OPSEC, Ética y Legalidad

OPSEC para el Investigador

La seguridad operacional (OPSEC) es la disciplina de proteger la propia investigación y al propio investigador. Mucha gente que aprende OSINT se concentra en recolectar información del objetivo y olvida que, mientras lo hace, también está generando su propia huella. Cada visita a una web, cada consulta a una API y cada cuenta usada deja rastros que pueden revelar quién investiga, qué busca y desde dónde. Una OPSEC pobre puede comprometer la investigación, alertar al objetivo o, en casos sensibles, poner en riesgo al propio analista.

El primer principio es la separación de identidades. Un investigador serio nunca usa sus cuentas personales para investigar: emplea cuentas dedicadas (a veces llamadas "sock puppets" o personas de investigación) creadas y mantenidas específicamente para ese fin, sin conexión con su identidad real. Estas cuentas deben construirse con cuidado y coherencia para resultar verosímiles, y siempre dentro de los términos de servicio y la ley.

El segundo principio es el control de la atribución de red. Herramientas como VPNs, navegadores con buen aislamiento o máquinas virtuales dedicadas evitan que la dirección IP real o la configuración del navegador delaten al investigador o vinculen sus actividades. Para investigaciones de mayor sensibilidad, entornos aislados y desechables reducen el riesgo de contaminación cruzada entre casos. El objetivo no es la clandestinidad ilegal, sino una higiene operativa que protege tanto la integridad de la investigación como la privacidad del analista.

Cuentas de Investigación (Sock Puppets) Legítimas

Una cuenta de investigación bien construida se sostiene por su coherencia. Estas prácticas la hacen verosímil y segura, siempre respetando la ley y los términos de servicio de cada plataforma:

• Identidad coherente: un nombre, foto (no robada de una persona real; sirven rostros generados o ilustraciones), zona horaria y patrón de actividad consistentes.
• Infraestructura separada: un correo dedicado, un número virtual cuando la plataforma lo permita, y un navegador o perfil aislado solo para esa persona.
• Antigüedad y actividad mínima: una cuenta recién creada y vacía levanta sospechas; una persona de investigación se cultiva con el tiempo.
• Cero cruce con lo personal: nunca inicies sesión en cuentas personales desde el mismo perfil/navegador ni reutilices contraseñas o fotos.

Los límites son claros: una cuenta de investigación sirve para observar contenido público sin revelar tu identidad real, no para engañar a nadie con fines de acceso indebido, suplantar a una persona concreta ni infiltrarse donde no hay autorización. La verosimilitud es para protegerte a ti, no para vulnerar a otros.

Entornos Aislados y Sandbox

Separar el entorno de investigación del personal reduce el riesgo de contaminación cruzada y protege tu equipo de contenido potencialmente malicioso. Un montaje habitual y accesible:

# Higiene de entorno para OSINT
- Máquina virtual dedicada (p. ej. una imagen Linux) o navegador en contenedor.
- VPN o salida de red separada de tu conexión doméstica identificable.
- Perfiles de navegador aislados: uno por persona/caso, sin sesiones cruzadas.
- Instantáneas (snapshots): restaurar a limpio tras cada caso sensible.
- Descargar y analizar ficheros dentro del entorno aislado, nunca en tu equipo personal.

La idea no es la paranoia, sino la compartimentación: si algo sale mal (un archivo malicioso, una sesión filtrada), el daño queda contenido en un entorno desechable y no toca ni tu identidad ni tus datos personales.

Evitar Dejar Rastro en el Objetivo

Una de las máximas del OSINT es la preferencia por las técnicas pasivas. Recolectar información de fuentes de terceros (Shodan, DNS pasivo, buscadores, archivos históricos) no genera ningún contacto con la infraestructura del objetivo y, por tanto, no deja rastro en sus registros. Las técnicas activas — escanear puertos, resolver subdominios contra sus servidores, visitar directamente sus sistemas — sí dejan huella y pueden disparar alertas o, peor, salirse del marco legal si no hay autorización.

Hay rastros sutiles que los principiantes suelen pasar por alto. Visitar repetidamente un perfil de LinkedIn puede notificar al objetivo "quién vio tu perfil"; interactuar con publicaciones en redes sociales deja constancia visible; descargar archivos puede registrar la IP en logs del servidor. Un investigador consciente entiende qué acciones son observables por el objetivo y las evita o las gestiona deliberadamente cuando trabaja en casos donde el sigilo importa.

La regla práctica es sencilla: maximizar las fuentes pasivas y reservar las activas para cuando sean necesarias y estén autorizadas. Cuanto menos contacto directo con el objetivo, más limpia y más legalmente sólida es la investigación.

Marco Legal

El OSINT se mueve en un terreno donde la frontera entre lo legal y lo ilegal puede ser fina, por lo que conocer el marco jurídico es imprescindible. El principio fundamental es claro: acceder a información públicamente disponible es legal; acceder a sistemas, cuentas o datos sin autorización no lo es. La diferencia no está en lo fácil que sea encontrar algo, sino en si se tiene derecho legítimo a acceder a ello.

Varias áreas legales son especialmente relevantes. Las leyes contra el acceso no autorizado a sistemas informáticos (como la CFAA en Estados Unidos o equivalentes en otros países) penalizan el acceso a sistemas sin permiso, aunque la vulnerabilidad sea trivial. Las leyes de protección de datos (RGPD en Europa y normativas análogas) regulan el tratamiento de datos personales, lo que afecta directamente al OSINT de personas: recopilar, almacenar y procesar datos de individuos puede tener obligaciones legales aun cuando los datos sean públicos. Y las normas sobre acoso, difamación o suplantación pueden aplicar según el uso que se dé a la información.

Las jurisdicciones difieren enormemente, y lo que es legal en un país puede no serlo en otro. El investigador responsable conoce la legislación que le aplica y, en contextos profesionales, se ampara siempre en una autorización por escrito que define claramente el alcance, los objetivos y los límites del trabajo. Antes de un engagement, la regla de oro es contar con reglas de enfrentamiento documentadas: qué activos entran en el alcance, qué técnicas están permitidas, a quién avisar si aparece un hallazgo crítico y cómo se conservan y destruyen los datos. Ante la duda, la consulta legal previa es la opción prudente. Ninguna técnica de este curso justifica saltarse la ley.

La Ética como Brújula

Más allá de lo estrictamente legal, el OSINT exige una brújula ética, porque hay cosas que son legales pero no deberían hacerse. La pregunta no es solo "¿puedo hacer esto?", sino "¿debería?". El criterio de proporcionalidad debe guiar cada decisión: recolectar solo lo necesario para el objetivo legítimo, minimizar el impacto sobre la privacidad de terceros y descartar todo lo que no sirva al propósito declarado.

Hay líneas que nunca deben cruzarse, sea cual sea la justificación. El doxing —publicar información privada para exponer o intimidar a alguien—, el acoso, el stalking, la suplantación de identidad para engañar y la vigilancia no consentida de personas son inaceptables, y a menudo ilegales. El hecho de que las técnicas para hacerlo existan y se enseñen para fines defensivos no las legitima cuando se usan para dañar. La responsabilidad del mal uso recae enteramente en quien lo comete.

El OSINT bien practicado es una fuerza para el bien: protege organizaciones, esclarece la verdad, encuentra personas desaparecidas, combate el fraude y refuerza la seguridad de quienes lo aplican sobre sí mismos. Esa es la vocación de este curso. Las mismas técnicas que un atacante usaría para hacer daño, el investigador ético las usa para defender, comprender y proteger. La diferencia, una vez más, no está en la herramienta, sino en la intención, el respeto a la ley y la integridad de quien la maneja.

Checklist de OPSEC, Ética y Legalidad

• [ ] Autorización por escrito y reglas de enfrentamiento antes de cualquier engagement.
• [ ] Identidades de investigación separadas de las personales, verosímiles y dentro de los TOS.
• [ ] Atribución de red controlada (VPN, entorno aislado) según la sensibilidad.
• [ ] Entorno sandbox desechable para descargar y analizar ficheros.
• [ ] Preferencia por técnicas pasivas; activas solo autorizadas y dentro del alcance.
• [ ] Datos personales tratados según la legislación aplicable; minimización y proporcionalidad.
• [ ] Cero doxing, acoso, suplantación o vigilancia no consentida: líneas infranqueables.