Artículo
OSINT: lo que usted puede averiguar — y lo que otros ya saben de usted
La inteligencia de fuentes abiertas no es un kit para rastrear personas. Es un método para verificar información bajo presión — y para medir su propia exposición. Con el marco legal europeo.
Se declara un incendio industrial a tres kilómetros de su casa.
En veinte minutos su feed contiene: un vídeo espectacular, dos cuentas afirmando que una nube tóxica se dirige al centro, un comunicado oficial que dice lo contrario, y una foto que evidentemente es de otro incendio. Tiene que decidir ahora: confinarse, evacuar o no hacer nada.
Ese es el verdadero caso de uso del OSINT — inteligencia de fuentes abiertas. No el rastreo de una persona: la capacidad de establecer, en unos minutos y con fuentes públicas, qué es cierto.
Este artículo cubre el método de verificación, lo que la ley europea permite y prohíbe, y la parte que casi nadie trata: lo que esas mismas técnicas revelan de usted.
Qué es el OSINT y qué no es
El OSINT designa una metodología: recopilar, contrastar y explotar información libremente accesible — prensa, redes sociales, datos públicos, imágenes de satélite, registros mercantiles.
No es pirateo ni acceso a sistemas protegidos. La frontera es nítida y es jurídica: en cuanto hay que sortear una protección, adivinar una contraseña o explotar una vulnerabilidad, se abandona el OSINT y se entra en el delito.
Tres usos legítimos para un civil:
- Verificar una información en plena crisis, antes de actuar sobre ella.
- Comprender un entorno — un barrio, una ruta, un riesgo industrial cercano.
- Protegerse midiendo la propia superficie de exposición.
Existe un cuarto uso, el que llena los vídeos de YouTube: localizar y seguir a personas. Queda fuera de este artículo, y casi siempre fuera de la ley.
Lo que dice la ley europea — y el malentendido que sale caro
El malentendido cabe en una frase: que una información sea públicamente accesible no le da ningún derecho sobre ella.
En Europa, en cuanto usted recopila y conserva información sobre una persona física — aunque la haya encontrado libremente en línea — está tratando datos personales según el RGPD. Eso implica una base legal, una finalidad determinada, minimización de datos y un plazo de conservación. Las autoridades de protección de datos lo formulan con claridad: reutilizar información disponible públicamente no está prohibido por principio, pero debe respetar la lealtad en la recogida, la base legal y la limitación de finalidad.
Dos excepciones importantes para un particular:
El uso estrictamente personal y doméstico queda fuera del RGPD. Verificar una información para decidir si evacúa su vivienda no tiene nada que ver con construir un fichero sobre alguien. El salto se produce en el momento en que usted conserva, estructura o publica.
Los datos no personales — la ubicación de una instalación industrial, el histórico meteorológico, la imagen satelital de una zona, las frecuencias de un repetidor — no plantean ningún problema. La mayor parte del OSINT útil para la preparación cae en esta categoría.
Donde las puertas se cierran, en cambio:
- Publicar lo que ha encontrado sobre una persona puede constituir difamación, intromisión en la intimidad o difusión de datos que la identifiquen o localicen.
- Identificar a un objetivo para acosarlo es un delito por sí mismo, sea cual sea la legalidad de cada paso por separado.
- El scraping masivo de datos personales, aunque públicos, sale del ámbito doméstico y compromete su responsabilidad.
La regla práctica cabe en una pregunta, antes de cada búsqueda: ¿qué decisión me va a ayudar a tomar esta información? Si la respuesta no es inmediata, la búsqueda no tiene finalidad — y la limitación de finalidad es precisamente lo que la ley exige.
El método: cuatro preguntas antes de creer nada
En una crisis, lo difícil no es encontrar información. Es descartar nueve décimas partes. Cuatro preguntas, en este orden.
1. ¿Quién publica y desde cuándo existe esa cuenta?
Una cuenta creada hace tres días, sin historial, que publica algo espectacular sobre un suceso en curso: trátela como inexistente hasta que se confirme. A la inversa, una cuenta antigua y especializada que se equivoca sigue siendo útil — el error de un habitual se corrige, la fabricación de una cuenta nueva se propaga.
2. ¿Esta imagen es realmente de este suceso?
Es la forma de desinformación más común y la más fácil de desmontar: una foto real, de un suceso real — pero de otro lugar o de otro año. La búsqueda inversa de imágenes resuelve la mayoría de los casos en treinta segundos. Consulte varios motores: no indexan las mismas bases.
3. ¿Dónde y cuándo se grabó?
Es el núcleo de la disciplina: geolocalización y cronolocalización. Se contrastan los elementos fijos de la imagen — relieve, línea de tejados, señales, vegetación, dirección de las sombras — con imágenes de satélite y vistas de calle disponibles. La posición del sol da una franja horaria; el estado de la vegetación, una estación.
Es laborioso, y eso es justamente lo que hace fiable el método: un elemento geolocalizado ya no depende de la palabra de nadie.
4. ¿Qué dice la fuente oficial y qué no dice?
Autoridades locales, operador de la instalación, servicios de emergencia. Son fuentes lentas y prudentes, a menudo por detrás de las redes. Pero asumen una responsabilidad jurídica que ninguna cuenta anónima tiene. Buena práctica: tratar la red social como sensor temprano y la fuente oficial como validación.
El reflejo que lo resume todo: antes de compartir, párese. Averigüe quién está detrás, qué dicen otras fuentes, y remonte hasta la información de origen en lugar de a quien la difunde. Treinta segundos de pausa eliminan la mayor parte de lo que circula.
La parte que nadie trata: su propia exposición
Vuelva el método contra usted mismo. Es el ejercicio más útil de este artículo y el único inequívocamente legal: usted es el interesado.
Sus fotos. Una imagen publicada desde casa puede llevar coordenadas GPS en sus metadatos. Incluso limpiada, el fondo suele bastar: una vista de ventana, un número de portal, un comercio reconocible. La foto de su equipo hecha en el balcón le localiza mejor que su dirección.
Sus hábitos. Una aplicación de running que publica sus rutas dibuja su domicilio, su trabajo y sus horarios en tres semanas. El problema no es una salida, es la regularidad.
Sus datos públicos. Registros mercantiles, directorios, censos según el país, webs personales antiguas, cuentas olvidadas: la acumulación crea un perfil que ningún elemento aislado revelaba.
Sus filtraciones. Sus direcciones de correo están probablemente en bases de datos comprometidas. Compruébelo en un servicio dedicado — gratuito e instantáneo — y cambie las contraseñas afectadas.
El ejercicio, una hora, una vez al año: búsquese a usted mismo. Nombre, alias, correos, número de teléfono. Búsqueda inversa sobre su foto de perfil. Anote lo que aparece y lo que puede eliminarse. Casi con seguridad encontrará algo que había olvidado.
Los límites y el error clásico
Lo que el OSINT le da: verificación rápida, comprensión del terreno, una medida de su exposición y el hábito de no difundir cualquier cosa.
Lo que no le da: certeza. Una información contrastada por tres fuentes que copian todas el mismo origen no está contrastada en absoluto — es una sola fuente, repetida. Remonte siempre al origen.
El error clásico del principiante es el sesgo de confirmación: buscar hasta encontrar lo que ya sospechaba. La disciplina consiste en formular la hipótesis contraria y buscar activamente lo que la sostendría. Si nunca encuentra nada que contradiga su conclusión, no es que tenga razón: es que busca mal.
La inteligencia no es una colección de información. Es la respuesta a una pregunta que uno se tomó la molestia de formular antes de empezar.
Por dónde empezar en concreto
- Formule la pregunta antes de abrir el navegador. «¿La nube se dirige a mi barrio?» es una pregunta. «¿Qué está pasando?» no lo es.
- Entrénese en frío. Geolocalice una foto de vacaciones, la suya. La competencia se adquiere en casos sin riesgo, nunca durante la crisis.
- Elabore su lista de fuentes oficiales locales — autoridades, operadores industriales cercanos, servicios de emergencia — antes de necesitarla. En crisis no se busca una cuenta oficial: ya se tiene.
- Archive lo que importa. Una página puede desaparecer en horas. Los servicios de archivo web congelan una página en un instante dado.
- Haga su auditoría de exposición anual (sección anterior). Es la acción con mejor relación beneficio/tiempo de todo el artículo.
Esta capacidad complementa, sin sustituirlos, los otros dos pilares: la comunicación que aguanta cuando caen las redes y el sistema de equipo que realmente lleva encima.
Conclusión
El OSINT útil para un civil no es una caja de herramientas de rastreo. Es una higiene: formular una pregunta, buscar con método, dudar de lo que le conviene, conocer el marco legal y saber qué expone usted mismo.
La competencia más rentable de todo este artículo no exige software ni suscripción: la pausa de treinta segundos antes de compartir una información que no ha verificado.
Formule la pregunta. Remonte al origen. Busque lo que le contradice.
Fuentes y lecturas complementarias
- Mathias Avocats — OSINT: panorama de los principales retos jurídicos (en francés) — posición de la autoridad francesa sobre la reutilización de información pública y las obligaciones RGPD.
- Village de la Justice — ¿Cuál es el marco legal del OSINT? (en francés) — análisis por etapas: recogida, conservación, republicación, valor probatorio.
- CNPD Luxemburgo — OSINT y cumplimiento del RGPD (en francés) — dossier de una autoridad de protección de datos sobre los usos civiles y privados.
- Bellingcat — First Steps to Getting Started in Open Source Research (en inglés) — la referencia mundial de la investigación en fuentes abiertas.
- Bellingcat — Online Investigation Toolkit (en inglés) — inventario de herramientas de verificación, cartografía y archivo.
- Berkeley Protocol on Digital Open Source Investigations (en inglés) — protocolo metodológico y ético de referencia (Berkeley Human Rights Center y Naciones Unidas).