¿Eres fanático de las aplicaciones de redes sociales centradas en el fitness, como Strava? No estás solo. Incluso el personal militar disfruta rastreando y compartiendo sus recorridos. Suena genial, excepto que toda la actividad y los datos de GPS que recopila y publica la aplicación Strava exponen invariablemente la ubicación precisa de las bases militares.

Es posible que se sorprenda al ver el tipo de información que está disponible públicamente en Internet hoy en día. Pero no debería ser una sorpresa, dada la forma en que vivimos en los días de compartir en exceso. Anunciamos en Twitter y respuestas automáticas por correo electrónico sobre nuestros planes de vacaciones, esencialmente invitando a los ladrones. Los profesionales de la seguridad lo llaman OSINT (inteligencia de fuente abierta)y los atacantes lo usan todo el tiempo para identificar y explotar vulnerabilidades en procesos, tecnologías y personas. Los datos OSINT suelen ser fáciles de recopilar y el proceso es invisible para el objetivo. (De ahí que la inteligencia militar lo use junto con otras herramientas OSINT como HUMIT, ELINT y SATINT).

¿Las buenas noticias? Puede tocar OSINT para proteger a sus usuarios. Pero primero deberá comprender cómo los atacantes explotan OSINT para evaluar suficientemente el alcance de su superficie de ataque y reforzar sus defensas en consecuencia.

OSINT es un concepto antiguo. Tradicionalmente, la inteligencia de código abierto se recopilaba a través de la televisión, la radio y los periódicos. Hoy en día, dicha información existe en todo Internet, que incluye:

· Redes sociales y profesionales como Facebook, Instagram y LinkedIn
· Perfiles públicos en aplicaciones de citas
· Mapas interactivos
· Rastreadores de salud y estado físico
· Herramientas OSINT como Censys y Shodan

Toda esta información disponible públicamente ayuda a las personas a compartir aventuras con amigos, encontrar lugares oscuros, realizar un seguimiento de los medicamentos y encontrar trabajos soñados e incluso almas gemelas. Pero también hay otro lado. Sin el conocimiento de los objetivos potenciales, esta información está igualmente disponible para los estafadores y los ciberdelincuentes.

Por ejemplo, la misma aplicación ADS-B Exchange que utiliza para realizar un seguimiento de los vuelos de su ser querido en tiempo real puede ser explotada por actores malintencionados para localizar sus objetivos y elaborar planes nefastos.

Comprender las diferentes aplicaciones de OSINT

La información de código abierto no solo está disponible para aquellos a quienes está destinada. Cualquiera puede acceder y utilizarlo, incluidas las agencias gubernamentales y de aplicación de la ley. A pesar de ser barato y de fácil acceso, los estados-nación y sus agencias de inteligencia usan OSINT porque proporciona buena inteligencia cuando se hace bien. Y dado que toda la información está disponible gratuitamente, es muy difícil atribuir el acceso y la utilización a una sola entidad.

Las organizaciones extremistas y los terroristas pueden armar la misma información de código abierto para recopilar la mayor cantidad de datos posible sobre sus objetivos. Los ciberdelincuentes también usan OSINT para crear ataques de ingeniería social y de phishing dirigidos altamente dirigidos.

Las empresas utilizan información de fuente abierta para analizar la competencia, predecir las tendencias del mercado e identificar nuevas oportunidades. Pero incluso las personas realizan OSINT en algún momento y por una variedad de razones. Ya sea buscando en Google a un viejo amigo o una celebridad favorita, todo es OSINT.

Cómo usar múltiples técnicas OSINT

El cambio al trabajo desde casa era inevitable, pero todo el proceso tuvo que acelerarse cuando llegó el COVID-19. Encontrar vulnerabilidades y datos contra personas que trabajan desde casa, fuera del perímetro de seguridad tradicional de las organizaciones, a veces es solo una búsqueda rápida en línea.

Sitios de redes sociales: Los ciberdelincuentes pueden recopilar datos como intereses personales, logros pasados, detalles familiares y ubicaciones actuales e incluso futuras de empleados, vicepresidentes y ejecutivos de sus organizaciones objetivo. Más tarde pueden usar esto para crear mensajes de phishing, llamadas y correos electrónicos.

google: Los usuarios malintencionados pueden buscar información en Google, como las contraseñas predeterminadas para marcas y modelos específicos de equipos de TI y dispositivos IoT, como enrutadores, cámaras de seguridad y termostatos domésticos.

GitHub: Algunas búsquedas ingenuas en GitHub pueden revelar credenciales, claves maestras, claves de cifrado y tokens de autenticación para aplicaciones, servicios y recursos en la nube en código fuente abierto y compartido. La infame brecha de Capital One es un excelente ejemplo de tal ataque.

Hackeo de Google: Esta técnica OSINT, también conocida como Google dorking, permite a los ciberdelincuentes utilizar técnicas avanzadas de búsqueda de Google para encontrar vulnerabilidades de seguridad en aplicaciones, información específica sobre personas, archivos que contienen credenciales de usuario y más.

Shodan y Censys: Shodan y Censys son plataformas de búsqueda de dispositivos conectados a Internet y sistemas y plataformas de control industrial. Las consultas de búsqueda se pueden refinar para encontrar dispositivos específicos con vulnerabilidades conocidas, bases de datos de búsqueda elástica accesibles y más.

Aplicaciones de OSINT para Prácticas de Defensa

Las empresas que ya utilizan OSINT para identificar oportunidades y estudiar a los competidores necesitan ampliar su aplicación de OSINT a la ciberseguridad.

Marco OSINT, una colección de herramientas OSINT, es un buen punto de partida para que las empresas aprovechen el poder de OSINT. Ayuda a los evaluadores de penetración e investigadores de seguridad a descubrir y recopilar datos disponibles de forma gratuita y potencialmente explotables.

Las herramientas como Censys y Shodan también están diseñadas principalmente para realizar pruebas de penetración. Permiten a las empresas identificar y proteger sus activos conectados a Internet.

El intercambio excesivo de datos personales es problemático para las personas y las organizaciones para las que trabajan. Las empresas deben educar a los empleados sobre el uso seguro y responsable de las redes sociales.

La capacitación en concientización sobre seguridad cibernética de los empleados debe ser, como mínimo, una tarea semestral. Los ciberataques no anunciados y las simulaciones de phishing deben ser parte de estos talleres de capacitación.