Nombre y cargo de los empleados. Direcciones de correo electrónico. Tecnologías utilizadas. Proveedores. Vacantes abiertas. Documentos corporativos. Dominios y subdominios. Información publicada en redes sociales.
Una empresa puede estar haciendo pública mucha más información de la que imagina.
Y ninguna de esas piezas tiene por qué representar un problema de seguridad de forma aislada. El riesgo aparece cuando alguien empieza a relacionarlas.
Aquí entra en juego el OSINT (Open Source Intelligence), una disciplina basada en recopilar y analizar información procedente de fuentes abiertas.
En ciberseguridad, entender qué información puede obtenerse públicamente sobre una organización permite identificar datos que podrían utilizarse para preparar ataques, realizar suplantaciones de identidad o localizar posibles puntos de entrada.
¿Qué es OSINT?
OSINT son las siglas de Open Source Intelligence, o inteligencia de fuentes abiertas.
Consiste en obtener, analizar y relacionar información disponible públicamente para generar conocimiento útil.
Las fuentes pueden ser muy diferentes:
- páginas web
- buscadores
- redes sociales
- registros públicos
- ofertas de empleo
- repositorios de código
- documentación accesible online
- información sobre dominios
- foros y comunidades
- publicaciones corporativas
La diferencia entre una simple búsqueda en Internet y un proceso OSINT está fundamentalmente en el análisis.
No se trata únicamente de encontrar información, sino de relacionar diferentes datos para obtener conclusiones que no resultaban evidentes al observarlos por separado.
¿Qué relación existe entre OSINT y ciberseguridad?
Antes de atacar una organización, un ciberdelincuente puede intentar conocerla.
- Qué tecnología utiliza.
- Quién trabaja en ella.
- Quién ocupa determinados puestos.
- Cómo son sus direcciones de correo.
- Con qué proveedores trabaja.
- Qué aplicaciones utiliza.
- Qué proyectos está desarrollando.
Toda esa información puede facilitar la fase de reconocimiento de un ataque.
Por ejemplo, saber quién es el director financiero y qué proveedor utiliza habitualmente la empresa puede ayudar a construir un intento de phishing mucho más creíble que un correo fraudulento genérico.
Por eso el OSINT tiene dos caras dentro de la ciberseguridad.
Los atacantes pueden utilizar información pública para preparar sus acciones, pero las empresas también pueden analizar su propia exposición para descubrir qué podría encontrar un posible atacante.
¿Qué información de una empresa puede encontrarse mediante OSINT?
La cantidad dependerá enormemente de la organización y de su presencia digital.
Sin embargo, existen algunas categorías especialmente relevantes.
Información sobre empleados
LinkedIn, páginas corporativas, entrevistas, eventos o redes sociales pueden revelar nombres, puestos, responsabilidades y relaciones profesionales.
Esta información puede utilizarse para construir ataques de ingeniería social dirigidos a personas concretas. De ahí la importancia de la concienciación e información de los empleados.
Correos electrónicos y patrones corporativos
Aunque una dirección concreta no aparezca publicada, conocer el formato utilizado por la empresa puede facilitar la identificación de posibles cuentas.
Por ejemplo, descubrir cómo se construyen habitualmente las direcciones corporativas permite generar hipótesis sobre otros usuarios de la organización.
Tecnologías utilizadas
Ofertas de empleo, documentación técnica, integraciones visibles o determinadas características de la infraestructura pueden revelar tecnologías utilizadas por la empresa.
Un anuncio buscando un administrador especializado en una tecnología concreta, por ejemplo, ya proporciona información sobre parte del ecosistema tecnológico de la organización.
Dominios y subdominios
La infraestructura expuesta a Internet también proporciona información.
Dominios, subdominios, certificados y servicios accesibles pueden ayudar a construir una imagen más completa de los activos digitales asociados a una organización.
Documentos públicos
Presentaciones, PDF, hojas de cálculo y otros archivos publicados online pueden contener información que la organización no pretendía hacer visible.
Incluso determinados metadatos pueden proporcionar datos sobre autores, herramientas utilizadas o estructura interna.
Redes sociales
Las publicaciones de empleados y perfiles corporativos pueden revelar información sobre oficinas, proveedores, herramientas, viajes, eventos o proyectos.
Una fotografía aparentemente inocente puede contener más información de la prevista.
OSINT e ingeniería social: cuando la información hace creíble el ataque
Uno de los usos más evidentes de la información pública es la preparación de ataques de ingeniería social.
Imaginemos que un atacante descubre públicamente que: una empresa acaba de incorporar a una nueva responsable financiera, utiliza un determinado proveedor, su director general está participando esa semana en un evento fuera de España y conoce el formato de correo electrónico utilizado por la organización.
Individualmente son datos poco relevantes.
Juntos permiten construir una historia mucho más convincente.
El atacante ya no necesita enviar miles de mensajes esperando que alguien caiga. Puede diseñar una comunicación dirigida a una persona concreta, utilizando información real para aumentar su credibilidad.
Cuanto más contexto posee un atacante, más difícil puede resultar distinguir una comunicación fraudulenta de una legítima.
OSINT y superficie de ataque
El concepto de superficie de ataque engloba los activos, accesos y puntos que potencialmente podrían ser utilizados para comprometer una organización.
Tradicionalmente pensamos en servidores, dispositivos, aplicaciones o servicios expuestos.
Pero conocer esos activos también forma parte del problema.
Una organización puede tener sistemas antiguos, subdominios olvidados o servicios que continúan accesibles aunque ya no formen parte de su infraestructura principal.
Analizar la información disponible externamente ayuda a identificar activos que incluso la propia empresa puede haber perdido de vista.
Esto convierte el análisis OSINT en un complemento interesante dentro de un análisis de riesgos de ciberseguridad más amplio.
¿Puede una empresa utilizar OSINT para mejorar su propia seguridad?
Sí.
Precisamente uno de sus usos defensivos consiste en observar la organización desde fuera.
La pregunta cambia de:
¿Qué sistemas sabemos que tenemos?
a:
¿Qué puede descubrir alguien sobre nosotros sin tener acceso a nuestros sistemas?
Un análisis de este tipo puede ayudar a localizar:
- información corporativa excesivamente expuesta;
- activos digitales olvidados;
- documentación pública sensible;
- información útil para ataques de ingeniería social;
- exposición innecesaria de empleados;
- tecnologías identificables externamente;
- posibles credenciales o datos publicados como consecuencia de incidentes previos.
Detectarlo no significa necesariamente que exista una vulnerabilidad explotable.
Pero permite comprender mejor la exposición real de la organización y decidir qué información, activos o configuraciones requieren una revisión.
OSINT no sustituye a una auditoría de ciberseguridad
Un análisis OSINT observa principalmente aquello que puede conocerse desde fuentes abiertas.
Una auditoría o consultoría de ciberseguridad tiene un alcance mucho mayor y puede analizar infraestructura, identidades, dispositivos, configuraciones, políticas, procesos, continuidad y otros elementos internos de la organización.
El OSINT puede descubrir señales.
La auditoría permite analizar qué riesgo representan realmente y qué medidas deben tomarse.
Por eso ambas aproximaciones pueden ser complementarias dentro de una estrategia de seguridad.
De la información pública a la ciberinteligencia
El OSINT es una de las fuentes que pueden utilizarse dentro de procesos más amplios de ciberinteligencia.
La ciberinteligencia busca transformar información sobre amenazas, actores, vulnerabilidades, infraestructura o exposición en conocimiento que permita tomar mejores decisiones de seguridad.
La clave vuelve a estar en el contexto.
Acumular datos sobre posibles amenazas tiene poco valor si la organización no puede determinar:
- cuáles le afectan realmente;
- qué activos están expuestos;
- qué probabilidad existe de que se materialicen;
- y qué medidas debería priorizar.
El objetivo no es saber todo lo que ocurre en Internet, sino convertir información relevante en decisiones de seguridad.
¿Qué puede hacer una empresa para reducir su exposición?
Intentar eliminar cualquier información sobre una organización de Internet no es realista ni deseable.
Una empresa necesita comunicar, contratar empleados, relacionarse con clientes y proveedores y mantener presencia digital.
La cuestión es determinar qué información necesita ser pública y cuál está generando una exposición innecesaria.
Algunas medidas importantes son:
- mantener un inventario actualizado de activos tecnológicos;
- revisar periódicamente dominios y servicios expuestos;
- establecer criterios sobre la información que puede publicarse;
- eliminar documentación o activos que ya no deberían ser accesibles;
- revisar los permisos y accesos externos;
- formar a los empleados frente a ataques de ingeniería social;
- monitorizar posibles exposiciones relevantes;
- integrar estos riesgos dentro de la estrategia general de ciberseguridad.
El OSINT como parte de una estrategia de ciberseguridad
La información pública no es automáticamente una vulnerabilidad.
Pero puede proporcionar a un atacante el contexto que necesita para encontrar una, seleccionar un objetivo o construir un engaño mucho más convincente.
Por eso conocer la huella digital de la organización ayuda a entender la seguridad desde una perspectiva diferente: la de alguien que observa la empresa desde fuera.
El siguiente paso consiste en relacionar esa exposición con los sistemas, personas y procesos que realmente sostienen el negocio.
En Digitartis ayudamos a las empresas a identificar riesgos tecnológicos y definir una estrategia de ciberseguridad adaptada a su infraestructura, necesidades y nivel de exposición.
¿Quieres conocer mejor los riesgos de ciberseguridad de tu empresa?
Preguntas frecuentes sobre el OSINT como parte de la estrategia de ciberseguridad de una empresa
OSINT significa Open Source Intelligence o inteligencia de fuentes abiertas. Consiste en recopilar y analizar información disponible públicamente para obtener conocimiento útil.
Puede utilizarse para identificar información pública sobre organizaciones, personas, tecnologías y activos digitales que resulte relevante para evaluar riesgos o investigar amenazas.
La obtención de información procedente de fuentes públicas no implica automáticamente que cualquier uso de esos datos sea legítimo. Su tratamiento y utilización deben respetar la legislación y los derechos aplicables en cada caso.
OSINT hace referencia a la obtención y análisis de información procedente de fuentes abiertas. La ciberinteligencia es un concepto más amplio que puede utilizar diferentes fuentes para generar conocimiento sobre amenazas y apoyar decisiones de seguridad.
Puede ayudar a identificar información, activos o exposiciones que podrían ser aprovechados durante un ataque. Sin embargo, debe combinarse con otras medidas de análisis, prevención, monitorización y respuesta.
