Seguro que estos meses habrás visto muchas noticias sobre filtraciones de datos o “data breaches” de grandes empresas, plataformas web y  gobiernos: Samsung, NVIDIA, NHS, Twitch, LinkedIn, y un largo etcétera.

Ya sabemos que una filtración de datos de esta escala puede ser un golpe muy duro a una organización, llegando a ser la causa de su disolución. Pero, ¿Esto me puede afectar a mí como usuario? ¿Es tan peligroso que se filtren los datos de un servicio que utilizo? En resumen: Sí.

Y si sumamos los datos que puedes publicar voluntariamente a internet (dónde trabajas y tu puesto en LinkedIn, una foto de tu parque favorito en Instagram, el nombre de tus padres en Facebook, …) dejas a vista de todo el mundo un perfil bastante detallado sobre tí.

Y esto no es nada nuevo, desde el nacimiento de las redes sociales se ha explotado esto a diferentes escalas: desde el “hacker” que recopila toda la información de una empresa hasta uno mismo para ver cuando cumplía años tu amigo.

 

¿Qué es OSINT?

Estas técnicas de obtención de datos y reconocimiento en internet tienen un nombre. La “Inteligencia de fuentes abiertas” o más conocido por sus siglas en inglés OSINT (Open Source INTelligence) da nombre a una serie de metodologías de obtención, análisis y conclusiones a partir de información que se encuentra público a cualquier persona (ya sea de un modo legítimo o clandestino).

En otras palabras, OSINT se aplica para conseguir todo tipo de información sobre una empresa, organización o persona a partir de buscadores como google, analizarlos y poder sacar conclusiones como por ejemplo comportamiento de una persona o cómo ganar acceso a una infraestructura.

Esta arma de doble filo se utiliza en multitud de ámbitos: una empresa que quiere saber cómo es la nueva incorporación de la plantilla, investigación de delincuentes y prevención de ataques, suplantación de identidad y demás actos ilícitos, etc.

 

¿Qué saben de mí?

Vamos a enfocarnos sobre una persona. ¿Qué puede saber de mí? pues vamos a hacer unos cuantos ejercicios para saberlo.

El primero es muy fácil, busca en google tu nombre o tu “nombre de usuario” que sueles utilizar en redes sociales o servicios y dedícale 5 minutos a buscar qué aparece. Depende de cómo te has ido comportando en internet y el rastro que ha dejado puede pasar dos cosas: que apenas haya datos sobre tí o que los primeros resultados sea tu perfil de cualquier red social junto con una foto tuya.

Vamos a subir un nivel más: vas a buscar qué contraseñas tienes publicadas en internet. La página haveibeenpwned.com busca entre diferentes “data breaches” como los que hemos hablado al principio de este artículo si aparece tu correo electrónico junto con diferentes datos vinculados a este: contraseñas, direcciones, datos identificativos, tarjetas de crédito y más.

Introduce tu correo electrónico, ¿Ha salido algún resultado? Si es así, ¡Enhorabuena! cualquiera sabe qué contraseñas para una cuenta. Y si damos por hecho que has reutilizado la contraseña o sigues el mismo patrón de contraseñas, ahora cualquiera sabe qué contraseña utilizas para todo.

 

¿Qué puedo hacer?

Si quieres evitar que cualquiera pueda acceder a información que no quieres que aparezca en internet, aquí dejo una serie de recomendaciones:

• Piensa antes de publicar. Antes de publicar cualquier cosa en internet, piensa que todo el mundo lo verá y que se quedará ahí para siempre.
• No reutilices contraseñas. Si tu única contraseña se publica, ya no hay nada que evite que cualquiera acceda a tus cuentas. Recomiendo mucho usar un gestor de contraseñas como Bitwarden o LastPass.
• Revisa qué hay publicado en internet sobre tí y mira si puedes eliminar (o solicitar que lo borren) cualquier cosa que no quieras que sea público.
• Controla la visibilidad de tus perfiles en redes sociales. Si tienes una cuenta que solo utilizas para interactuar con conocidos, la opción de “proteger mi perfil” puede ser interesante.
• Monitoriza si alguna filtración te ha afectado. Herramientas como Firefox Monitor te avisan si en alguna filtración de datos eres un afectado y puedes tomar medidas antes de que sea tarde.

 

Publicado el 25 de Marzo de 2022
Por Alberto López
Departamento de Ciberseguridad