OSINT para empresas: investigación de fuentes abiertas legal y ética

En un entorno donde la información es poder, las empresas que saben recopilar, analizar y actuar sobre datos públicos disponibles en abierto llevan una ventaja considerable frente a sus competidores y frente a los actores maliciosos que les acechan. OSINT, acrónimo de Open Source Intelligence, es la disciplina que sistematiza ese proceso: recopilar información de fuentes accesibles públicamente, procesarla con metodología y convertirla en inteligencia accionable. Lo que en sus orígenes era un dominio casi exclusivo de agencias de inteligencia gubernamentales se ha convertido hoy en una herramienta imprescindible para equipos de seguridad corporativa, departamentos de cumplimiento, analistas de riesgo y directivos que necesitan tomar decisiones informadas.

Sin embargo, la facilidad de acceso a la información y la potencia de las herramientas actuales plantean un dilema que toda empresa debe resolver antes de lanzarse a investigar: ¿dónde está la línea entre la investigación legítima y la invasión de la privacidad? La respuesta no es trivial y varía según la jurisdicción, el tipo de sujeto investigado y la finalidad del análisis. En la Unión Europea, el Reglamento General de Protección de Datos (RGPD) introduce restricciones relevantes incluso cuando los datos son técnicamente públicos. Ignorar este marco no es una opción para ninguna empresa que opere en territorio europeo.

Este artículo ofrece una guía práctica y completa para que los profesionales de seguridad, los responsables de compliance y los equipos directivos comprendan qué es OSINT, cómo se aplica de forma ética y legal en el contexto empresarial, qué herramientas existen y cómo construir un programa de inteligencia de fuentes abiertas que aporte valor real sin exponer a la organización a riesgos legales o reputacionales.

¿Qué es realmente OSINT y qué no es?

OSINT hace referencia a cualquier información obtenida de fuentes accesibles públicamente sin necesidad de vulnerar sistemas, engañar a personas o acceder a datos privados. Esto incluye registros empresariales, noticias, redes sociales, foros, bases de datos gubernamentales, registros DNS, certificados SSL, documentos filtrados que ya circulan públicamente y un largo etcétera. La clave está en la metodología: no se trata de navegar por Internet sin rumbo, sino de aplicar un proceso estructurado para transformar datos dispersos en inteligencia útil.

Lo que OSINT NO es resulta igual de importante de definir. No es hacking: acceder a sistemas sin autorización, incluso para obtener información, es un delito tipificado en el Código Penal español bajo el artículo 197 bis. No es social engineering: engañar a personas para que revelen información también es ilegal e inaceptable desde el punto de vista ético. Y no es vigilancia masiva indiscriminada de empleados, clientes o competidores sin una finalidad legítima documentada. Confundir OSINT con estas prácticas es uno de los errores más comunes y más peligrosos que cometen las empresas.

Casos de uso empresarial legítimos

Antes de hablar de herramientas y técnicas, es fundamental entender para qué sirve OSINT en el contexto corporativo. Los casos de uso son amplios y variados, lo que explica por qué esta disciplina ha crecido tanto en los últimos años dentro de los departamentos de seguridad y cumplimiento.

• Due diligence en procesos de M&A o selección de proveedores: verificar la reputación, el historial legal y la solidez financiera de un socio comercial antes de firmar un contrato.
• Vigilancia de marca y reputación: detectar menciones negativas, suplantaciones de identidad corporativa o campañas de desinformación que afecten a la empresa.
• Threat intelligence externa: identificar actores maliciosos que discuten atacar la organización en foros clandestinos o que ya han publicado credenciales robadas.
• Análisis de la huella digital corporativa: conocer qué información sobre la empresa está expuesta públicamente y que podría ser aprovechada por un atacante.
• Investigación de fraudes internos o externos: recopilar evidencias digitales públicas en el contexto de una investigación formal con respaldo legal.
• Vigilancia competitiva: analizar públicamente las estrategias, movimientos de personal, patentes y comunicaciones oficiales de la competencia.
• Gestión de riesgos geopolíticos: monitorizar situaciones en países donde la empresa opera para anticipar disrupciones operativas.

El marco legal en España y la UE: lo que toda empresa debe saber

Operar con OSINT en Europa sin comprender el marco legal es una receta para el desastre. El RGPD establece que el tratamiento de datos personales, incluso cuando esos datos son públicos, requiere una base jurídica legítima. Para las empresas, las bases más habituales son el interés legítimo (artículo 6.1.f del RGPD) y el cumplimiento de una obligación legal. Esto significa que antes de sistematizar cualquier proceso de recopilación de información sobre personas físicas, la empresa debe documentar una Evaluación de Impacto relativa a la Protección de Datos (EIPD) si el proceso es de alto riesgo.

La Ley Orgánica de Protección de Datos y garantía de los derechos digitales (LOPDGDD) añade una capa adicional en España, especialmente relevante para la investigación de empleados o la monitorización de redes sociales con fines laborales. El Código Penal, como se mencionó, penaliza el acceso no autorizado a sistemas. Y la Ley de Competencia Desleal prohíbe el espionaje industrial activo. El mensaje es claro: OSINT bien hecho es perfectamente legal; OSINT mal hecho puede acarrear sanciones administrativas, penales y civiles.

Principios éticos que deben guiar cada investigación

• Proporcionalidad: recopilar solo la información necesaria para el objetivo concreto, sin almacenar datos irrelevantes.
• Finalidad legítima y documentada: cada investigación debe tener un propósito claro y registrado antes de iniciarse.
• Minimización del dato: no procesar información personal más allá de lo estrictamente necesario.
• Seguridad en el almacenamiento: los datos recopilados deben protegerse con los mismos controles que cualquier otro dato sensible.
• Revisión periódica: eliminar datos que ya no sean necesarios y revisar la vigencia de la investigación de forma regular.

Metodología OSINT: el ciclo de inteligencia adaptado a la empresa

Una investigación OSINT rigurosa no consiste en lanzar herramientas y ver qué aparece. Se estructura en fases, igual que cualquier proceso de inteligencia profesional. Adaptado al entorno empresarial, el ciclo de inteligencia tiene cuatro etapas fundamentales: planificación, recopilación, análisis y diseminación.

Fase 1: Planificación y definición de requisitos

Antes de teclear una sola consulta, el analista debe responder a tres preguntas: ¿qué necesito saber exactamente?, ¿por qué lo necesito saber?, ¿qué haré con la información una vez obtenida? Esta fase incluye también la evaluación legal previa: ¿la investigación involucra personas físicas? ¿Existe base jurídica? ¿Se ha informado al DPO (Delegado de Protección de Datos) si aplica? Documentar las respuestas no es burocracia; es la diferencia entre una investigación sólida y una que puede ser impugnada.

Fase 2: Recopilación de información

Esta es la fase donde entra en juego la mayor parte de las herramientas. Se trabaja con fuentes muy diversas: motores de búsqueda con operadores avanzados (Google Dorks), registros WHOIS y DNS, bases de datos de certificados SSL como crt.sh, repositorios de código como GitHub, registros mercantiles como el BORME en España, redes sociales, bases de datos de brechas como Have I Been Pwned, y sistemas de monitorización de la dark web en el caso de threat intelligence avanzada. La recopilación debe ser pasiva siempre que sea posible: observar sin interactuar ni dejar huella en los sistemas del objetivo.

Fase 3: Análisis y correlación

Los datos brutos raramente tienen valor por sí solos. El análisis consiste en correlacionar información de múltiples fuentes para construir una imagen coherente. Una dirección de correo electrónico encontrada en un registro WHOIS anticuado puede correlacionarse con un perfil de LinkedIn, que a su vez puede relacionarse con una brecha de datos conocida, revelando que un proveedor usa contraseñas comprometidas. Esta capacidad de conectar puntos es lo que distingue la inteligencia del simple dato.

Fase 4: Diseminación y acción

El producto final de una investigación OSINT es un informe o briefing que presenta los hallazgos de forma clara, contextualizada y accionable para el destinatario correcto. Un informe para el CISO tendrá un enfoque técnico; uno para el consejo directivo será estratégico. La diseminación incluye también la gestión de la información: quién tiene acceso, durante cuánto tiempo y bajo qué condiciones de confidencialidad.

Herramientas OSINT esenciales para equipos corporativos

El ecosistema de herramientas OSINT es enorme y crece constantemente. A continuación se describen las más relevantes para el entorno empresarial, organizadas por categoría. Es importante subrayar que ninguna herramienta es mágica: su valor depende completamente del analista que las usa y del contexto en el que se aplican.

Reconocimiento de infraestructura y huella digital

• Shodan: motor de búsqueda especializado en dispositivos conectados a Internet. Permite identificar qué servicios de una organización están expuestos, qué versiones de software corren y qué vulnerabilidades conocidas tienen.
• Censys: similar a Shodan pero con mayor énfasis en certificados TLS y análisis de infraestructura corporativa.
• SecurityTrails: historial de DNS, cambios de registros y enumeración de subdominios para un dominio dado.
• crt.sh: base de datos pública de transparencia de certificados SSL. Permite descubrir subdominios que una empresa no quería que fueran visibles.
• theHarvester: herramienta de línea de comandos para recopilar correos, subdominios, IPs y nombres de empleados de fuentes públicas.

Inteligencia sobre personas y organizaciones

• LinkedIn: la fuente más rica para mapear la estructura organizativa de una empresa, identificar roles clave y entender movimientos de personal.
• BORME (Boletín Oficial del Registro Mercantil): obligatorio para due diligence en empresas españolas; revela administradores, apoderados, capital social y actos jurídicos.
• Maltego: plataforma de análisis de relaciones que permite visualizar conexiones entre entidades (personas, dominios, IPs, organizaciones) en un grafo.
• SpiderFoot: herramienta de automatización OSINT que agrega datos de más de cien fuentes diferentes sobre un objetivo dado.

Monitorización de brechas y dark web

• Have I Been Pwned: verifica si una dirección de correo corporativa aparece en brechas de datos conocidas.
• DeHashed: base de datos más amplia de credenciales comprometidas, útil para comprobar la exposición de dominios corporativos.
• Flare y DarkOwl: plataformas comerciales de monitorización de la dark web especializadas en el ámbito empresarial.

Análisis de la huella digital corporativa: un ejercicio imprescindible

Uno de los usos más valiosos de OSINT para cualquier empresa es auditar su propia huella digital antes de que lo haga un atacante. Este ejercicio, que en el sector se denomina a veces 'red team OSINT' o 'exposición externa', consiste en aplicar todas las técnicas anteriores contra la propia organización para identificar qué información sensible está disponible públicamente.

El resultado suele sorprender incluso a empresas con equipos de seguridad maduros. Es habitual encontrar subdominios olvidados con versiones antiguas de software, credenciales de empleados en repositorios de GitHub (commits pasados que no fueron limpiados correctamente), documentos corporativos con metadatos que revelan nombres de usuarios y rutas de red internas, o registros DNS que exponen la arquitectura interna de la empresa. Cada uno de estos hallazgos es un vector de ataque potencial que un adversario motivado encontraría antes o después.

OSINT en threat intelligence: anticipar ataques antes de que ocurran

En el ámbito de la ciberseguridad, OSINT es una pieza central de la inteligencia de amenazas. Los equipos de seguridad utilizan fuentes abiertas para monitorizar foros clandestinos donde se venden accesos a redes corporativas, canales de Telegram donde grupos de ransomware anuncian sus víctimas, repositorios de malware como VirusTotal para analizar muestras relacionadas con campañas activas, y servicios de feeds de indicadores de compromiso (IOCs) para actualizar sus herramientas de detección.

Plataformas como MISP (Malware Information Sharing Platform) o OpenCTI permiten estructurar y compartir esta inteligencia dentro de un equipo o incluso con otras organizaciones del sector, creando redes de intercambio que benefician a todos los participantes. Servicios comerciales como Recorded Future, Intel 471 o Mandiant Advantage van más allá de las fuentes puramente abiertas, pero se nutren en buena parte de la metodología OSINT.

La mejor defensa no es esperar a que el ataque llegue, sino saber antes que el atacante que tú eres su objetivo. OSINT bien aplicado convierte la reactividad en anticipación.

Due diligence y selección de proveedores: OSINT como herramienta de gestión de riesgo

El riesgo de terceros es una de las mayores preocupaciones de los CISO y de los departamentos de cumplimiento hoy en día. Un proveedor comprometido puede ser la puerta de entrada a tu red, como demostró el caso de SolarWinds o el ataque a la cadena de suministro de Kaseya. Antes de integrar a un proveedor en tus sistemas, una investigación OSINT básica puede revelar mucho sobre su madurez en seguridad: ¿tiene subdominios con versiones de software críticas sin parchear? ¿Aparecen sus dominios en listas de spam o en brechas de datos? ¿Han sido víctimas públicamente de ataques de ransomware?

Este proceso no reemplaza los cuestionarios de seguridad o las auditorías formales, pero los complementa de forma muy eficaz. Además, es especialmente valioso en las fases tempranas del proceso de selección, cuando todavía no se ha establecido una relación contractual y no es posible exigir documentación interna al proveedor.

Errores comunes que cometen las empresas con OSINT

• No documentar la finalidad de cada investigación antes de iniciarla, lo que crea exposición legal si el proceso es cuestionado.
• Confundir datos públicos con datos de libre uso: que algo esté en Internet no significa que se pueda procesar sin restricciones según el RGPD.
• Usar OSINT de forma reactiva únicamente, en lugar de integrarlo en procesos proactivos de vigilancia continua.
• No entrenar al equipo: las herramientas OSINT requieren criterio analítico; sin formación, generan ruido, no inteligencia.
• Ignorar la contrainteligencia: si tu empresa hace OSINT sobre otros, otros hacen OSINT sobre tu empresa. Descuidar la propia huella digital es un error estratégico.
• Almacenar indefinidamente datos recopilados sin un proceso de revisión y eliminación, incumpliendo el principio de limitación del plazo de conservación del RGPD.

Cómo construir un programa OSINT corporativo sostenible

Un programa OSINT corporativo maduro no se improvisa. Requiere una política interna que defina los casos de uso autorizados, los procedimientos de investigación, los controles de acceso a las herramientas y los criterios de retención de datos. Esta política debe ser aprobada por la dirección, revisada por el DPO y alineada con la estrategia general de seguridad de la información.

En términos de estructura de equipo, las organizaciones medianas y grandes suelen ubicar las capacidades OSINT dentro del equipo de inteligencia de amenazas o del SOC (Security Operations Center). Para empresas más pequeñas que no pueden permitirse un equipo dedicado, existen opciones de externalización a través de proveedores de servicios de Threat Intelligence o firmas de ciberseguridad especializadas.

La formación es crítica. Los analistas que realizan investigaciones OSINT deben comprender no solo el uso de las herramientas, sino también el marco legal, los principios éticos y las técnicas de análisis. Organizaciones como SANS Institute ofrecen formación específica en OSINT; también existen certificaciones como la OSCP (orientada a offensive security pero con componentes relevantes) o los cursos específicos de Trace Labs o el OSINT Framework.

Operaciones seguras: proteger la identidad del investigador

Un aspecto que las empresas suelen pasar por alto es la seguridad operacional (OPSEC) del propio analista. Cuando se realiza una investigación sobre un objetivo, especialmente en entornos sensibles como foros clandestinos o perfiles de actores de amenazas, es importante que el investigador no revele inadvertidamente la identidad de la empresa que investiga. Acceder directamente desde la red corporativa a recursos sospechosos puede alertar al objetivo o comprometer la investigación.

Las buenas prácticas incluyen el uso de máquinas virtuales aisladas para las investigaciones, navegación a través de VPNs o la red Tor cuando sea necesario para consultar fuentes sensibles, el uso de cuentas de investigación separadas de las corporativas, y nunca interactuar directamente con el objetivo sin una justificación muy sólida y aprobación legal previa.

El futuro de OSINT: inteligencia artificial y automatización

La integración de la inteligencia artificial en los flujos de trabajo OSINT está transformando radicalmente lo que es posible hacer con recursos limitados. Las herramientas actuales pueden procesar miles de fuentes simultáneamente, detectar patrones en grandes volúmenes de datos no estructurados, traducir contenidos en múltiples idiomas en tiempo real y priorizar automáticamente los hallazgos más relevantes para el analista humano. Plataformas como Recorded Future ya incorporan modelos de lenguaje para generar resúmenes de inteligencia automatizados.

Sin embargo, la IA también plantea nuevos desafíos: los deepfakes y la desinformación generada por IA hacen más difícil verificar la autenticidad de la información encontrada en fuentes abiertas. La verificación cruzada y el pensamiento crítico siguen siendo habilidades humanas insustituibles en este contexto. El analista del futuro no será reemplazado por la IA, pero sí necesitará saber cómo trabajar con ella y cómo cuestionar sus resultados.

Conclusión: OSINT como ventaja competitiva y escudo defensivo

OSINT no es una actividad de nicho reservada a analistas de inteligencia o hackers éticos. Es una capacidad estratégica que toda empresa mediana o grande debería desarrollar, o al menos contratar externamente, si quiere operar con un nivel de conciencia situacional adecuado en el entorno actual. Desde la due diligence de proveedores hasta la detección temprana de amenazas, pasando por la gestión de la reputación corporativa, las aplicaciones son enormes y los costes de no hacerlo, crecientes.

El primer paso es siempre el mismo: auditar la propia huella digital. Dedica un tiempo a aplicar las técnicas descritas en este artículo contra tu propio dominio corporativo antes de usarlas sobre terceros. Lo que encuentres te dará una perspectiva invaluable y, casi con certeza, una lista de acciones correctoras urgentes. A partir de ahí, construye el programa con paciencia, rigor legal y formación continua. La inteligencia de fuentes abiertas bien aplicada es uno de los retornos sobre inversión más altos en ciberseguridad corporativa.