OSINT aplicado a seguridad
OSINT no es buscar en Google. Es un método de inteligencia que recoge, verifica y contextualiza información públicamente disponible para anticipar riesgos sobre personas, organizaciones e infraestructuras. Esta página reúne lo que un analista veterano debería tener claro antes de aplicarlo a seguridad operativa.
Qué es OSINT (y qué no es)
OSINT (Open Source Intelligence) es el proceso disciplinado de convertir información pública dispersa en inteligencia accionable. La materia prima está al alcance de cualquiera; el valor está en el método.
No es hacking. No accede a sistemas privados ni viola autenticaciones. No es periodismo. No vende relato, vende hipótesis verificadas. No es scraping masivo sin criterio.
Marco legal y ético en España
Trabajo siempre dentro de la LOPDGDD, el RGPD y la jurisprudencia aplicable. Las fuentes son públicas, la finalidad es legítima y proporcional, y los sujetos pasivos (cuando se identifican) se documentan con anonimización en cualquier material publicable.
Un OSINT serio se autoaudita: si no se puede explicar a un DPO, no se entrega.
Metodología en cuatro fases
Observación. Definir alcance, sujetos, ventana temporal y preguntas operativas. Sin pregunta no hay análisis.
Recolección. Recoger sin ensuciar la traza. Fuentes primarias antes que agregadores. Captura con marca temporal.
Verificación. Cruzar al menos dos fuentes independientes. Datar cada dato. Marcar nivel de confianza.
Síntesis. Documentar hipótesis, indicios y vacíos. Recomendaciones medidas, no alarmas.
Familias de fuentes
Registros oficiales (mercantiles, fiscales, judiciales públicos). Bases técnicas (DNS, certificados, ASN, geolocalización). Redes profesionales y publicaciones. Medios y archivo histórico. Datos abiertos institucionales. Filtraciones públicas verificables y consultables sin acceso ilícito.
Cada familia tiene un sesgo. Conocer el sesgo es parte del análisis.
Auditoría OSINT para una organización
Inventario de huella digital (dominios, subdominios, perfiles corporativos, directivos, proveedores expuestos). Mapa de exposición (qué se puede deducir sin entrar). Vectores de ingeniería social derivados. Recomendaciones priorizadas por impacto y coste de corrección.
El entregable útil no es un PDF largo: es una hoja de decisiones.
Aplicación a protección de directivos
Trabajo previo a un dispositivo: qué información pública permite anticipar amenazas, qué patrones de vida son visibles sin querer, qué exposición de familiares y entorno conviene reducir.
OSINT bien ejecutado reduce vigilancia física necesaria. No la sustituye.
Errores frecuentes que veo en el mercado
Confundir volumen con valor. Citar fuentes que no se han verificado. Mezclar opinión con análisis. Vender alarma. Reciclar capturas sin contexto. Usar herramientas como si fueran metodología.
El analista responsable elimina ruido, no lo amplifica.
OSINT con asistencia de IA
Los modelos aceleran clasificación, traducción y normalización. No verifican. La cadena de custodia y el criterio siguen siendo humanos.
Trabajo con IA como apoyo, nunca como fuente.
Preguntas frecuentes
¿OSINT es legal en España?+
Sí, siempre que se limite a fuentes públicamente accesibles, respete el RGPD/LOPDGDD y persiga una finalidad legítima y proporcional. El acceso a información no pública o protegida queda fuera de OSINT.
¿En qué se diferencia OSINT de una investigación privada?+
OSINT es una disciplina de inteligencia basada en fuentes abiertas, con método y trazabilidad. Una investigación privada puede usar OSINT como una de sus técnicas, junto a otras de seguridad privada reguladas.
¿Cuánto tarda una auditoría OSINT corporativa?+
Un primer mapa de exposición puede entregarse en días; una auditoría completa con verificación cruzada y recomendaciones priorizadas requiere semanas, según el perímetro.
¿Qué entregable se obtiene?+
Un informe ejecutivo con hallazgos, hipótesis, nivel de confianza y recomendaciones priorizadas. Más una hoja de decisiones operativa para el responsable de seguridad.
Lecturas relacionadas en el cuaderno
Cada encargo OSINT se evalúa individualmente. Si tu organización necesita un mapa de exposición o una auditoría con criterio, escribe.