OSINT e IA: cómo los atacantes usan la información pública

Cuando se habla de un ciberataque, la imagen que aparece es casi siempre la misma: alguien rompiendo una contraseña a las tres de la madrugada. La realidad suele ser mucho más aburrida. Quien ataca empieza leyendo. Lee lo que la empresa cuenta de sí misma y lo que cuenta la gente que trabaja en ella.

A eso se le llama OSINT —open source intelligence, inteligencia de fuentes abiertas—: recopilar y cruzar información accesible públicamente, sin entrar en ningún sistema. No son datos robados. Es información pública, publicada de forma voluntaria y, en una parte nada pequeña, publicada por obligación legal.

Importa porque es la materia prima del phishing, del vishing, de la estafa del CEO y, en general, de la ingeniería social. La IA entra después, y acelera el paso más costoso: convertir fragmentos sueltos en un correo, un guion de llamada o un contexto profesional que se sostiene de principio a fin.

Qué encuentra el OSINT sobre una empresa en España

Muchas direcciones responden lo mismo: «nosotros no publicamos nada sensible». Quien ataca no busca un secreto único. Busca piezas de un puzle, y el ordenamiento español pone unas cuantas sobre la mesa.

El BORME. El Boletín Oficial del Registro Mercantil publica cada día hábil las constituciones de sociedades, los nombramientos y ceses de administradores, los cambios de domicilio social, las ampliaciones de capital y las modificaciones estatutarias. Un nombramiento de dirección financiera es, para quien prepara un fraude, tres cosas a la vez: un nombre, una fecha y una ventana de unas semanas durante la cual nadie de la casa reconoce todavía esa firma ni ese estilo al teléfono.

Las cuentas anuales. Las cuentas depositadas en el Registro Mercantil son consultables por cualquiera. De ahí salen el tamaño real, el resultado, la tesorería, el número medio de personas empleadas y, con suerte para quien mira, la dependencia de un solo cliente o la existencia de una auditoría en curso. Es información que ningún correo de phishing consigue por sí mismo y que se obtiene pagando unos euros.

Las adjudicaciones y los pliegos. Si vendes a una administración, el perfil de contratante y la Plataforma de Contratación del Sector Público publican el órgano de contratación, la empresa adjudicataria, el importe, el plazo y —esto es lo que de verdad importa— el pliego de prescripciones técnicas. Un pliego describe con nombre y versión el software que se va a integrar, los entornos, a veces hasta los horarios de intervención. La Ley 19/2013 de transparencia añade, para el sector público, organigramas, relaciones de puestos de trabajo y contratos menores.

Las ofertas de empleo. La fuente más infravalorada de todas. Un anuncio que pide tres años con un hipervisor concreto, manejo de un cortafuegos con nombre y apellidos, un ERP determinado y un programa de nóminas identificado acaba de publicar la pila tecnológica, el nivel de madurez y el departamento que está creciendo. Y lo ha hecho con la mejor de las intenciones.

LinkedIn. El filtro «personas que trabajan en» reconstruye un organigrama aproximado en tres clics: cargos, antigüedad, dependencias deducibles, incorporaciones recientes anunciadas por quienes se incorporan. Los comentarios bajo las publicaciones corporativas completan el mapa, y suelen ser más elocuentes que las publicaciones.

Tu propia web. La política de privacidad nombra a la persona delegada de protección de datos y su dirección de contacto. La página de equipo da nombre, cargo y fotografía, y de ahí se deduce en un minuto el formato de las direcciones de correo. Las notas de prensa nombran clientes y proveedores. Los PDF antiguos siguen indexados, con sus metadatos intactos.

Lo técnico, que también es público. Los certificados TLS quedan anotados en los registros públicos de Certificate Transparency, y con ellos aparecen subdominios que nadie pensaba enseñar: vpn., correo., erp., preproduccion.. A eso se suman las credenciales corporativas expuestas en filtraciones anteriores, que circulan recopiladas y ordenadas por dominio.

Las imágenes y el audio. Fotografías de instalaciones y de ferias —acreditaciones, pantallas, pizarras, cajas con el logotipo de un proveedor—; webinars, pódcast, entrevistas e intervenciones grabadas que dejan muestras de voz perfectamente aprovechables.

Por separado, nada de esto es confidencial. Junto, dibuja una organización, sus proyectos, sus prioridades internas y sus circuitos de aprobación. Por eso la huella digital es un asunto de seguridad y no solo de comunicación.

Cómo se monta el relato

Un caso corriente. Una ingeniería de tamaño medio anuncia en LinkedIn que se ha adjudicado un contrato de mantenimiento con un ayuntamiento. Dos personas de la plantilla comentan la publicación; una de ellas tiene «jefa de proyecto» en el perfil. La web publica la dirección de contacto de administración. Una oferta de empleo menciona el ERP con el que se trabaja. Una fotografía de taller deja leer el nombre de una subcontrata. El BORME dice que el responsable de administración y finanzas se incorporó hace seis semanas.

Con eso basta para escribir esto:

«Buenos días, Marta. Te adjunto la factura rectificativa del expediente 2026/0143. Con la integración hemos cambiado de entidad bancaria y el IBAN nuevo va al pie. ¿Puedes actualizar la ficha antes del vencimiento del viernes?»

No se parece a un phishing genérico. Hay un nombre, un expediente, una herramienta, un contexto de trabajo y una fecha límite. El mensaje tiene sentido, que es exactamente lo que hace falta para que alguien lo atienda sin pensar.

Qué cambia la IA, y qué no

La IA no da acceso a ningún dato nuevo. Lo que elimina es el coste del trabajo tedioso: leer mucho material público, quedarse con lo aprovechable y reescribirlo en un castellano profesional impecable.

Quien ataca puede darle a un modelo un perfil, una oferta de empleo y una nota de prensa, y pedirle un correo dirigido a administración, un mensaje de LinkedIn personalizado, un guion de llamada o una falsa correspondencia de proveedor. Puede ajustar el tono: formal, cercano, seco, muy técnico. Y puede producir treinta variantes en el tiempo que se tarda en leer una.

La consecuencia práctica es que las faltas de ortografía han dejado de ser una señal fiable. Las campañas dirigidas a España llegaban mal traducidas: tildes ausentes, concordancias raras, un tratamiento que cambiaba de párrafo a párrafo, calcos del inglés en el asunto. Ese indicador se ha evaporado. Un phishing con IA está a menudo mejor escrito que el correo interno medio, y lo que ha cambiado en el resto del arsenal ofensivo lo desarrollamos en la IA como herramienta de ataque.

Lo que no ha cambiado es la petición. Una transferencia, una credencial, un código de verificación, un fichero, un acceso. Ahí sigue siendo posible comprobar, y comprobar es lo único que merece la pena enseñar.

El pretexting, o la creación de un pretexto

El pretexting consiste en inventar una situación creíble y sostener un papel el tiempo suficiente para que alguien haga algo. Quien ataca se presenta como una empresa proveedora nueva, como un cliente, como un compañero de otro centro de trabajo, como el soporte informático o el fabricante de un programa que de verdad usas, como una empresa de transporte, como quien audita las cuentas, como alguien que se presenta a una vacante abierta o como un mando, un gestor del banco o personal de una administración.

Un buen pretexto no es espectacular. Es corriente. Encaja en una jornada normal y llega en el momento en que resulta plausible: la víspera de un cierre, durante las vacaciones de la dirección financiera, la semana de una migración anunciada en una oferta de empleo. Por eso funciona. En qué es la ingeniería social desglosamos los pretextos que más se repiten en ejercicios reales en España.

Cuatro montajes que funcionan en España

El fraude del cambio de cuenta bancaria

Quien ataca averigua quién tramita las facturas y con qué proveedores trabajas. Envía una comunicación de cambio de cuenta que reproduce el formato, el número de expediente y la firma del proveedor real. Sin una llamada de vuelta a un número que ya tenías antes, la transferencia sale a la cuenta equivocada. Es la variante más frecuente y la más silenciosa: nada es urgente, nada es secreto, y el desfase no aparece hasta la reclamación del impago. Desde octubre de 2025 tu entidad comprueba que el IBAN y el nombre de la persona beneficiaria coinciden, pero ese aviso llega al final del proceso y no sustituye a tu comprobación previa.

La estafa del CEO

La misma mecánica con una capa de autoridad encima: un mensaje presentado como de la dirección pide una transferencia urgente y confidencial, casi siempre ligada a una operación «que todavía no es pública». El BORME y la prensa económica aportan el contexto que hace creíble la historia, y los vídeos corporativos aportan la voz. Lo tratamos a fondo en la estafa del CEO con deepfake de voz.

El falso soporte técnico

Las ofertas de empleo dicen qué herramientas usas. Quien ataca llama a alguien de la plantilla y se presenta como el soporte de esa herramienta concreta: «Buenos días, llamo por el ERP. Hoy estamos con la migración y necesito verificar tu acceso.» Nombrar el producto correcto basta muchas veces para ganarse el beneficio de la duda, porque nadie espera que un desconocido sepa qué software se usa en el departamento.

La preparación de un deepfake de voz

Webinars, pódcast, entrevistas, intervenciones en ferias: la dirección deja muestras de voz utilizables sin proponérselo. Cuanto más material público hay, más sencilla es la preparación. Y la contramedida no es el oído de quien atiende la llamada, que falla en cuanto hay prisa: es devolver la llamada a un número que ya estaba en la agenda.

Lo que dice el derecho español

Consultar no es entrar. Recopilar información pública no está tipificado. Lo que sí lo está es acceder o mantenerse sin autorización en un sistema de información (art. 197 bis del Código Penal) y dañar, borrar o alterar datos y sistemas ajenos (art. 264). Por eso todo nuestro trabajo se hace con mandato escrito y con un alcance definido en contrato: el mandato, y solo él, es lo que separa un test de un delito.

El pretexto ya tiene nombre jurídico. El art. 248 del Código Penal define la estafa por el «engaño bastante para producir error en otro, induciéndole a realizar un acto de disposición en perjuicio propio o ajeno». Un falso proveedor que consigue una transferencia encaja en esa definición sin necesidad de forzar nada.

El RGPD espera que lo compruebes. El art. 32.1.d) del RGPD enumera, entre las medidas apropiadas, «un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento». Los controles humanos —reconocer, comprobar, avisar— entran ahí exactamente igual que los técnicos. Y si un pretexto que sale bien acaba en una brecha de datos personales, el plazo del art. 33 para notificarla a la AEPD es de 72 horas.

El propio OSINT trata datos personales. Aquí arrastramos un malentendido de hace veinte años. La LOPD de 1999 definía unas «fuentes accesibles al público» que permitían tratar ciertos datos sin consentimiento. El RGPD no recogió esa categoría y la LOPDGDD tampoco la ha recuperado: que un dato sea público no lo deja fuera de la norma. Un expediente con nombres y apellidos sobre tu plantilla es un tratamiento y necesita base jurídica, minimización real, un plazo de conservación corto y un contrato de encargo. Pregúntaselo a cualquier proveedor que te ofrezca reconocimiento en fuentes abiertas; es una pregunta que se hace poco y la respuesta enseña mucho.

Sector público y cadena de suministro. Si trabajas para una administración o le prestas servicios, el Esquema Nacional de Seguridad (RD 311/2022) sitúa la concienciación del personal entre las medidas del marco de personal, en [mp.per.3], y las pruebas técnicas encajan como insumo de la auditoría del art. 31. Qué exige realmente el ENS en esta materia lo desglosamos en otro artículo.

Y la NIS2, que aún no es ley aquí. A 12 de septiembre de 2026 la Directiva NIS2 no está transpuesta en España, de modo que sus obligaciones todavía no son exigibles como derecho interno; el Reglamento de Ejecución (UE) 2024/2690, en cambio, es directamente aplicable a determinadas categorías de proveedores digitales y contempla la concienciación del personal entre sus requisitos. El detalle, en qué obliga hoy la NIS2 en España y qué no.

Reducir tu huella digital sin desaparecer de internet

El objetivo no es dejar de comunicar. Necesitas marketing, ventas, selección de personal, LinkedIn, una web y visibilidad. El objetivo es publicar sabiendo qué se publica.

En el plano individual

• No detalles procesos internos en tus publicaciones.
• Pregúntate si cada herramienta de trabajo tiene que figurar en tu perfil.
• Desconfía de las peticiones de personas desconocidas, por cordiales que sean.
• No abras un enlace recibido por mensaje privado sin comprobarlo antes.
• Mira qué enseñan tus fotografías: pantallas, acreditaciones, pizarras, documentos.
• No envíes documentación de trabajo desde una cuenta personal.

En el plano de la organización

• Revisa qué publica tu web, incluidas las páginas antiguas y los PDF olvidados.
• Repasa las ofertas de empleo y quita los detalles técnicos que no filtran candidaturas.
• Fija una regla de relectura de las imágenes antes de publicarlas.
• Trabaja la concienciación de tu equipo sobre OSINT e ingeniería social con ejemplos reales, no con teoría.
• Impón un procedimiento de comprobación para todo pago y todo cambio de datos bancarios.
• Monitoriza los nombres de dominio parecidos al tuyo.
• Haz que avisar de un mensaje sospechoso sea inmediato y no tenga coste social.

Los dos últimos puntos cuestan menos de lo que parece. Un botón de aviso que funciona en dos clics rinde a menudo más que una medida técnica adicional: acorta el tiempo entre la primera persona afectada y el momento en que tu equipo sabe que hay una campaña en marcha.

LinkedIn, una herramienta de doble filo

LinkedIn es útil. Sirve a la marca, a la venta, a la selección y a compartir lo que sabes. También es una fuente excelente para quien ataca. Eso no significa que haya que renunciar a él, significa que hay que elegir qué se pone.

Una publicación del tipo «nuestro equipo financiero está cerrando una auditoría de envergadura con un proveedor externo» parece inofensiva desde comunicación. Desde el otro lado da un departamento, una actividad, un periodo y un papel que interpretar.

La regla cabe en una frase: comparte resultados, no detalles internos.

La lista de comprobación antes de publicar, para marketing y RR. HH.

Son los dos departamentos que más publican, así que merecen una lista corta. Antes de darle a publicar, pregúntate:

• ¿Se ven pantallas, documentos o notas internas en la fotografía?
• ¿Estamos nombrando a personas junto a sistemas sensibles?
• ¿Damos más detalle técnico del necesario?
• ¿Estamos revelando quién aprueba los pagos o concede los permisos?
• ¿Puede este contenido servir de excusa para un primer contacto?
• ¿Anunciamos en tiempo real la ausencia de personas clave?

Cómo reproducimos esto en un test

Un test de ingeniería social sigue la misma secuencia que un ataque real, pero dentro de un alcance acordado de antemano y con mandato escrito.

1. Reconocimiento en fuentes abiertas. Cartografiamos lo que se encuentra sobre tu organización: dominios y subdominios, formato de las direcciones de correo, publicaciones registrales, adjudicaciones, ofertas de empleo, perfiles públicos y credenciales corporativas aparecidas en filtraciones anteriores. Solo fuentes abiertas, sin entrar en ninguna cuenta.
2. Diseño de los pretextos. De ahí salen tres o cuatro escenarios coherentes con tu día a día: una petición de una empresa proveedora, una nota interna, una llamada sobre una herramienta que usas de verdad.
3. Ejecución. Según el alcance, mediante campañas de phishing, vishing y smishing o dentro de un ejercicio de Red Team, donde la entrada humana se combina con etapas técnicas.
4. Informe y contraauditoría. Recibes los hallazgos, los pretextos empleados y correcciones concretas de proceso, de técnica y de concienciación. La contraauditoría va incluida y sin coste añadido: una vez aplicadas las correcciones, volvemos a probar el mismo escenario.

Conviene decir dónde está el límite, porque en OSINT se confunde con facilidad. Trabajamos sobre la superficie de exposición de la organización —dominios, direcciones, documentos, sistemas expuestos, menciones públicas—, no sobre personas concretas: no elaboramos perfiles de individuos y los servicios reservados del art. 5.1 de la Ley 5/2014 de Seguridad Privada quedan fuera de lo que hacemos y de lo que un contrato puede pedirnos.

Y lo que evaluamos son medidas organizativas, no personas. Los resultados se devuelven agregados; nadie queda identificado ni sancionado. Una simulación que termina en una lista de nombres no produce nada útil: estropea justamente la confianza que necesitas para que te lleguen los avisos. La pregunta no es quién hizo clic, sino si el procedimiento de comprobación, el canal de aviso y los filtros técnicos hicieron su trabajo. Qué hay que preparar antes del primer correo simulado —información previa a la plantilla, participación de la representación de las personas trabajadoras, base jurídica y minimización— lo tienes en simulación de phishing y derechos de los trabajadores.

Por la misma razón, un test va siempre acompañado de concienciación. Medir sin explicar no cambia nada; explicar sin medir, tampoco.

En resumen

OSINT e IA forman una combinación eficaz, y ninguna de las dos partes exige conocimientos técnicos extraordinarios. La información pública aporta la materia prima, la IA la convierte en una historia creíble y una persona con prisa comete el error.

La buena noticia es que el riesgo se reduce. No hace falta desaparecer de internet. Hace falta saber qué es público, a quién le sirve, y apoyar tus salvaguardas en la comprobación y no en la intuición de quien recibe el mensaje.

Antes de publicar, basta con una pregunta: «¿Esta información sirve más a tus clientes o a quien te quiere atacar?»

OSINT e IA: preguntas frecuentes

Nuestros servicios relacionados: test de ingeniería social y campañas de phishing simulado · concienciación en ciberseguridad para tu plantilla · Red Team: una simulación de ataque realista