Hace poco me escribió un detective privado que forma parte de mi comunidad OSINT Revolution, y al que había contratado una empresa de logística.
Esta empresa sospechaba que uno de sus empleados filtraba información confidencial a la competencia, pero no tenía pruebas sólidas para acusarlo.
¿Qué hizo este detective?
- Lo primero, buscar al sospechoso en redes sociales. De esta forma localizó su perfil de LinkedIn y descubrió que, recientemente, este empleado había comenzado a seguir a directivos de una empresa competidora (sí, tal cual lo lees).
- En X (antes Twitter), una búsqueda con operadores avanzados reveló que el empleado había interactuado con un reclutador de la empresa rival… justo cuando las filtraciones comenzaron.
- Buceando en bases de datos de filtraciones, encontró un correo personal del sospechoso que desconocían.
- Buscó en algunos foros conocidos donde se realizan compraventas de información empresarial y… ¡bingo! En uno de esos foros había un perfil asociado a ese email.
- Y como colofón: en los mensajes de este foro localizó ofertas de venta de información que coincidían con la de la empresa afectada.
Esta historia contiene dos lecciones muy importantes:
La primera es que hoy en día la información sensible es moneda de cambio, y es fundamental protegerla.
¿Y la segunda?
Que a la hora de proteger esa información no solo deben preocuparte las amenazas externas; a veces, el enemigo lo tienes dentro de casa.
Ahí es donde entra el tema del que voy a hablarte en este artículo:
La OPSEC o “seguridad operativa”.
Un concepto que cada vez se utiliza más dentro del mundo de la ciberseguridad, y que permite blindar la información confidencial de una empresa u organización.
Aquí te lo explico en detalle y te cuento:
- En qué consiste exactamente la OPSEC o seguridad operacional.
- Los 5 pasos de un proceso de OPSEC, y cómo usar OSINT para ir un paso más allá en la protección de tu información confidencial.
Vamos allá.
IMPORTANTE
Aunque está más asociado al mundo empresarial, OPSEC también nos sirve a los investigadores para protegernos durante una investigación.
Sobre esto también te hablaré en este artículo.
Curso Gratuito de OSINT
(Encuentra cualquier información en minutos)
Aprende a buscar datos de forma rápida y sencilla, sin herramientas costosas ni procesos complicados. Descubre cómo acceder a información oculta, rastrear perfiles y optimizar tu tiempo con técnicas avanzadas.
🚀 Solo 30 plazas al mes. Inscríbete antes de que se agoten.
Sí, quiero entrar ahora
Índice de contenido
👉 [OPSEC] Qué es y para qué sirve la seguridad operativa
OPSEC es la abreviatura de “Operational Security” (seguridad operacional).
Se trata de un concepto que nació en el seno del ejército de Estados Unidos durante la guerra de Vietnam, y que hoy en día se ha convertido en un proceso clave dentro de la ciberseguridad para empresas y organizaciones.
Explicado de manera sencilla, podríamos decir que se trata de una auditoría de seguridad.
El objetivo de un proceso OPSEC es proteger la información sensible de una organización y evitar que caiga en manos indeseadas.
Y es un proceso que consta de 5 pasos, según estableció la NSA (la Agencia Nacional de Seguridad de EE. UU.).
Son estos:
✅ 1. Identificación de datos sensibles
Imagina que eres un analista de ciberseguridad.
Una empresa te ha contratado para que revises su seguridad operacional y le ayudes a proteger su información sensible.
Para eso, lo primero será determinar cuál es esa información a proteger. 😉
Por ejemplo:
- Datos personales de sus clientes.
- Información sobre productos o servicios en desarrollo.
- Credenciales de acceso a sistemas internos.
Ya sabes cuál es la información sensible de la empresa… pero te falta por saber de quién debes protegerla.
✅ 2. Definición de amenazas
Dentro del proceso OPSEC, una “amenaza” es cualquier actor que podría divulgar (voluntaria o involuntariamente) esa información sensible.
En este sentido hay que diferenciar entre amenazas:
- Externas: hackers que podrían colarse en el sistema y robar la información para dañar a la empresa (o para chantajearla), o competidores que quieran obtener ventajas competitivas, por ejemplo.
- Internas: cualquier empleado que tenga acceso a esa información sensible podría filtrarla, ya sea por interés (como en el caso que te contaba al principio) o por descuido (un trabajador que hace clic en un correo de phishing…).
Hay muchísimos casos de filtraciones que se han cometido por un error humano, y es importante que tengas esto presente dentro de tu análisis.
✅ 3. Análisis de vulnerabilidades
Ahora hay que averiguar dónde está más desprotegida esa información y dónde es más probable que se filtre.
Por ejemplo, muchas fugas de información empresarial se producen por:
- Procesos internos poco seguros: como compartir claves de acceso mediante emails de texto plano, en lugar de usar un gestor de contraseñas u otro método más fiable.
- Falta de formación interna: para evitar que el personal caiga en prácticas de ingeniería social (como el phishing).
- Problemas de ciberseguridad: plugins desactualizados que son vulnerables a ataques, documentos internos desprotegidos…
En este punto, dominar las técnicas OSINT puede ayudarte a identificar más vulnerabilidades.
¿Cómo?
Por ejemplo, puedes utilizar búsquedas avanzadas en Google para comprobar si en los resultados de búsqueda aparecen archivos sensibles (como documentos confidenciales o archivos con contraseñas).
Quizá te parece imposible, pero te aseguro que es más común de lo que podrías pensar.
✅ 4. Evaluación del riesgo
La realidad es que es imposible protegerte frente a todo lo que podría pasar (los riesgos son casi infinitos).
Hay que priorizar.
Por eso, el 4º paso dentro de un proceso de OPSEC es analizar todas las potenciales amenazas para la seguridad de la empresa y evaluar:
- Cómo de probable es que esa amenaza se materialice.
- Cuánto daño provocaría si llegase a ocurrir.
Aquí también puedes usar OSINT para evaluar de forma más exhaustiva el riesgo de algunas amenazas.
Por ejemplo: imagina que el plugin (un tipo de software que se instala en una página web) que usa esa empresa para crear sus formularios de contacto lleva tiempo desactualizado.
Eso ya de por sí esa una alerta naranja, porque:
- Los programas desactualizados son más vulnerables a ataques.
- Si un hacker usara esa “puerta abierta” para acceder al servidor de la empresa o colar un virus en su web, podría obtener datos sensibles de sus clientes (como su información bancaria).
Pero es que te pones a investigar en foros de hackers y descubres que hace muy poco se ha detectado una vulnerabilidad en la versión antigua de ese mismo plugin.
Aquí ya pasamos de alerta naranja a roja (el riesgo de sufrir un ataque es muy alto).
¿Podrías resolver un caso completo? (Sin quedarte atascado a mitad de investigación) Si la respuesta te hace dudar, el método completo paso a paso —con casos reales— está en el curso gratuito. 🚀 Solo 30 plazas al mes. Inscríbete antes de que se agoten.
✅ 5. Aplicación de medidas de protección
El último paso es actuar contra los riesgos más altos (los que es más probable que se produzcan y/o tendrían un impacto mayor).
Aquí los pasos a seguir variarán muchísimo en función de la amenaza.
No es lo mismo solucionar un agujero en la seguridad de la web que modificar el proceso por el que se comparten las claves de acceso con un nuevo empleado, por ejemplo.
👉 [OSINT y OPSEC] Cómo mejorar la seguridad operativa en nuestro trabajo como investigadores
Mientras me documentaba sobre la seguridad operacional para redactar este artículo, no dejaba de pensar:
“Todo esto también lo podríamos aplicar los investigadores OSINT”.
Y es que ya sabes que, cuando trabajamos en un caso, mantener nuestra información a salvo de los ciberdelincuentes es fundamental.
Por eso ahora quiero hablarte sobre cómo puedes aplicar OPSEC en tus investigaciones con OSINT.
✅ 1. ¿Qué información debes proteger?
Como investigadores, tenemos que tener mucho cuidado con:
- Nuestra información personal: si nuestro objetivo se entera de que somos polis, podemos echar por tierra toda la investigación. Por eso hay que tener mucho cuidado de no revelar tu identidad.
- Los datos de la propia investigación: también es importante tomar medidas para que los malos no se enteren de que estás «metiendo las narices» en sus asuntos. Esto implica, por ejemplo, no usar técnicas que podrían hacer sospechar a nuestro objetivo que lo estamos investigando.
Vamos con el siguiente paso.
✅ 2. ¿Cómo de vulnerable es esa información?
Siguiente pregunta: ¿hasta qué punto es probable que tus datos (o los de tu investigación) se filtren?
Dependerá de lo cuidadoso que hayas sido. 😉
Por ejemplo:
- ¿Te has creado un perfil falso para investigar en redes sociales?
- Si has tenido que bucear en la Dark Web, ¿has tomado las medidas adecuadas para proteger tu identidad?
Si no, corres el riesgo de que los cibercriminales acaben descubriendo algún dato personal tuyo.
✅ 3. ¿Qué medidas vas a tomar?
Hay algunas básicas, como:
- Usar una VPN para proteger tu IP.
- Crearte un sock puppet para investigar en redes sociales o foros.
- No usar tus dispositivos personales para investigar (o si no te queda otra opción, al menos crearte un entorno de trabajo virtual, como te explico en este otro artículo).
- Usar gestores de contraseñas como KeepassXC para almacenar tus claves de forma segura.
Estas son algunas pautas generales, pero según la clase de investigación que estés llevando a cabo tendrás que tomar unas medidas de seguridad u otras (por ejemplo, en la Dark Web es obligatorio protegerte usando navegadores anónimos como TOR).
👉 ¿Quieres saber cómo encontrar cualquier dato en Internet (y proteger tu información sensible?
Si has llegado hasta aquí, lo más probable es que:
- O te dedicas a la ciberseguridad y quieres ser aún más eficaz en tu trabajo (y por eso te estás informando sobre la OSPEC).
- O eres un investigador OSINT como yo y quieres saber cómo protegerte.
En cualquiera de los dos casos, lo que te voy a contar ahora te interesa.
He creado una comunidad. Se llama OSINT Revolution, y en ella encontrarás:
- Todas mis formaciones: en ellas te explico desde cómo protegerte durante una investigación hasta cómo recabar cualquier dato en Internet (sin ser un experto en programación, solo aplicando la lógica y técnicas OSINT como las que usó el detective del que te hablé al principio del artículo).
- Otros profesionales como tú: en OSINT Revolution hay una comunidad formada por policías, investigadores privados, expertos en ciberseguridad… Eso nos permite compartir nuestros aprendizajes y apoyarnos mutuamente. ¿Se te ha atascado un caso? Puedes compartirlo con la comunidad (y conmigo) en las sesiones en directo que realizamos regularmente, y entre todos te daremos ideas para avanzar.
En este enlace tienes toda la información y el acceso a la comunidad de OSINT Revolution.
Échale un ojo y… te veo dentro.
Con esto me despido ya por hoy, pero recuerda que si te ha quedado cualquier duda sobre lo que te he contado en este artículo, puedes usar los comentarios para planteármela.
Ya sabes que me encanta compartir información valiosa con los seguidores de Ciberpatrulla.
+1.000 profesionales ya se han formado (Policías, detectives y analistas de ciberseguridad) Si has llegado hasta el final del artículo, ya sabes si esto te interesa. El siguiente paso es gratuito. 🚀 Solo 30 plazas al mes. Inscríbete antes de que se agoten.
Como decía Sherlock Holmes: ya conoces mis métodos, ahora aplícalos. 😉
Referencias:
https://media.defense.gov/2021/Jun/29/2002751705/-1/-1/0/THE_NATIONAL_OPSEC_PROGRAM.PDF
https://www.maltego.com/blog/everything-you-need-to-know-about-operational-security-opsec/
