OSINT de Personas
El Punto de Partida Ético
El OSINT de personas es probablemente el área más sensible de toda la disciplina, porque trabaja directamente con datos de individuos reales. Por eso debe comenzar — y no terminar — con una reflexión ética. Antes de buscar un solo dato, hay que tener claro el propósito legítimo de la investigación, su alcance autorizado y el marco legal aplicable, especialmente las leyes de protección de datos como el RGPD europeo o normativas equivalentes en otros países.
El principio rector es la proporcionalidad: recolectar únicamente la información necesaria para el objetivo declarado, ni más ni menos. Descubrir que algo es técnicamente posible no significa que sea ético ni legal hacerlo. El OSINT de personas legítimo se da en contextos como verificación de identidad en procesos de contratación con consentimiento, due diligence, periodismo de interés público o pruebas de penetración con autorización que incluyen ingeniería social.
Nunca debe usarse para acoso, stalking, doxing, suplantación o vigilancia de una expareja o conocido. Estas actividades son ilegales en la mayoría de jurisdicciones y constituyen una violación grave de la ética profesional. Este curso enseña la técnica para defender, investigar legítimamente y proteger; jamás para dañar.
Redes Sociales y Presencia Pública
Las redes sociales son la fuente más rica de OSINT de personas, porque los usuarios publican voluntariamente grandes cantidades de información. Perfiles de LinkedIn revelan historial laboral y conexiones profesionales; publicaciones en X, Instagram o Facebook muestran intereses, ubicaciones y relaciones. La técnica consiste en analizar lo que está públicamente visible, sin acceder nunca a contenido privado ni eludir controles de privacidad.
Un aspecto clave es el análisis de la red de contactos y de las interacciones: con quién interactúa una persona, qué páginas sigue, qué eventos publica. Estas conexiones a menudo dicen tanto como el contenido directo. Las fotos publicadas pueden contener información de fondo relevante (señales de ubicación, documentos visibles) y, como veremos en la Lección 6, metadatos.
La verificación es fundamental: en redes sociales abundan los perfiles falsos, las homonimias y las cuentas abandonadas. Confundir a dos personas con el mismo nombre es un error frecuente y potencialmente grave. Cada atribución debe respaldarse con varios indicadores independientes antes de darse por confirmada.
Usernames y Correlación de Identidades
Las personas tienden a reutilizar nombres de usuario a lo largo de distintas plataformas, lo que los convierte en un excelente punto de pivote. Si encuentras que alguien usa "jdoe_dev" en GitHub, es razonable buscar ese mismo identificador en Reddit, foros técnicos, plataformas de juegos y redes sociales. Herramientas como Sherlock, Maigret o WhatsMyName automatizan esta búsqueda en cientos de servicios y devuelven las coincidencias.
La correlación de correos electrónicos sigue una lógica similar. A partir de una dirección de correo se pueden descubrir perfiles asociados, servicios registrados y, mediante herramientas como Hunter.io, deducir el patrón de correos de una organización. El objetivo es construir un grafo de identidad que vincule las distintas presencias de una misma persona, siempre dentro de los límites de la investigación.
Conviene recordar que la correlación nunca es certeza absoluta. Dos cuentas con el mismo username pueden pertenecer a personas distintas, y una persona puede mantener identidades deliberadamente separadas. El analista debe expresar sus conclusiones con el nivel de confianza adecuado y nunca presentar una correlación probable como un hecho.
Brechas de Datos y Registros Públicos
Las brechas de datos son un recurso delicado. Servicios como Have I Been Pwned permiten comprobar, de forma legítima y agregada, si una dirección de correo ha aparecido en filtraciones conocidas — información muy útil en auditorías de seguridad para alertar a una organización de credenciales comprometidas. Sin embargo, descargar, comprar o utilizar el contenido bruto de bases de datos filtradas (contraseñas, datos personales) es ilegal en la mayoría de jurisdicciones y queda completamente fuera del OSINT ético.
Los registros públicos, en cambio, son una fuente perfectamente legítima cuando la ley los hace accesibles: registros mercantiles, boletines oficiales, propiedad intelectual, sanciones, litigios públicos o registros profesionales. Su disponibilidad varía mucho según el país, y el investigador responsable conoce qué está legalmente accesible en su jurisdicción.
En todos los casos, la regla es la misma: usar solo lo que es público y legal, documentar la fuente y respetar la privacidad. El OSINT de personas bien hecho es una herramienta poderosa para la seguridad y la justicia; mal usado, es una violación de derechos. La diferencia está enteramente en la intención, el alcance y el respeto de la ley.