotegido y exponer información sensible.

4. Imágenes: búsqueda inversa y metadatos EXIF

Las imágenes son portadoras de mucha más información de la que se ve a simple vista. El análisis de metadatos y la búsqueda inversa son dos pilares del OSINT visual.

Búsqueda inversa de imágenes

Google Images, Yandex (muy potente para reconocimiento facial) y TinEye permiten subir una imagen y encontrar dónde más aparece en la web. Esto se usa para verificar la autenticidad de una foto (perfiles falsos que usan fotos de stock), identificar lugares o encontrar la fuente original de una captura de pantalla.

Un flujo típico: descargas la imagen de una red social, recortas lo relevante y la subes a varios motores. Yandex a menudo detecta incluso variaciones editadas. Si la foto pertenece a un modelo de banco de imágenes, sabrás que el perfil es falso. Si aparece en un blog de viajes, la ubicación puede estar descrita.

Metadatos EXIF

Los archivos JPEG, PNG y otros formatos pueden contener metadatos EXIF: coordenadas GPS, modelo de cámara, fecha y hora de captura, software de edición. Aunque la mayoría de redes sociales los eliminan, muchas web corporativas, foros o archivos adjuntos en correos no lo hacen.

Con herramientas gratuitas como exiftool (línea de comandos) o Opanda IExif (Windows), puedes extraer estos datos. exiftool foto.jpg te mostrará todo. Si encuentras coordenadas GPS, puedes pegarlas en Google Maps para ubicar exactamente el lugar. Esto ha sido clave en investigaciones periodísticas para verificar atrocidades en zonas de conflicto o para localizar delincuentes que comparten imágenes de sus 'trofeos'.

5. Dark web: monitoreo ético de la red Tor

La 'dark web' solo es oscura si no tienes una linterna. Los sitios .onion alojados en la red Tor son accesibles con el navegador Tor Browser. Aunque hay contenidos ilegales, una gran parte son foros de discusión anónima, buzones de denuncias como SecureDrop o sitios de noticias que buscan eludir censura.

Para un analista OSINT con autorización, el monitoreo de foros y mercados puede revelar la venta de datos robados, credenciales de su organización o planificación de ataques. No se necesita interactuar, solo leer y recolectar.

Cómo empezar con seguridad

• Usa Tor Browser en un entorno aislado (máquina virtual dedicada).
• Nunca uses tu conexión directa sin VPN confiable.
• No descargues archivos ni hagas clic en enlaces desconocidos.
• Documenta todo con capturas y hashes.

Herramientas como Ahmia (buscador de .onion) y servicios de monitoreo como Recorded Future o DarkOwl rastrean estos espacios de manera pasiva. Una técnica casera es configurar scrapeos con Python usando Tor como proxy (socks5://127.0.0.1:9050), siempre respetando los robots.txt y la legalidad.

La dark web también aloja buzones de filtraciones (leak sites) de ransomware donde los actores publican datos robados. El monitoreo de esos sitios puede alertar temprano de una brecha en tu organización.

6. Bases de datos públicas: el poder de los registros abiertos

Gobiernos, cámaras de comercio, registros de propiedad y boletines oficiales publican enormes volúmenes de datos que muchos desconocen. Para un investigador, son el sustrato de cualquier informe.

Registros empresariales y legales

En casi todos los países, las empresas están obligadas a registrar su constitución, administradores y estados financieros. Plataformas como OpenCorporates agregan datos de jurisdicciones de todo el mundo. Búsquedas por nombre de directivo revelan su participación en otras sociedades, direcciones y fechas clave.

En España, el Registro Mercantil centralizado y en México el portal de la Secretaría de Economía (SIEM) o CompraNet para contrataciones públicas. En EE. UU., la base SEC EDGAR para empresas que cotizan. Estos datos permiten mapear la estructura corporativa real, más allá de la web oficial.

Registros de propiedad y catastrales

Muchos países ofrecen acceso en línea al catastro: titular, extensión, valor catastral. Combinar esta información con redes sociales puede confirmar residencias o descubrir patrimonios no declarados. No hay nada ilegal en consultar un registro público; la clave está en el propósito y el uso posterior de esos datos.

También existen bases de datos de marcas, patentes, licitaciones, sanciones, embargos. La UE tiene e-Justice Portal, y en Latinoamérica los boletines oficiales provinciales digitalizados son un filón para periodismo de datos.

7. Investigación de emails: verificación y fugas de datos

Un correo electrónico es un identificador casi universal. Verificar su existencia, descubrir servicios asociados y saber si ha aparecido en brechas de seguridad es una de las prácticas OSINT más comunes.

Verificación y búsqueda de servicios

Herramientas como Hunter.io o EmailHippo verifican si un email es válido y el proveedor de correo. Servicios como haveibeenpwned.com permiten comprobar si ese email ha sido filtrado en brechas conocidas. Esto puede indicar que la persona reutiliza contraseñas o que ciertos servicios están comprometidos.

Además, se puede pivotar: una dirección de email puede estar vinculada a cuentas de GitHub, foros, redes sociales. La herramienta holehe de Python comprueba si un email está registrado en decenas de servicios (Spotify, Twitter, Amazon, etc.) mediante la función de recuperación de cuenta. Esto revela los intereses y presencia digital del objetivo sin acceder ilegalmente a nada.

Bases de datos de brechas

Existen recopilaciones filtradas como la famosa 'Collection #1' o bases de datos de antivirus públicos. Acceder a una base filtrada es un área gris; para uso profesional ético se recomienda usar agregadores autorizados como Dehashed (con límites) o servicios de inteligencia de amenazas de pago que ingieren esos datos legalmente. Lo que se obtiene son contraseñas en texto plano o hashes, nombres, teléfonos y direcciones asociadas a ese email.

El análisis de estas fugas en una investigación interna (por ejemplo, tras un incidente de seguridad) permite saber qué credenciales de empleados están circulando y forzar un cambio de contraseñas antes de que sean usadas.

8. Geolocalización de IPs y dispositivos

Una dirección IP, aunque no identifica a una persona exacta, da una ubicación geográfica aproximada, el proveedor de internet (ISP) y, a veces, la organización. Combinada con otras técnicas, puede estrechar el cerco.

Bases de geolocalización IP

Servicios como ipinfo.io, MaxMind o ip-api.com devuelven ciudad, región, ISP y coordenadas aproximadas. La precisión varía: una IP de un móvil puede localizar una ciudad; una IP corporativa, la sede de la empresa. Para investigaciones de abuso, estos datos permiten notificar al ISP adecuado.

Dispositivos y señales WiFi

La API de geolocalización de Google, utilizada por aplicaciones, puede triangular la posición de un dispositivo combinando señales WiFi cercanas, torres de telefonía y GPS. Aunque acceder a esa información requiere autorización judicial o consentimiento, el mero hecho de que un dispositivo publique su BSSID (dirección MAC del punto de acceso) en bases de datos públicas como WiGLE.net permite geolocalizar puntos de acceso. Un investigador puede buscar el BSSID de un router y obtener su ubicación física si alguien lo ha subido previamente.

Herramientas como Shodan indexan dispositivos conectados a internet, mostrando su ubicación geográfica y banners. Buscar cámaras, impresoras o routers por ciudad revela la superficie de ataque de una zona.

9. Herramientas OSINT: el cinturón de utilidades del analista

Hay cientos de herramientas, pero un buen analista domina un puñado que cubren distintas fases: recolección, análisis y visualización.

Maltego

Maltego es la navaja suiza gráfica. Permite partir de una entidad (email, dominio, nombre) y ejecutar 'transforms' que obtienen datos de fuentes como Shodan, Have I Been Pwned, DNS, redes sociales, etc. La visualización en grafos revela relaciones ocultas. Su versión Community es gratuita con limitaciones; la profesional es de pago.

Shodan

Conocido como el 'Google de los dispositivos', Shodan indexa servicios expuestos: desde servidores web hasta cámaras IP, pasando por sistemas industriales SCADA. Una búsqueda como org:'Empresa X' port:'22' devuelve todas las IPs de esa organización con SSH abierto. Es indispensable para auditorías de seguridad pasiva.

theHarvester

Herramienta de línea de comandos para recopilar emails, subdominios e IPs de un dominio objetivo usando buscadores públicos. Se ejecuta con theHarvester -d empresa.com -b google,linkedin,baidu. Ideal para la fase de reconocimiento.

SpiderFoot

Plataforma de automatización OSINT con módulos para casi todo: WHOIS, DNS, buscadores, redes sociales, dark web, bases de datos de fugas. Se puede instalar localmente o usar la versión cloud. Permite programar escaneos y exportar informes detallados.

Otras menciones

Social-Engineer Toolkit (SET) (uso ético), Recon-ng (framework modular en Python), OSINTgram (para Instagram), y la suite de Buscador OSINT VM (máquina virtual lista para usar).

Para quienes buscan integrar IA en sus flujos OSINT, plataformas como HolaGPT ofrecen asistentes que ayudan a redactar informes, analizar grandes volúmenes de texto extraído o incluso sugerir siguiente pasos en una investigación, siempre bajo supervisión humana y con el debido contexto legal.

10. Documentación y cadena de evidencia

Ninguna investigación OSINT está completa sin una documentación que respalde cada hallazgo. Si el trabajo terminará en un tribunal o en un informe corporativo, la cadena de evidencia es tan importante como los datos mismos.

Capturas y preservación

No basta con hacer una captura de pantalla. Se debe incluir la fecha, URL completa, herramienta utilizada y, preferiblemente, guardar la página completa con wget o extensiones como 'SingleFile'. Las capturas de pantalla deben hacerse con metadatos de tiempo visibles o firmarse digitalmente. Servicios como archive.today o Wayback Machine ofrecen preservación de páginas web como prueba de su estado en un momento determinado.

Notas y registro de acciones

Cada paso debe quedar registrado en un cuaderno de investigación: hora, acción, resultado. Si se usó una consulta whois, se anota el comando y el output exacto. Esto permite reproducir la investigación y demostrar que no se cometió ninguna ilegalidad. Existen frameworks como Hunchly (herramienta paga que registra automáticamente todo el tráfico y acciones del analista) que facilitan este proceso forense.

Informe final

El informe debe contener un resumen ejecutivo, la metodología empleada, los hallazgos con evidencia adjunta y las limitaciones de la investigación. Si se usa IA para redactar, hay que revisarla y validar cada dato. Un buen informe OSINT es directo, sin especulaciones, y atribuye cada hecho a una fuente verificable.