OSINT pasivo con herramientas open source

Todo engagement empieza igual: entender al objetivo antes de tocarlo. El reconocimiento pasivo consiste en recolectar información desde fuentes públicas sin enviar un solo paquete a la infraestructura del objetivo — toda la consulta va a terceros (buscadores, registros DNS, logs de certificados, redes sociales). Es silencioso, legal cuando se hace sobre datos públicos, y suele revelar más de lo que la organización cree exponer.

1. Pasivo vs. activo: por qué importa la frontera

La diferencia no es académica: define si dejas rastro.

Mientras la regla de enganche diga “sin tocar producción todavía”, todo lo de este artículo es seguro. En cuanto resuelvas un subdominio contra el DNS del objetivo o lances un escaneo, cruzaste a activo.

2. Huella de dominios y subdominios

El primer objetivo es el mapa de nombres: dominios, subdominios y la infraestructura asociada, todo desde fuentes de terceros.

2.1 Certificate Transparency (la mina de subdominios)

Cada certificado TLS emitido queda en logs públicos. Consultar crt.sh revela subdominios que nunca aparecieron en ningún buscador:

# Subdominios a partir de los logs de Certificate Transparency
curl -s 'https://crt.sh/?q=%25.objetivo.cl&output=json' \
  | jq -r '.[].name_value' | sed 's/\*\.//g' | sort -u

2.2 theHarvester y amass (modo pasivo)

theHarvester agrega decenas de fuentes públicas (buscadores, CT, PGP) en un solo comando:

# Correos, hosts y subdominios desde fuentes públicas
theHarvester -d objetivo.cl -b bing,crtsh,duckduckgo,otx -f recon_objetivo

amass hace enumeración pasiva sin consultar al DNS del objetivo si lo limitas a fuentes externas:

# Enumeración de subdominios SOLO con fuentes pasivas (no resuelve contra el objetivo)
amass enum -passive -d objetivo.cl -o subs_objetivo.txt

2.3 Registros públicos: WHOIS y DNS histórico

# Titular, fechas y servidores de nombres (consulta al registrar, no al objetivo)
whois objetivo.cl

# Histórico de registros DNS y relaciones entre dominios
# (vía servicios como SecurityTrails / DNSDumpster, no contra el objetivo)

3. Metadatos: lo que los documentos cuentan de más

Los documentos publicados (PDF, Office, imágenes) arrastran metadatos: nombres de usuario, rutas internas, software, impresoras, incluso GPS. Esta es la especialidad de FOCA (Fingerprinting Organizations with Collected Archives) y de exiftool.

# Buscar documentos indexados y extraer metadatos
# 1) localizar documentos con un dork (ver sección 4)
# 2) descargarlos y volcar metadatos
exiftool *.pdf *.docx | grep -iE "Author|Creator|Producer|Software|Company|GPS"

FOCA automatiza todo el ciclo: busca documentos de un dominio en los buscadores, los descarga y extrae metadatos para construir un mapa de usuarios, software interno y estructura de red — sin tocar al objetivo. Es la herramienta de referencia de la colección en español de la biblioteca interna de TitanSec.

4. Google Dorking: buscar lo que no debería estar público

Los operadores avanzados de buscador exponen paneles, backups, credenciales y ficheros sensibles indexados por error:

site:objetivo.cl -www                      # subdominios indexados
site:objetivo.cl filetype:pdf              # documentos (→ metadatos)
site:objetivo.cl inurl:admin | inurl:login # paneles de acceso
site:objetivo.cl filetype:env | filetype:sql | ext:bak   # secretos/backups
intitle:"index of" site:objetivo.cl        # listados de directorios

La Google Hacking Database (GHDB) mantiene miles de dorks categorizados listos para adaptar.

5. Personas, credenciales filtradas y exposición

El eslabón humano es parte del mapa:

• Correos y empleados: theHarvester, LinkedIn y patrones de correo (nombre.apellido@objetivo.cl) permiten construir listas para la fase de ingeniería social.
• Credenciales filtradas: servicios como Have I Been Pwned indican si correos corporativos aparecen en brechas conocidas — señal de contraseñas potencialmente reutilizadas.
• Repositorios y pastes: GitHub, GitLab y sitios de pastes suelen contener claves y configuraciones subidas por error. Búsquedas como "objetivo.cl" password acotan el ruido.

6. Infraestructura expuesta sin escanear

Shodan y Censys indexan internet constantemente; consultarlos es pasivo porque preguntas a su base de datos, no al objetivo:

# Shodan: servicios asociados a la organización
org:"Objetivo SpA"
hostname:objetivo.cl
ssl.cert.subject.cn:objetivo.cl

Y la Wayback Machine reconstruye versiones antiguas del sitio, revelando endpoints, parámetros y rutas que ya no existen en producción pero siguen activas en el backend:

# Todas las URLs históricas conocidas del dominio
curl -s "http://web.archive.org/cdx/search/cdx?url=*.objetivo.cl&output=text&fl=original&collapse=urlkey" \
  | sort -u > urls_historicas.txt

7. De la recolección al mapa

El OSINT no es acumular archivos, es construir el grafo del objetivo: dominios → subdominios → IPs → tecnologías → personas → correos → posibles credenciales. Ese mapa alimenta directamente las siguientes fases (enumeración activa, phishing dirigido, selección de vectores).

8. Conclusión

El reconocimiento pasivo bien hecho suele definir el éxito de todo lo que viene después: cuanto mejor el mapa, más quirúrgico el ataque y menos ruido en la fase activa. Con herramientas open source — theHarvester, amass, FOCA, exiftool, dorks y los grandes índices públicos — se puede perfilar una organización entera sin enviarle un solo paquete. Este flujo se apoya en el material de la biblioteca interna de TitanSec (colección de guías de OSINT y la obra sobre FOCA de la colección en español).

Fuentes

• OSINT Framework — árbol de herramientas y fuentes de OSINT.
• theHarvester y OWASP Amass (enumeración pasiva).
• OWASP WSTG — Information Gathering (metodología de recolección).
• crt.sh (Certificate Transparency) y Google Hacking Database (GHDB).
• Shodan y Wayback Machine.