OSINT Forense

¿Qué es OSINT forense?

OSINT (Open Source Intelligence o Inteligencia de Fuentes Abiertas) es la disciplina de recopilar, analizar y correlacionar información procedente de fuentes públicamente accesibles. Cuando esta disciplina se aplica al ámbito forense y judicial, hablamos de OSINT forense: una práctica que combina las técnicas de investigación en fuentes abiertas con los requisitos probatorios exigidos por los tribunales.

La diferencia clave entre el OSINT convencional (utilizado en ciberseguridad, periodismo de investigación o inteligencia empresarial) y el OSINT forense radica en el rigor metodológico: cada dato recopilado debe preservarse con garantías de integridad, trazabilidad y cadena de custodia para que pueda ser admitido como prueba en un procedimiento judicial.

Origen y evolución del OSINT

El concepto de inteligencia de fuentes abiertas tiene su origen en el ámbito militar e institucional. Las agencias de inteligencia llevan décadas recopilando información de medios de comunicación, publicaciones científicas y documentos públicos. Con la digitalización y la explosión de las redes sociales, el volumen de información pública disponible ha crecido exponencialmente:

Diferencias entre OSINT genérico y OSINT forense

Fuentes de información OSINT

Las fuentes de OSINT forense se clasifican en categorías según su naturaleza y el tipo de información que proporcionan. Un investigador forense debe conocer todas estas fuentes y saber cuándo utilizar cada una.

Fuentes de identidad digital

Fuentes de infraestructura técnica

Fuentes institucionales y legales

Herramientas principales de OSINT forense

Maltego

Maltego es la herramienta de referencia para investigaciones OSINT que requieren correlación de entidades. Su interfaz de grafos permite visualizar relaciones complejas entre personas, dominios, IPs, emails, números de teléfono y otros elementos.

Características clave:

Ejemplo práctico de investigación con Maltego:

Entrada inicial: email sospechoso → info@empresa-falsa.com

Transform 1: Email → Dominios asociados
  → empresa-falsa.com (registrado 15/01/2026)
  → empresa-falsa.es (registrado 16/01/2026)

Transform 2: Dominio → WHOIS
  → Registrante: "Juan García" (probablemente falso)
  → Email registrante: juangarcia88@protonmail.com
  → Servidor DNS: cloudflare

Transform 3: Email registrante → Otros dominios
  → otra-estafa.com (registrado 10/12/2025)
  → inversiones-seguras.es (registrado 05/11/2025)

Transform 4: Dominios → IPs
  → 185.234.xx.xx (mismo servidor para los 4 dominios)

Transform 5: IP → Otros dominios alojados
  → 12 dominios adicionales con patrón de estafa

Resultado: Red de 16 dominios fraudulentos vinculados
a una misma infraestructura y email de contacto.

Shodan

Shodan es un motor de búsqueda que indexa dispositivos conectados a Internet. A diferencia de Google, que indexa contenido web, Shodan escanea puertos y servicios, identificando servidores, cámaras IP, dispositivos IoT, sistemas SCADA y cualquier equipo con una IP pública.

Aplicaciones forenses de Shodan:

SpiderFoot

SpiderFoot es un framework de automatización OSINT de código abierto que ejecuta más de 200 módulos de recopilación de datos a partir de un seed (semilla) inicial como un dominio, IP, email o nombre.

Ventajas para el perito forense:

• Automatización completa del reconocimiento inicial
• Generación de informes en múltiples formatos
• Correlación automática entre hallazgos
• Módulos específicos para detección de datos filtrados
• Interfaz web intuitiva con visualización de grafos
• Posibilidad de ejecutar desde la línea de comandos para reproducibilidad

Recon-ng

Recon-ng es un framework modular escrito en Python con una estructura similar a Metasploit, diseñado específicamente para reconocimiento web. Su arquitectura de módulos permite una investigación sistemática y reproducible.

[recon-ng][default] > marketplace search whois
[*] Searching module index for 'whois'...

  Path                                   Description
  ----                                   -----------
  recon/domains-contacts/whois_pocs      WHOIS POC Harvester
  recon/domains-hosts/hackertarget       HackerTarget DNS Lookup
  recon/domains-hosts/threatminer        ThreatMiner DNS Lookup

[recon-ng][default] > modules load recon/domains-contacts/whois_pocs
[recon-ng][default][whois_pocs] > options set SOURCE empresa-falsa.com
[recon-ng][default][whois_pocs] > run

theHarvester

theHarvester se especializa en la recopilación de emails, subdominios, IPs y nombres asociados a un dominio objetivo, utilizando múltiples motores de búsqueda y APIs.

# Recopilación de emails y subdominios asociados a un dominio
theharvester -d empresa-sospechosa.com -b all -l 500

# Resultado típico:
# Emails encontrados: 12
#   admin@empresa-sospechosa.com
#   info@empresa-sospechosa.com
#   jgarcia@empresa-sospechosa.com
#
# Subdominios encontrados: 8
#   mail.empresa-sospechosa.com
#   vpn.empresa-sospechosa.com
#   staging.empresa-sospechosa.com  ← Entorno de pruebas expuesto
#   old.empresa-sospechosa.com      ← Versión antigua del sitio

Herramientas complementarias

Metodología de investigación OSINT forense

La investigación OSINT forense sigue una metodología estructurada, que es lo que permite defender los hallazgos como prueba judicial. A diferencia del OSINT informal, cada paso debe documentarse de forma rigurosa.

Fases de la investigación

Documentación del proceso investigador

La documentación es el elemento que diferencia una investigación OSINT informal de un trabajo pericial. El log de actuaciones debe registrar:

═══════════════════════════════════════════════════
  LOG DE ACTUACIONES — OSINT FORENSE
  Expediente: 2026-OSINT-0042
  Perito: Jonathan Izquierdo
  Fecha inicio: 30/03/2026 09:00 CET
═══════════════════════════════════════════════════

[09:00] Inicio de sesión de investigación
        Entorno: Ubuntu 22.04 VM (hash imagen: a3b4c5d6...)
        VPN: Mullvad (servidor ES-MAD-001)
        Herramientas: Maltego 4.6, SpiderFoot 4.0, Hunchly 2.0
        Hunchly activado — sesión ID: HN-20260330-001

[09:05] Consulta WHOIS: empresa-falsa.com
        Comando: whois empresa-falsa.com
        Resultado: Registrado 15/01/2026 via Namecheap
        Hash resultado: SHA256:e7f8a9b0c1d2...
        Captura: evidencia-001.png (SHA256:f1e2d3c4...)

[09:12] Búsqueda Google Dorks: "empresa-falsa.com"
        Query: site:empresa-falsa.com OR "empresa-falsa.com"
        Resultados: 47 páginas indexadas
        Hash captura: SHA256:b2c3d4e5...

[09:18] Análisis DNS: empresa-falsa.com
        Comando: dig empresa-falsa.com ANY
        Registros A: 185.234.xx.xx
        Registros MX: mail.empresa-falsa.com
        Hash resultado: SHA256:c3d4e5f6...

[...continúa...]

OSINT en redes sociales

Las redes sociales constituyen la fuente de OSINT más rica y, al mismo tiempo, más compleja desde el punto de vista legal. Los perfiles públicos ofrecen una cantidad enorme de información útil para investigaciones forenses.

Técnicas de análisis en redes sociales

Búsqueda inversa de imágenes

La búsqueda inversa de imágenes es una técnica esencial en OSINT forense, especialmente en casos de suplantación de identidad, perfiles falsos o estafas románticas.

Proceso forense de búsqueda inversa:

Análisis de perfiles y patrones de comportamiento

En investigaciones de ciberacoso, amenazas o suplantación de identidad, el análisis del comportamiento del perfil puede revelar información crucial:

OSINT de infraestructura: dominios, IPs y servicios

El análisis de infraestructura técnica es fundamental en investigaciones de fraude online, phishing, distribución de malware y ciberataques. El perito forense puede obtener una cantidad notable de información sobre el atacante analizando la infraestructura que utiliza.

Análisis de dominios

Investigación WHOIS y registros de dominio:

$ whois empresa-estafa.invalid

Domain Name: EMPRESA-ESTAFA.COM
Registry Domain ID: 2812345678_DOMAIN_COM-VRSN
Registrar WHOIS Server: whois.namecheap.com
Registrar URL: http://www.namecheap.com
Updated Date: 2026-01-15T10:23:45Z
Creation Date: 2026-01-15T10:23:45Z     ← Dominio muy reciente
Registrar: NameCheap, Inc.
Registrant Name: WhoisGuard Protected   ← Datos protegidos
Registrant Organization: WhoisGuard, Inc.
Registrant Country: PA                  ← Panamá (servicio de privacidad)
Name Server: NS1.CLOUDFLARE.COM
Name Server: NS2.CLOUDFLARE.COM

Datos clave para el informe pericial:

Análisis DNS avanzado

# Registros DNS completos
$ dig empresa-estafa.invalid ANY +noall +answer

empresa-estafa.invalid.  300  IN  A      185.234.xx.xx
empresa-estafa.invalid.  300  IN  MX     10 mail.empresa-estafa.invalid.
empresa-estafa.invalid.  300  IN  TXT    "v=spf1 include:_spf.google.com ~all"
empresa-estafa.invalid.  300  IN  NS     ns1.cloudflare.com.

# Historial DNS (SecurityTrails)
# Revela IPs anteriores, cambios de hosting, otros dominios en la misma IP

Subdominios descubiertos y su relevancia:

Análisis de IPs y geolocalización

# Consulta Shodan de la IP del servidor sospechoso
$ shodan host 185.234.xx.xx

IP: 185.234.xx.xx
Organization: Hosting Company X
Country: Netherlands
City: Amsterdam
OS: Ubuntu

Ports:
  80/tcp   HTTP     nginx 1.18.0
  443/tcp  HTTPS    nginx 1.18.0
  22/tcp   SSH      OpenSSH 8.9p1
  8080/tcp HTTP     Apache Tomcat 9.0.65  ← Posible panel de control

Vulnerabilities:
  CVE-2023-XXXXX (Critical)  ← Servidor sin parchear

Certificados SSL y transparencia

Los registros de Certificate Transparency (CT) son una mina de información para OSINT:

# Consulta a crt.sh para descubrir todos los certificados
# emitidos para un dominio (incluidos subdominios)
$ curl -s "https://crt.sh/?q=empresa-estafa.invalid&output=json" | jq '.[].name_value' | sort -u

empresa-estafa.invalid
*.empresa-estafa.invalid
mail.empresa-estafa.invalid
admin.empresa-estafa.invalid
panel.empresa-estafa.invalid        ← Subdominio no encontrado por DNS
payment.empresa-estafa.invalid      ← Posible sistema de cobros
api-internal.empresa-estafa.invalid ← API interna expuesta

Marco legal del OSINT en España

El OSINT forense opera dentro de un marco legal que el perito debe conocer en profundidad. La línea entre investigación legítima y delito puede ser delgada, y cruzarla invalida toda la investigación como prueba.

Legislación aplicable

Qué se puede y qué no se puede hacer

Jurisprudencia relevante

STS 300/2015 (ECLI:ES:TS:2015:2047, Sala de lo Penal, 19 de mayo de 2015): no trata de fuentes abiertas, sino de la autenticidad de la prueba de mensajería cuando se impugna — establece que la impugnación obliga a acreditar su origen e integridad por medios periciales. Es trasladable al material recopilado en OSINT en un punto: una captura no se sostiene sola si la contraparte la niega, venga de donde venga.

Marco probatorio: las capturas de perfiles públicos entran por el artículo 384 de la LEC como instrumentos de archivo y reproducción de datos. Impugnadas, se aplica el artículo 326.2, que permite proponer prueba pericial u otro medio útil para acreditar su autenticidad; a falta de prueba que lo resuelva, el tribunal valora conforme a la sana crítica. Estas cautelas facilitan la autenticación y la contradicción, pero no aseguran por sí solas la admisión.

STS 489/2018, de 23 de octubre (Sala Segunda; resolución 489/2018; ROJ STS 3754/2018 · ECLI:ES:TS:2018:3754): caso de administración desleal en el que el empleador examinó el ordenador laboral. La Sala consideró ilegítimo el acceso al disco, pero precisó que el efecto invalidante no se extiende necesariamente a las demás pruebas personales independientes, que deben valorarse por separado. El límite que importa en OSINT: que un dato sea técnicamente accesible no lo convierte en lícitamente utilizable.

Sobre la metodología no hace falta invocar una sentencia: la exige la propia ley procesal. El art. 335.2 LEC obliga al perito a manifestar bajo juramento que ha actuado «con la mayor objetividad posible», y el art. 478.2 LECrim exige, en el proceso penal, una «relación detallada de todas las operaciones practicadas por los peritos y de su resultado». Un informe OSINT que no permita repetir cada consulta —fecha y hora con zona horaria, URL exacta, huella SHA-256 de la captura, herramienta y versión— no cumple ese artículo, y ese es el flanco por el que se impugna en sala.

Comparación: OSINT vs hacking

Una de las confusiones más frecuentes es la frontera entre OSINT legítimo y técnicas de hacking. Es fundamental que tanto el perito como el abogado que encarga la investigación comprendan esta diferencia.

Diferencias técnicas y legales

Zonas grises

Existen situaciones que pueden generar dudas y que el perito debe manejar con prudencia:

Escenarios ilustrativos de investigación OSINT

Caso 1: Identificación de red de phishing bancario

Contexto: Un bufete de abogados encargó una investigación OSINT para identificar la infraestructura detrás de una campaña de phishing que había afectado a 47 clientes de un banco español, con un perjuicio total de 380.000 euros.

Investigación OSINT realizada:

Resultado: En el escenario, la investigación OSINT permite trazar la infraestructura común a los dominios de phishing y aportar los indicios técnicos (titularidad, IP compartida, certificados y correlación de identidades) sobre los que fundamentar la denuncia.

Caso 2: Suplantación de identidad en redes sociales

Contexto: Un empresario descubrió que existían perfiles falsos en LinkedIn, Instagram y Twitter que utilizaban su nombre, fotografías y datos profesionales para estafar a potenciales inversores.

Investigación OSINT:

Resultado: En el escenario, el informe pericial OSINT documenta la suplantación y aporta los elementos técnicos (correlación de identidades, análisis lingüístico e infraestructura vinculada) sobre los que sustentar la reclamación ante las plataformas y, en su caso, la vía judicial.

Caso 3: Competencia desleal y fuga de información

Contexto: Una empresa tecnológica sospechaba que un exempleado estaba revelando información confidencial a un competidor. El caso requería demostrar la conexión entre el exempleado y la empresa rival sin acceder a comunicaciones privadas.

Investigación OSINT:

Resultado: En el escenario, la investigación OSINT evidencia la conexión y la fuga de información sin acceder a ningún sistema privado, y el informe pericial aporta el soporte técnico para sustentar una demanda de competencia desleal.

Preservación de evidencias OSINT

La preservación adecuada de las evidencias recopiladas mediante OSINT es lo que otorga valor probatorio a la investigación. Sin una cadena de custodia rigurosa, los hallazgos más reveladores pueden ser impugnados y desestimados por el tribunal.

Requisitos de la cadena de custodia OSINT

Estructura de carpetas forenses

caso-2026-OSINT-0042/
├── 00-encargo/
│   ├── acuerdo-encargo.pdf
│   └── alcance-investigacion.pdf
├── 01-evidencias/
│   ├── whois/
│   │   ├── empresa-falsa-com-whois.txt
│   │   └── empresa-falsa-com-whois.txt.sha256
│   ├── dns/
│   │   ├── empresa-falsa-com-dns-all.txt
│   │   └── empresa-falsa-com-dns-all.txt.sha256
│   ├── redes-sociales/
│   │   ├── perfil-instagram-captura-20260330.png
│   │   ├── perfil-instagram-captura-20260330.png.sha256
│   │   ├── perfil-twitter-captura-20260330.png
│   │   └── perfil-twitter-captura-20260330.png.sha256
│   ├── shodan/
│   │   ├── ip-185234xxxx-shodan.json
│   │   └── ip-185234xxxx-shodan.json.sha256
│   └── certificados/
│       ├── crt-sh-empresa-falsa.json
│       └── crt-sh-empresa-falsa.json.sha256
├── 02-analisis/
│   ├── maltego-grafo-relaciones.mtgx
│   ├── timeline-actividad.xlsx
│   └── correlacion-entidades.pdf
├── 03-log-actuaciones/
│   ├── log-completo.txt
│   └── hunchly-export.pdf
├── 04-informe/
│   ├── informe-pericial-OSINT-2026-042.pdf
│   ├── informe-pericial-OSINT-2026-042.pdf.sha256
│   └── anexos/
├── hashes-maestro.txt          ← Hash global de todo el contenido
└── hashes-maestro.txt.sha256

Preservación de páginas web

Las páginas web son efímeras: pueden ser modificadas o eliminadas en cualquier momento. El perito debe preservarlas de forma inmediata y verificable:

Limitaciones éticas y buenas prácticas

Código ético del investigador OSINT forense

Errores comunes en investigaciones OSINT

Google Dorks para OSINT forense

Los Google Dorks (operadores avanzados de búsqueda) son una de las herramientas más potentes y accesibles del OSINT forense. Permiten extraer información pública que no aparece en búsquedas convencionales.

Operadores fundamentales

Dorks aplicados a investigación forense

Búsqueda de documentos expuestos:

# Documentos confidenciales de una empresa
site:empresa-objetivo.com filetype:pdf "confidencial"
site:empresa-objetivo.com filetype:xlsx "nómina" OR "salario"
site:empresa-objetivo.com filetype:doc "uso interno"

# Presentaciones con datos sensibles
site:empresa-objetivo.com filetype:pptx "estrategia" OR "presupuesto"

# Documentos de configuración
site:empresa-objetivo.com filetype:cfg OR filetype:conf OR filetype:ini

# Archivos de backup
site:empresa-objetivo.com filetype:sql OR filetype:bak OR filetype:old

Búsqueda de infraestructura expuesta:

# Paneles de administración
site:empresa-objetivo.com inurl:admin OR inurl:login OR inurl:panel

# Directorios abiertos
site:empresa-objetivo.com intitle:"index of" "parent directory"

# Archivos de log expuestos
site:empresa-objetivo.com filetype:log

# Phpinfo expuesto (revela configuración del servidor)
site:empresa-objetivo.com inurl:phpinfo.php

# Repositorios Git expuestos
site:empresa-objetivo.com inurl:.git

Búsqueda de información sobre personas:

# Perfiles profesionales
"nombre completo" site:linkedin.com OR site:xing.com
"nombre completo" curriculum OR CV filetype:pdf

# Presencia en redes sociales
"nombre completo" site:twitter.com OR site:instagram.com
"email@ejemplo.com" -site:ejemplo.com

# Datos en registros públicos
"nombre completo" site:boe.es OR site:registradores.org

# Participación en foros
"nombre completo" OR "nickname" site:forocoches.com OR site:reddit.com

Automatización de Google Dorks

Para investigaciones a gran escala, los dorks pueden automatizarse respetando los límites de uso de Google:

# Ejemplo conceptual (NO ejecutar contra Google sin control de tasa)
import time

dorks = [
    'site:empresa-objetivo.com filetype:pdf',
    'site:empresa-objetivo.com inurl:admin',
    'site:empresa-objetivo.com intitle:"index of"',
    '"empresa-objetivo" filetype:xlsx',
]

for dork in dorks:
    # Registrar cada consulta en el log de actuaciones
    log_entry = f"[{datetime.now()}] Google Dork: {dork}"
    save_to_log(log_entry)

    # Ejecutar búsqueda (la Custom Search JSON API está cerrada a nuevos clientes
    # y se retira para los existentes el 1-ene-2027; usar la alternativa elegida)
    results = google_custom_search(dork)

    # Preservar resultados con hash
    for result in results:
        screenshot = capture_page(result.url)
        hash_sha256 = calculate_hash(screenshot)
        save_evidence(screenshot, hash_sha256)

    # Respetar rate limiting
    time.sleep(30)  # Espaciar las consultas según la cuota documentada por el proveedor

Análisis de la dark web con OSINT

El análisis de la dark web es una extensión del OSINT forense que permite investigar actividades ilícitas relacionadas con el caso: venta de datos robados, comunicaciones de grupos criminales, marketplaces de herramientas de hacking, y foros donde se planifican ataques.

Fuentes accesibles en la dark web

Consideraciones legales del OSINT en dark web

Herramientas para OSINT en dark web

Formación y certificaciones en OSINT

Para el perito informático forense que desee especializarse en OSINT, existen diversas formaciones y certificaciones reconocidas:

Certificaciones internacionales

Recursos de aprendizaje gratuitos

OSINT con inteligencia artificial (2025-2026)

La incorporación de herramientas de inteligencia artificial al OSINT forense ha transformado la disciplina, permitiendo analizar volúmenes de datos que antes resultaban inabarcables para un investigador individual.

Aplicaciones de IA en OSINT forense

Riesgos de la IA en OSINT

Conclusión

El OSINT forense es una disciplina que combina la potencia de las técnicas de inteligencia de fuentes abiertas con el rigor probatorio exigido por los tribunales. Para que una investigación OSINT tenga valor como prueba judicial, debe cumplir requisitos estrictos de cadena de custodia, documentación metodológica y respeto al marco legal.

Las herramientas como Maltego, Shodan, SpiderFoot y theHarvester permiten al perito informático forense recopilar y correlacionar información pública de forma eficiente, pero es la metodología — la documentación del proceso, la preservación de evidencias y la imparcialidad del análisis — lo que otorga valor probatorio a los hallazgos.

En un mundo donde la mayor parte de nuestra actividad deja rastros digitales en fuentes abiertas, el OSINT forense se ha convertido en una herramienta imprescindible para la investigación de fraudes, suplantaciones de identidad, competencia desleal, ciberacoso y todo tipo de delitos informáticos.

Referencias y fuentes

1. NIST SP 800-86 — Guide to Integrating Forensic Techniques into Incident Response. National Institute of Standards and Technology. Disponible en: csrc.nist.gov

2. OSINT Framework — Directorio de herramientas y recursos OSINT clasificados por categoría. Disponible en: osintframework.com

3. Bellingcat — Online Open Source Investigation Toolkit. Guía de herramientas y metodologías OSINT. Disponible en: bellingcat.gitbook.io/toolkit

4. Michael Bazzell — “Open Source Intelligence Techniques” (10th Edition, 2023). Referencia académica fundamental sobre metodología OSINT.

5. Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal — Artículos 197, 197 bis, 197 ter (delitos de descubrimiento y revelación de secretos).

6. Reglamento (UE) 2016/679 (RGPD) — Artículos 6 y 9 sobre bases de legitimación y categorías especiales de datos.

7. Tribunal Supremo, Sala de lo Penal. STS 300/2015, de 19 de mayo — ECLI:ES:TS:2015:2047. Sobre la carga de acreditar la autenticidad de la prueba de mensajería impugnada.

8. INCIBE-CERT — “Guía nacional de notificación y gestión de ciberincidentes”. Instituto Nacional de Ciberseguridad de España. Disponible en: incibe.es

9. ENISA — European Union Agency for Cybersecurity. Portal de publicaciones y guías sobre ciberseguridad. Disponible en: enisa.europa.eu

10. RFC 7258 — Pervasive Monitoring Is an Attack. Internet Engineering Task Force. Considera la vigilancia generalizada como un ataque técnico a mitigar en el diseño de protocolos (excluye expresamente los aspectos legales y políticos).

11. Maltego Technologies — Documentación oficial de Maltego. Disponible en: docs.maltego.com

12. Ley 1/2000 de Enjuiciamiento Civil — art. 384 y art. 326.2, régimen probatorio de las capturas de redes sociales como prueba pericial.

Última actualización: 18 de agosto de 2026 Categoría: Análisis Forense Código: ANA-055