Un ataque dirigido a menudo comienza con una búsqueda. Los hackers buscan información como el puesto de un empleado, una publicación de contratación que mencione las herramientas empresariales, una dirección de correo electrónico expuesta o un subdominio antiguo. Aislados, estos detalles no parecen peligrosos. Pero los atacantes recopilan a propósito muchas pistas pequeñas y fragmentos de información para crear una campaña de suplantación por correo electrónico, una página de inicio de sesión falsa o una llamada de suplantación que parezca creíble.

La inteligencia de código abierto (OSINT) convierte la información pública en preparación para un ataque más dirigido. Su estrategia de seguridad empresarial de OSINT es la forma en que su empresa se protege. Para las empresas, el desafío es doble: auditar lo que ya está ahí afuera y saber qué existe en primer lugar, y luego juzgar qué detalles públicos ayudan a clientes, candidatos y socios, y cuáles ayudan silenciosamente a los atacantes a mapear su personal, herramientas, credenciales y puntos de acceso.

Qué significa OSINT en ciberseguridad

En un contexto de ciberseguridad, OSINT es el uso de información disponible públicamente para identificar posibles rutas de ataque. La información puede provenir de motores de búsqueda, redes sociales, sitios web de empresas, bolsas de empleo, repositorios de código públicos y otras fuentes que no requieren vulnerar un sistema.

Los atacantes usan OSINT para responder preguntas prácticas sobre una empresa, como:

  • ¿Quién trabaja aquí?
  • ¿Quién aprueba los pagos?
  • ¿Qué herramientas usa la empresa?
  • ¿Cómo es el formato del correo electrónico?
  • ¿Qué proveedores o clientes podrían ser de confianza?
  • ¿Qué cuentas ya podrían estar expuestas?
  • ¿Qué sistemas están expuestos a internet?

OSINT les da a los hackers detalles que hacen que sus ataques sean creíbles. Una estafa genérica simplemente pide acción, pero una estafa investigada se dirige a una persona específica, se envía desde una persona que conocen o en quien tienen motivos para confiar, y menciona un proyecto de trabajo real o información no pública.

La Encuesta sobre vulneraciones de ciberseguridad 2024(nueva ventana) del Reino Unido encontró que la mitad de las empresas del Reino Unido informaron haber identificado una vulneración o ataque de ciberseguridad en los 12 meses anteriores. La suplantación siguió siendo el tipo más común de vulneración o ataque entre las empresas afectadas. OSINT no es lo mismo que la suplantación, pero es un recurso que los hackers pueden usar para hacer que la suplantación sea más convincente y más difícil de descartar para los empleados.

Qué pueden aprender los atacantes sobre su empresa

Los hackers usan una variedad de métodos diferentes para recopilar información. Estas son algunas de las rutas más comunes y eficaces.

Personas

LinkedIn, las páginas de biografía de la empresa, las agendas de conferencias, los pódcast, los seminarios web y las menciones en prensa pueden revelar nombres, puestos de trabajo, líneas de reporte, antigüedad, ubicaciones y áreas de responsabilidad. Eso ayuda a los atacantes a elegir a quién suplantar y a quién presionar.

Por ejemplo, un atacante que conoce el nombre de un director financiero, el formato de correo electrónico de la empresa y el software actual del equipo de finanzas puede crear un mensaje que se sienta mucho menos genérico que el spam común. La solicitud puede mencionar un proveedor real, referirse a un proceso de pago que existe dentro de la empresa o llegar en un momento en que el equipo ya espera una comunicación relacionada con facturas. Nada de esta información requiere acceso a un sistema privado.

Herramientas

Las ofertas de empleo a menudo mencionan las plataformas que se espera que los candidatos conozcan: CRM, herramientas de nómina, software de helpdesk, plataformas de analítica, herramientas de colaboración y entornos de desarrollo. Las reseñas públicas, los casos de éxito, las integraciones y los perfiles de empleados pueden revelar aún más.

La exposición de herramientas ayuda a los atacantes a adaptar su pretexto de suplantación. Un correo electrónico de suplantación que dice «su cuenta ha sido marcada» no es convincente, pero un mensaje que nombra el CRM exacto, el sistema de recursos humanos o la herramienta de colaboración que usa el equipo sí lo es.

Huella técnica

Los subdominios, los servicios expuestos, los registros de certificados, los entornos de ensayo antiguos y las páginas de inicio de sesión mal configuradas pueden revelar dónde tiene sistemas en línea una empresa. Los atacantes también pueden buscar repositorios públicos que incluyan credenciales antiguas, claves de API, URL internas o archivos de configuración confirmados accidentalmente durante el desarrollo.

Datos de vulneraciones

Las direcciones de correo electrónico, los nombres de usuario, las contraseñas, los números de teléfono y otros detalles personales o empresariales expuestos en vulneraciones anteriores pueden convertirse en materia prima para un ataque posterior. El Observatorio de vulneraciones de datos de Proton muestra cómo los datos filtrados pueden seguir creando riesgo después del incidente original, especialmente cuando las credenciales, los detalles de contacto y la información de los empleados se pueden vincular con una empresa.

Cómo la OSINT potencia los ataques dirigidos

OSINT se vuelve peligrosa cuando los atacantes usan los datos recopilados para construir una historia creíble. Considere una empresa que publica perfiles del personal, incluye logotipos de clientes, menciona una migración reciente de CRM en anuncios de empleo y usa un formato de correo electrónico predecible. Un empleado de finanzas recibe entonces un mensaje que parece venir de un líder sénior, hace referencia a un proveedor real y solicita ayuda para un pago urgente. El correo electrónico solo necesita contener suficientes detalles familiares para reducir las sospechas.

El mismo patrón se aplica a los ataques de credenciales. Un atacante encuentra el correo electrónico laboral de un empleado en datos de vulneraciones, ve en LinkedIn que la persona trabaja en operaciones y aprende en las ofertas de empleo que la empresa usa una plataforma SaaS específica. El siguiente mensaje de suplantación puede imitar esa plataforma y llegar con un lenguaje que coincida con el rol del empleado.

Las estafas telefónicas también pueden moldearse con OSINT. Un interlocutor que conoce al proveedor de TI de la empresa, el nombre de un jefe de departamento o el momento de un proyecto suena legítimo. Por eso la OSINT y la ingeniería social están entrelazadas: la información pública les da a los atacantes la confianza y el detalle necesarios para manipular a las personas en tiempo real.

La empresa puede experimentar el ataque final como suplantación, vishing, toma de control de cuentas, fraude de facturas o robo de credenciales. Es posible que el trabajo previo haya sido OSINT desde el principio.

Las credenciales filtradas también son OSINT

Los datos de vulneraciones a menudo se analizan como un riesgo directo de toma de control de cuentas: cuando se filtra una contraseña, los atacantes pueden probarla en múltiples puntos de entrada. Eso sigue siendo un problema grave, especialmente cuando los empleados reutilizan contraseñas en varios servicios.

Pero las credenciales filtradas también pueden ayudar a los atacantes a entender la empresa detrás de la cuenta. Una dirección de correo electrónico expuesta puede confirmar qué servicios ha usado un empleado, mientras que las contraseñas antiguas, los números de teléfono y los dominios de empresa repetidos pueden aportar contexto para futuros intentos de suplantación, vishing o toma de control de cuentas. Es posible que la vulneración haya ocurrido en otro lugar, pero la información aún puede ayudar a un atacante a construir una imagen más precisa de su equipo.

El Observatorio de vulneraciones de datos de Proton destaca cómo los datos expuestos pueden favorecer la suplantación, los ataques de credenciales y una ingeniería social más amplia. También destaca que los datos filtrados no dejan de ser útiles para los atacantes después de que se reporte la primera vulneración. Esos datos se pueden reutilizar, combinar y remodelar para futuros objetivos.

El monitoreo de correos electrónicos empresariales y credenciales expuestas ayuda a las organizaciones a ver más que la contraseña que se debe cambiar. Puede revelar dónde han usado los empleados direcciones laborales, qué servicios pueden estar conectados con la empresa y si la misma identidad aparece en múltiples filtraciones.

Esto es esencial porque los atacantes pueden reutilizar la información, no solo para probar contraseñas antiguas, sino para hacer que futuros intentos de suplantación, vishing o impersonación se sientan más específicos. Una credencial filtrada rara vez es solo una credencial aislada. Puede convertirse en parte de la investigación de antecedentes que hace que el próximo ataque sea más eficaz.

Reduzca lo que los atacantes pueden aprender de fuentes públicas

Ninguna empresa puede borrarse de la vista pública, y ese no debería ser el objetivo de nadie. Los clientes, los candidatos y los socios todavía necesitan suficiente información para entender quién es usted y cómo trabajar con usted.

El riesgo está en publicar detalles que van más allá de ese propósito: nombres de herramientas internas, patrones de contacto directo, flujos de aprobación o pistas técnicas que les dan a los atacantes una imagen más nítida de cómo opera la empresa.

  • Comience con su información pública. Revise páginas de la empresa, biografías del equipo, comunicados de prensa, casos de éxito, artículos del centro de ayuda, ofertas de empleo, publicaciones en redes sociales y documentos públicos. Busque detalles que revelen sistemas internos, procesos de aprobación, rutas de acceso o flujos de trabajo sensibles.
  • Las ofertas de empleo merecen especial atención. Es posible que los candidatos necesiten conocer las categorías generales de herramientas que usarán, pero los anuncios públicos no siempre necesitan nombrar cada plataforma SaaS, producto de seguridad, CRM, herramienta de pago, proveedor de nube o flujo de trabajo interno. Cuanto más específica sea la lista de herramientas, más fácil será crear un mensaje falso de inicio de sesión, un mensaje de soporte o una solicitud de proveedor.
  • La información de los empleados también necesita equilibrio. La antigüedad, el rol y la experiencia pueden ser apropiados para compartir, pero los números de teléfono directos, los detalles personales, los patrones de viaje, los nombres de proyectos internos o los detalles innecesarios de la estructura de reporte pueden darles a los atacantes más material con el que trabajar.
  • Los repositorios de código públicos se deben revisar con regularidad. Los proyectos antiguos, los archivos de prueba, la documentación o los ejemplos de configuración pueden contener secretos que no debían ser públicos. Incluso cuando las credenciales han expirado, las URL internas, las convenciones de nombres y las referencias de servicios aún pueden ayudar a los atacantes a entender el entorno.

Reduzca el valor de lo que encuentran los atacantes

OSINT siempre existirá porque las empresas necesitan ser visibles. El objetivo es reducir la cantidad de información innecesaria disponible y limitar lo que los atacantes pueden hacer con los detalles que encuentran.

La información pública es el primer lugar para reducir la exposición innecesaria. Los anuncios de empleo, los perfiles de empresa, las páginas de empleados, los repositorios, los subdominios y los documentos antiguos deben dar a las personas suficiente contexto para confiar y entender la empresa, no una vista detallada de cómo opera entre bastidores. Cuando los nombres de herramientas internas, las pistas técnicas o los detalles de procesos no se necesitan públicamente, es mejor mantenerlos fuera de la vista.

Los controles de credenciales son igual de importantes. Las direcciones de correo electrónico expuestas y las contraseñas filtradas son algunas de las señales de OSINT más fáciles de convertir en acción. Las contraseñas únicas, MFA, las claves de acceso, el uso compartido seguro, el monitoreo de vulneraciones y el acceso controlado hacen que el reconocimiento sea menos útil.

Revise su huella técnica sin publicar una hoja de ruta

La exposición técnica también es parte de OSINT. Los dominios, subdominios, portales de inicio de sesión, servicios en la nube, entornos de desarrollo, puntos finales de API y repositorios públicos pueden ayudar a los atacantes a entender cómo está estructurada una empresa en línea.

Una revisión periódica ayuda a separar lo que es intencionalmente público de lo que se ha publicado y olvidado. Las páginas de staging antiguas, los subdominios sin usar, las pantallas de servicio por defecto, la documentación desactualizada, las notas de configuración expuestas y los repositorios públicos con referencias internas pueden no parecer urgentes, pero pueden facilitar el reconocimiento.

Muchas correcciones son sencillas: borrar páginas antiguas, restringir el acceso, actualizar la documentación, rotar secretos expuestos o sacar los detalles internos de los repositorios públicos. Otros hallazgos solo pueden necesitar un responsable claro y una razón para permanecer visibles. La exposición pública se convierte en una decisión, en lugar de una omisión.

Integrar verificaciones de OSINT en las rutinas de seguridad

La exposición de OSINT no es estática. Crece cada vez que una empresa publica algo nuevo, cambia un flujo de trabajo, contrata para un rol, lanza un proyecto, aparece en una página de proveedores o tiene datos de empleados expuestos en una vulneración. Cada actualización parece inofensiva de forma aislada, pero con el tiempo puede dar a los atacantes una visión más clara de las personas, herramientas, relaciones y puntos de acceso de la empresa.

Un conjunto simple de verificaciones y revisiones puede ayudar:

  • Revisar la información empresarial pública trimestralmente
  • Revisar las ofertas de empleo antes de su publicación para detectar detalles innecesarios sobre herramientas o flujos de trabajo
  • Monitorear la exposición a vulneraciones de las direcciones de correo electrónico empresariales
  • Revisar los repositorios públicos y los servicios expuestos
  • Preguntar a los responsables de departamento si alguna información pública revela procesos confidenciales o patrones de acceso.

Antes de que la información se haga pública, alguien debería preguntarse siempre: ¿podría esto ayudar a un atacante a crear un mensaje, una llamada o un intento de inicio de sesión más convincentes?

Hacer que las credenciales sean más difíciles de conectar con alias

Los alias de correo pueden ayudar a reducir la cantidad de información que los atacantes pueden conectar entre servicios. Cuando se usa la misma dirección de correo electrónico para todos los servicios, se vuelve más fácil vincular cuentas, buscar datos de vulneraciones, adivinar portales de inicio de sesión y crear un perfil del empleado o de la empresa.

Para algunos flujos de trabajo empresariales, una dirección de correo electrónico estándar es necesaria. Los empleados necesitan identidades estables para el trabajo, los clientes y la colaboración. Pero los alias pueden ser útiles para registros, boletines, pruebas, pruebas con proveedores, eventos o servicios que no requieren la dirección empresarial principal de una persona.

Los alias de correo son útiles porque separan las cuentas que, de otro modo, los atacantes conectarían con el mismo empleado, equipo o dirección empresarial. También pueden hacer que la exposición sea más fácil de rastrear. Cuando un alias creado para un proveedor comienza a recibir intentos de inicio de sesión no relacionados o mensajes de suplantación, la empresa tiene una señal más clara de dónde puede haberse expuesto esa dirección.

Los alias funcionan mejor cuando se combinan con un gestor de contraseñas empresarial como Proton Pass for Business. Cada cuenta aún necesita una contraseña única, almacenamiento controlado y una propiedad clara. Sin esa estructura, los alias pueden convertirse en otro hábito manual que los empleados deben gestionar por su cuenta.

Gestiona OSINT con Proton Pass for Business

Un gestor de contraseñas empresarial como Proton Pass for Business puede ayudarle a monitorear vulneraciones y proteger su red con funciones de estado de las credenciales. Con Proton Pass for Business⁠, los equipos pueden crear contraseñas únicas, almacenarlas en bóvedas de contraseñas cifradas, usar el completado automático, compartir credenciales de forma segura, gestionar claves de acceso y usar la autenticación de dos factores (2FA) integrada.

Las funciones de administrador, como políticas, informes, registros, control de acceso basado en roles, aprovisionamiento SCIM e integración SSO, ayudan a las empresas a mantener el acceso a las credenciales más controlado a medida que crecen.

Un gestor de contraseñas empresarial no elimina la exposición de OSINT, pero puede hacer que la información que encuentran los atacantes sea menos útil. Cuando las credenciales son únicas, se almacenan en bóvedas cifradas, se comparten a través de espacios aprobados y se protegen con 2FA o claves de acceso, una contraseña filtrada o una página de inicio de sesión falsa convincente tienen menos posibilidades de convertirse en un acceso más amplio. También les da a los empleados una regla más clara que seguir: las credenciales empresariales deben permanecer dentro del gestor de contraseñas, no en correos electrónicos, chats, hojas de cálculo o conversaciones telefónicas.

Los atacantes seguirán investigando su empresa. La pregunta es cuánto pueden aprender, qué tan precisa es esa imagen y hasta dónde pueden llegar con ella.

Reduzca la exposición de las credenciales de su empresa con un gestor de contraseñas empresarial⁠.