OSINT Forense

¿Qué es OSINT forense?

OSINT (Open Source Intelligence o Inteligencia de Fuentes Abiertas) es la disciplina de recopilar, analizar y correlacionar información procedente de fuentes públicamente accesibles. Cuando esta disciplina se aplica al ámbito forense y judicial, hablamos de OSINT forense: una práctica que combina las técnicas de investigación en fuentes abiertas con los requisitos probatorios exigidos por los tribunales.

La diferencia clave entre el OSINT convencional (utilizado en ciberseguridad, periodismo de investigación o inteligencia empresarial) y el OSINT forense radica en el rigor metodológico: cada dato recopilado debe preservarse con garantías de integridad, trazabilidad y cadena de custodia para que pueda ser admitido como prueba en un procedimiento judicial.

Origen y evolución del OSINT

El concepto de inteligencia de fuentes abiertas tiene su origen en el ámbito militar e institucional. Las agencias de inteligencia llevan décadas recopilando información de medios de comunicación, publicaciones científicas y documentos públicos. Con la digitalización y la explosión de las redes sociales, el volumen de información pública disponible ha crecido exponencialmente:

Diferencias entre OSINT genérico y OSINT forense

Fuentes de información OSINT

Las fuentes de OSINT forense se clasifican en categorías según su naturaleza y el tipo de información que proporcionan. Un investigador forense debe conocer todas estas fuentes y saber cuándo utilizar cada una.

Fuentes de identidad digital

Fuentes de infraestructura técnica

Fuentes institucionales y legales

Herramientas principales de OSINT forense

Maltego

Maltego es la herramienta de referencia para investigaciones OSINT que requieren correlación de entidades. Su interfaz de grafos permite visualizar relaciones complejas entre personas, dominios, IPs, emails, números de teléfono y otros elementos.

Características clave:

Ejemplo práctico de investigación con Maltego:

Entrada inicial: email sospechoso → info@empresa-falsa.com

Transform 1: Email → Dominios asociados
  → empresa-falsa.com (registrado 15/01/2026)
  → empresa-falsa.es (registrado 16/01/2026)

Transform 2: Dominio → WHOIS
  → Registrante: "Juan García" (probablemente falso)
  → Email registrante: juangarcia88@protonmail.com
  → Servidor DNS: cloudflare

Transform 3: Email registrante → Otros dominios
  → otra-estafa.com (registrado 10/12/2025)
  → inversiones-seguras.es (registrado 05/11/2025)

Transform 4: Dominios → IPs
  → 185.234.xx.xx (mismo servidor para los 4 dominios)

Transform 5: IP → Otros dominios alojados
  → 12 dominios adicionales con patrón de estafa

Resultado: Red de 16 dominios fraudulentos vinculados
a una misma infraestructura y email de contacto.

Shodan

Shodan es un motor de búsqueda que indexa dispositivos conectados a Internet. A diferencia de Google, que indexa contenido web, Shodan escanea puertos y servicios, identificando servidores, cámaras IP, dispositivos IoT, sistemas SCADA y cualquier equipo con una IP pública.

Aplicaciones forenses de Shodan:

SpiderFoot

SpiderFoot es un framework de automatización OSINT de código abierto que ejecuta más de 200 módulos de recopilación de datos a partir de un seed (semilla) inicial como un dominio, IP, email o nombre.

Ventajas para el perito forense:

• Automatización completa del reconocimiento inicial
• Generación de informes en múltiples formatos
• Correlación automática entre hallazgos
• Módulos específicos para detección de datos filtrados
• Interfaz web intuitiva con visualización de grafos
• Posibilidad de ejecutar desde la línea de comandos para reproducibilidad

Recon-ng

Recon-ng es un framework modular escrito en Python con una estructura similar a Metasploit, diseñado específicamente para reconocimiento web. Su arquitectura de módulos permite una investigación sistemática y reproducible.

[recon-ng][default] > marketplace search whois
[*] Searching module index for 'whois'...

  Path                                   Description
  ----                                   -----------
  recon/domains-contacts/whois_pocs      WHOIS POC Harvester
  recon/domains-hosts/hackertarget       HackerTarget DNS Lookup
  recon/domains-hosts/threatminer        ThreatMiner DNS Lookup

[recon-ng][default] > modules load recon/domains-contacts/whois_pocs
[recon-ng][default][whois_pocs] > options set SOURCE empresa-falsa.com
[recon-ng][default][whois_pocs] > run

theHarvester

theHarvester se especializa en la recopilación de emails, subdominios, IPs y nombres asociados a un dominio objetivo, utilizando múltiples motores de búsqueda y APIs.

# Recopilación de emails y subdominios asociados a un dominio
theharvester -d empresa-sospechosa.com -b all -l 500

# Resultado típico:
# Emails encontrados: 12
#   admin@empresa-sospechosa.com
#   info@empresa-sospechosa.com
#   jgarcia@empresa-sospechosa.com
#
# Subdominios encontrados: 8
#   mail.empresa-sospechosa.com
#   vpn.empresa-sospechosa.com
#   staging.empresa-sospechosa.com  ← Entorno de pruebas expuesto
#   old.empresa-sospechosa.com      ← Versión antigua del sitio

Herramientas complementarias

Metodología de investigación OSINT forense

La investigación OSINT forense sigue una metodología estructurada que garantiza la admisibilidad de los hallazgos como prueba judicial. A diferencia del OSINT informal, cada paso debe documentarse de forma rigurosa.

Fases de la investigación

Documentación del proceso investigador

La documentación es el elemento que diferencia una investigación OSINT informal de un trabajo pericial. El log de actuaciones debe registrar:

═══════════════════════════════════════════════════
  LOG DE ACTUACIONES — OSINT FORENSE
  Expediente: 2026-OSINT-0042
  Perito: Jonathan Izquierdo
  Fecha inicio: 30/03/2026 09:00 CET
═══════════════════════════════════════════════════

[09:00] Inicio de sesión de investigación
        Entorno: Ubuntu 22.04 VM (hash imagen: a3b4c5d6...)
        VPN: Mullvad (servidor ES-MAD-001)
        Herramientas: Maltego 4.6, SpiderFoot 4.0, Hunchly 2.0
        Hunchly activado — sesión ID: HN-20260330-001

[09:05] Consulta WHOIS: empresa-falsa.com
        Comando: whois empresa-falsa.com
        Resultado: Registrado 15/01/2026 via Namecheap
        Hash resultado: SHA256:e7f8a9b0c1d2...
        Captura: evidencia-001.png (SHA256:f1e2d3c4...)

[09:12] Búsqueda Google Dorks: "empresa-falsa.com"
        Query: site:empresa-falsa.com OR "empresa-falsa.com"
        Resultados: 47 páginas indexadas
        Hash captura: SHA256:b2c3d4e5...

[09:18] Análisis DNS: empresa-falsa.com
        Comando: dig empresa-falsa.com ANY
        Registros A: 185.234.xx.xx
        Registros MX: mail.empresa-falsa.com
        Hash resultado: SHA256:c3d4e5f6...

[...continúa...]

OSINT en redes sociales

Las redes sociales constituyen la fuente de OSINT más rica y, al mismo tiempo, más compleja desde el punto de vista legal. Los perfiles públicos ofrecen una cantidad enorme de información útil para investigaciones forenses.

Técnicas de análisis en redes sociales

Búsqueda inversa de imágenes

La búsqueda inversa de imágenes es una técnica esencial en OSINT forense, especialmente en casos de suplantación de identidad, perfiles falsos o estafas románticas.

Proceso forense de búsqueda inversa:

Análisis de perfiles y patrones de comportamiento

En investigaciones de ciberacoso, amenazas o suplantación de identidad, el análisis del comportamiento del perfil puede revelar información crucial:

OSINT de infraestructura: dominios, IPs y servicios

El análisis de infraestructura técnica es fundamental en investigaciones de fraude online, phishing, distribución de malware y ciberataques. El perito forense puede obtener una cantidad notable de información sobre el atacante analizando la infraestructura que utiliza.

Análisis de dominios

Investigación WHOIS y registros de dominio:

$ whois empresa-estafa.com

Domain Name: EMPRESA-ESTAFA.COM
Registry Domain ID: 2812345678_DOMAIN_COM-VRSN
Registrar WHOIS Server: whois.namecheap.com
Registrar URL: http://www.namecheap.com
Updated Date: 2026-01-15T10:23:45Z
Creation Date: 2026-01-15T10:23:45Z     ← Dominio muy reciente
Registrar: NameCheap, Inc.
Registrant Name: WhoisGuard Protected   ← Datos protegidos
Registrant Organization: WhoisGuard, Inc.
Registrant Country: PA                  ← Panamá (servicio de privacidad)
Name Server: NS1.CLOUDFLARE.COM
Name Server: NS2.CLOUDFLARE.COM

Datos clave para el informe pericial:

Análisis DNS avanzado

# Registros DNS completos
$ dig empresa-estafa.com ANY +noall +answer

empresa-estafa.com.  300  IN  A      185.234.xx.xx
empresa-estafa.com.  300  IN  MX     10 mail.empresa-estafa.com.
empresa-estafa.com.  300  IN  TXT    "v=spf1 include:_spf.google.com ~all"
empresa-estafa.com.  300  IN  NS     ns1.cloudflare.com.

# Historial DNS (SecurityTrails)
# Revela IPs anteriores, cambios de hosting, otros dominios en la misma IP

Subdominios descubiertos y su relevancia:

Análisis de IPs y geolocalización

# Consulta Shodan de la IP del servidor sospechoso
$ shodan host 185.234.xx.xx

IP: 185.234.xx.xx
Organization: Hosting Company X
Country: Netherlands
City: Amsterdam
OS: Ubuntu

Ports:
  80/tcp   HTTP     nginx 1.18.0
  443/tcp  HTTPS    nginx 1.18.0
  22/tcp   SSH      OpenSSH 8.9p1
  8080/tcp HTTP     Apache Tomcat 9.0.65  ← Posible panel de control

Vulnerabilities:
  CVE-2023-XXXXX (Critical)  ← Servidor sin parchear

Certificados SSL y transparencia

Los registros de Certificate Transparency (CT) son una mina de información para OSINT:

# Consulta a crt.sh para descubrir todos los certificados
# emitidos para un dominio (incluidos subdominios)
$ curl -s "https://crt.sh/?q=empresa-estafa.com&output=json" | jq '.[].name_value' | sort -u

empresa-estafa.com
*.empresa-estafa.com
mail.empresa-estafa.com
admin.empresa-estafa.com
panel.empresa-estafa.com        ← Subdominio no encontrado por DNS
payment.empresa-estafa.com      ← Posible sistema de cobros
api-internal.empresa-estafa.com ← API interna expuesta

Marco legal del OSINT en España

El OSINT forense opera dentro de un marco legal que el perito debe conocer en profundidad. La línea entre investigación legítima y delito puede ser delgada, y cruzarla invalida toda la investigación como prueba.

Legislación aplicable

Qué se puede y qué no se puede hacer

Jurisprudencia relevante

STS 300/2015: Estableció criterios para la admisibilidad de evidencias digitales obtenidas de fuentes abiertas, reconociendo su validez cuando se garantiza la cadena de custodia y la integridad de los datos.

SAP Madrid 452/2019: Admitió como prueba capturas de pantalla de perfiles públicos de redes sociales, siempre que estuvieran acompañadas de un informe pericial que verificara su autenticidad y la metodología de obtención.

STS 489/2018: Declaró nula la prueba obtenida mediante acceso a un perfil privado de Facebook usando credenciales proporcionadas por un tercero, al vulnerar el derecho a la intimidad del investigado.

STSJ Cataluña 3874/2020: Validó una investigación OSINT completa realizada por un perito informático forense en un caso de competencia desleal, destacando la importancia de la documentación metodológica y la reproducibilidad del proceso.

Comparación: OSINT vs hacking

Una de las confusiones más frecuentes es la frontera entre OSINT legítimo y técnicas de hacking. Es fundamental que tanto el perito como el abogado que encarga la investigación comprendan esta diferencia.

Diferencias técnicas y legales

Zonas grises

Existen situaciones que pueden generar dudas y que el perito debe manejar con prudencia:

Casos reales de OSINT forense

Caso 1: Identificación de red de phishing bancario

Contexto: Un bufete de abogados encargó una investigación OSINT para identificar la infraestructura detrás de una campaña de phishing que había afectado a 47 clientes de un banco español, con un perjuicio total de 380.000 euros.

Investigación OSINT realizada:

Resultado: Se identificó un grupo organizado con base en Europa del Este que operaba 12 dominios de phishing bancario. La investigación OSINT fue clave para obtener una orden de cooperación judicial internacional.

Caso 2: Suplantación de identidad en redes sociales

Contexto: Un empresario descubrió que existían perfiles falsos en LinkedIn, Instagram y Twitter que utilizaban su nombre, fotografías y datos profesionales para estafar a potenciales inversores.

Investigación OSINT:

Resultado: El informe pericial OSINT documentó la suplantación con evidencias suficientes para que el juzgado ordenara a las plataformas la eliminación de los perfiles falsos y la entrega de datos de registro (IP de creación, email asociado).

Caso 3: Competencia desleal y fuga de información

Contexto: Una empresa tecnológica sospechaba que un exempleado estaba revelando información confidencial a un competidor. El caso requería demostrar la conexión entre el exempleado y la empresa rival sin acceder a comunicaciones privadas.

Investigación OSINT:

Resultado: La investigación OSINT demostró la conexión y la fuga de información sin necesidad de acceder a ningún sistema privado. El informe pericial fue clave para la demanda de competencia desleal.

Preservación de evidencias OSINT

La preservación adecuada de las evidencias recopiladas mediante OSINT es lo que otorga valor probatorio a la investigación. Sin una cadena de custodia rigurosa, los hallazgos más reveladores pueden ser impugnados y desestimados por el tribunal.

Requisitos de la cadena de custodia OSINT

Estructura de carpetas forenses

caso-2026-OSINT-0042/
├── 00-encargo/
│   ├── acuerdo-encargo.pdf
│   └── alcance-investigacion.pdf
├── 01-evidencias/
│   ├── whois/
│   │   ├── empresa-falsa-com-whois.txt
│   │   └── empresa-falsa-com-whois.txt.sha256
│   ├── dns/
│   │   ├── empresa-falsa-com-dns-all.txt
│   │   └── empresa-falsa-com-dns-all.txt.sha256
│   ├── redes-sociales/
│   │   ├── perfil-instagram-captura-20260330.png
│   │   ├── perfil-instagram-captura-20260330.png.sha256
│   │   ├── perfil-twitter-captura-20260330.png
│   │   └── perfil-twitter-captura-20260330.png.sha256
│   ├── shodan/
│   │   ├── ip-185234xxxx-shodan.json
│   │   └── ip-185234xxxx-shodan.json.sha256
│   └── certificados/
│       ├── crt-sh-empresa-falsa.json
│       └── crt-sh-empresa-falsa.json.sha256
├── 02-analisis/
│   ├── maltego-grafo-relaciones.mtgx
│   ├── timeline-actividad.xlsx
│   └── correlacion-entidades.pdf
├── 03-log-actuaciones/
│   ├── log-completo.txt
│   └── hunchly-export.pdf
├── 04-informe/
│   ├── informe-pericial-OSINT-2026-042.pdf
│   ├── informe-pericial-OSINT-2026-042.pdf.sha256
│   └── anexos/
├── hashes-maestro.txt          ← Hash global de todo el contenido
└── hashes-maestro.txt.sha256

Preservación de páginas web

Las páginas web son efímeras: pueden ser modificadas o eliminadas en cualquier momento. El perito debe preservarlas de forma inmediata y verificable:

Limitaciones éticas y buenas prácticas

Código ético del investigador OSINT forense

Errores comunes en investigaciones OSINT

Google Dorks para OSINT forense

Los Google Dorks (operadores avanzados de búsqueda) son una de las herramientas más potentes y accesibles del OSINT forense. Permiten extraer información pública que no aparece en búsquedas convencionales.

Operadores fundamentales

Dorks aplicados a investigación forense

Búsqueda de documentos expuestos:

# Documentos confidenciales de una empresa
site:empresa-objetivo.com filetype:pdf "confidencial"
site:empresa-objetivo.com filetype:xlsx "nómina" OR "salario"
site:empresa-objetivo.com filetype:doc "uso interno"

# Presentaciones con datos sensibles
site:empresa-objetivo.com filetype:pptx "estrategia" OR "presupuesto"

# Documentos de configuración
site:empresa-objetivo.com filetype:cfg OR filetype:conf OR filetype:ini

# Archivos de backup
site:empresa-objetivo.com filetype:sql OR filetype:bak OR filetype:old

Búsqueda de infraestructura expuesta:

# Paneles de administración
site:empresa-objetivo.com inurl:admin OR inurl:login OR inurl:panel

# Directorios abiertos
site:empresa-objetivo.com intitle:"index of" "parent directory"

# Archivos de log expuestos
site:empresa-objetivo.com filetype:log

# Phpinfo expuesto (revela configuración del servidor)
site:empresa-objetivo.com inurl:phpinfo.php

# Repositorios Git expuestos
site:empresa-objetivo.com inurl:.git

Búsqueda de información sobre personas:

# Perfiles profesionales
"nombre completo" site:linkedin.com OR site:xing.com
"nombre completo" curriculum OR CV filetype:pdf

# Presencia en redes sociales
"nombre completo" site:twitter.com OR site:instagram.com
"email@ejemplo.com" -site:ejemplo.com

# Datos en registros públicos
"nombre completo" site:boe.es OR site:registradores.org

# Participación en foros
"nombre completo" OR "nickname" site:forocoches.com OR site:reddit.com

Automatización de Google Dorks

Para investigaciones a gran escala, los dorks pueden automatizarse respetando los límites de uso de Google:

# Ejemplo conceptual (NO ejecutar contra Google sin control de tasa)
import time

dorks = [
    'site:empresa-objetivo.com filetype:pdf',
    'site:empresa-objetivo.com inurl:admin',
    'site:empresa-objetivo.com intitle:"index of"',
    '"empresa-objetivo" filetype:xlsx',
]

for dork in dorks:
    # Registrar cada consulta en el log de actuaciones
    log_entry = f"[{datetime.now()}] Google Dork: {dork}"
    save_to_log(log_entry)

    # Ejecutar búsqueda (usar API oficial de Google Custom Search)
    results = google_custom_search(dork)

    # Preservar resultados con hash
    for result in results:
        screenshot = capture_page(result.url)
        hash_sha256 = calculate_hash(screenshot)
        save_evidence(screenshot, hash_sha256)

    # Respetar rate limiting
    time.sleep(30)  # Mínimo 30 segundos entre consultas

Análisis de la dark web con OSINT

El análisis de la dark web es una extensión del OSINT forense que permite investigar actividades ilícitas relacionadas con el caso: venta de datos robados, comunicaciones de grupos criminales, marketplaces de herramientas de hacking, y foros donde se planifican ataques.

Fuentes accesibles en la dark web

Consideraciones legales del OSINT en dark web

Herramientas para OSINT en dark web

Formación y certificaciones en OSINT

Para el perito informático forense que desee especializarse en OSINT, existen diversas formaciones y certificaciones reconocidas:

Certificaciones internacionales

Recursos de aprendizaje gratuitos

OSINT con inteligencia artificial (2025-2026)

La incorporación de herramientas de inteligencia artificial al OSINT forense ha transformado la disciplina, permitiendo analizar volúmenes de datos que antes resultaban inabarcables para un investigador individual.

Aplicaciones de IA en OSINT forense

Riesgos de la IA en OSINT

Conclusión

El OSINT forense es una disciplina que combina la potencia de las técnicas de inteligencia de fuentes abiertas con el rigor probatorio exigido por los tribunales. Para que una investigación OSINT tenga valor como prueba judicial, debe cumplir requisitos estrictos de cadena de custodia, documentación metodológica y respeto al marco legal.

Las herramientas como Maltego, Shodan, SpiderFoot y theHarvester permiten al perito informático forense recopilar y correlacionar información pública de forma eficiente, pero es la metodología — la documentación del proceso, la preservación de evidencias y la imparcialidad del análisis — lo que otorga valor probatorio a los hallazgos.

En un mundo donde la mayor parte de nuestra actividad deja rastros digitales en fuentes abiertas, el OSINT forense se ha convertido en una herramienta imprescindible para la investigación de fraudes, suplantaciones de identidad, competencia desleal, ciberacoso y todo tipo de delitos informáticos.

Referencias y fuentes

1. NIST SP 800-86 — Guide to Integrating Forensic Techniques into Incident Response. National Institute of Standards and Technology. Disponible en: csrc.nist.gov

2. OSINT Framework — Directorio de herramientas y recursos OSINT clasificados por categoría. Disponible en: osintframework.com

3. Bellingcat — Online Investigation Toolkit. Guía de herramientas y metodologías OSINT para investigación. Disponible en: bellingcat.com

4. Michael Bazzell — “Open Source Intelligence Techniques” (10th Edition, 2023). Referencia académica fundamental sobre metodología OSINT.

5. Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal — Artículos 197, 197 bis, 197 ter (delitos de descubrimiento y revelación de secretos).

6. Reglamento (UE) 2016/679 (RGPD) — Artículos 6 y 9 sobre bases de legitimación y categorías especiales de datos.

7. STS 300/2015 — Sentencia del Tribunal Supremo sobre admisibilidad de evidencias digitales de fuentes abiertas.

8. INCIBE — “Guía para la gestión de incidentes de seguridad”. Instituto Nacional de Ciberseguridad de España. Disponible en: incibe.es

9. ENISA — “OSINT for Cyber Security”. European Union Agency for Cybersecurity. Disponible en: enisa.europa.eu

10. RFC 7258 — Pervasive Monitoring Is an Attack. Internet Engineering Task Force. Establece límites éticos en la recopilación de datos.

11. Maltego Technologies — Documentación oficial de Maltego. Disponible en: docs.maltego.com

12. SAP Madrid 452/2019 — Sentencia de la Audiencia Provincial de Madrid sobre admisibilidad de capturas de redes sociales como prueba pericial.

Última actualización: 30 de marzo de 2026 Categoría: Análisis Forense Código: ANA-055