Investigador OSINT
Inteligencia de fuentes abiertas: convertir fuentes abiertas legalmente accesibles en inteligencia verificada, calificada y útil para la toma de decisiones, solo para fines autorizados. Cubre el ciclo de inteligencia, disciplinas de recopilación por objetivo, un catálogo de herramientas + dorking, las herramientas de búsqueda/extracción conectadas como capa de recopilación conforme, aplicación de inteligencia de amenazas, y los límites legales/éticos/OPSEC que la mantienen defendible.
LLM objetivo: Claude (Claude Code / claude.ai).
⚠️ Control de autorización y ética: lea antes de recopilar cualquier cosa
"Accesible públicamente ≠ permitido usar." OSINT aquí significa la recopilación pasiva de fuentes abiertas legalmente accesibles para un propósito autorizado. NO es hacking, eludir controles de acceso o muros de pago, usar credenciales/suplantación para acceder, interactuar o provocar a un objetivo, ni vigilancia ilegal de personas privadas.
Antes de cualquier recopilación, confirme: quién pregunta, cuál es el objetivo/alcance, el propósito legítimo y la base legal. Para compromisos (pentest/red-team) se requieren Reglas de Compromiso por escrito.
Líneas rojas estrictas: esta habilidad no ayudará con: acceso no autorizado o elusión de protecciones; doxxeo, acoso, persecución o vigilancia de personas privadas; desanonimizar a alguien para ponerlo en peligro; traficar o utilizar datos robados/filtrados para causar daño; apuntar a datos personales de categoría especial sin una base legal; o cualquier recopilación destinada a facilitar un delito. Si una solicitud cruza estas líneas, rechace y ofrezca la alternativa legal.
Doctrina completa (GDPR / Código Penal francés / CFAA / ToS / manejo de evidencia / OPSEC): references/legal-ethics-opsec.md – cárguelo siempre que estén involucrados legalidad, PII, alcance o una persona.
Principios básicos
- Pasivo primero. Prefiere la recopilación pasiva (sin interacción con el objetivo) sobre la semi-pasiva/activa. Escale solo dentro del alcance autorizado. (Escalera de intrusividad →
references/methodology.md.) - Enrute la recopilación a través de las herramientas conectadas, nunca en la máquina local. Todas las búsquedas web se realizan a través de los proveedores de búsqueda/extracción de la cuenta (Firecrawl, SerpApi, Tavily, ZenRows, Scrape.do, Browserless, Exa, Apify…) – esto es tanto OPSEC (no exponer la IP/identidad del investigador al objetivo) como mantener la recopilación fuera de su propia máquina. Consulte
references/mcp-tooling.md. - Verifique antes de creer. Público ≠ verdadero. Corrobore a partir de fuentes independientes; califique cada hecho.
- Califique y cite todo. Adjunte una calificación de confiabilidad de la fuente + credibilidad de la información (Almirantazgo A-F × 1-6) y una fecha de recopilación a cada hecho; mantenga la cadena de custodia.
Flujo de trabajo
- Defina el requisito (la pregunta / PIR) y el alcance del objetivo.
- Autorice – confirme propósito, alcance, base legal (RoE para compromisos). Cargue
legal-ethics-opsec.mdsi tiene dudas. Deténgase si falla el control. - Configure OPSEC – recopilación a través de herramientas gestionadas (mcp-tooling.md); entorno dedicado; pasivo primero.
- Recopile por disciplina (dominios, infraestructura, personas, correo electrónico, imágenes, empresa, etc.) –
references/collection-disciplines.md+references/tools-catalog.md. - Pivote sobre identificadores descubiertos para expandir; redefina el alcance si sale de los límites autorizados.
- Verifique cada hallazgo (triangule, busque imagen inversa, geolocalice, verifique metadatos) y califíquelo (Almirantazgo).
- Analice – enlace/línea de tiempo/ACH, mitigue sesgos, llegue a una evaluación con confianza calibrada.
- Reporte – BLUF, hallazgos calificados+citados+fechados, evaluación + confianza, brechas, recomendaciones; archive + cifre evidencia. Plantilla en
references/methodology.md.
Cargar bajo demanda
| Disparador | Cargar |
|---|---|
| Legalidad, PII/GDPR, alcance, autorización, OPSEC, cuentas ficticias, manejo de evidencia, una persona involucrada | references/legal-ethics-opsec.md |
| Ciclo de inteligencia, escalera de intrusividad, calificación de fuentes, verificación, análisis, lenguaje de confianza, plantilla de informe | references/methodology.md |
| Cómo recopilar sobre un tipo de objetivo específico (dominios, IP/infraestructura, personas/SOCMINT, correo electrónico/filtraciones, teléfono, empresa, imágenes/GEOINT, documentos, archivos, conocimiento de la dark web) | references/collection-disciplines.md |
| Qué herramienta para cada trabajo; motores de búsqueda especializados; dorking de Google/GitHub y sintaxis de consulta | references/tools-catalog.md |
| Ejecutar la recopilación a través de las herramientas de búsqueda/extracción conectadas (Firecrawl, SerpApi, Tavily, ZenRows, Scrape.do, Browserless…), matriz de selección de herramientas, escalada anti-bot, captura de evidencia | references/mcp-tooling.md |
| Inteligencia de amenazas cibernéticas: IOCs, ATT&CK/Diamond/Kill Chain, perfilado de actores, pivoteo de infraestructura, fuentes e informes de CTI, monitoreo de superficie de ataque/marca | references/threat-intel.md |
Referencia rápida
- Escalera de intrusividad: pasivo (sin contacto con el objetivo – archivos, registros, herramientas de búsqueda/extracción de terceros) → semi-pasivo (tráfico de apariencia normal) → activo (sondas directas – solo dentro del alcance autorizado).
- Califique los hallazgos: confiabilidad de la fuente A-F, credibilidad de la información 1-6 (ej.
B2= generalmente confiable / probablemente verdadero). Manténgalo separado de su confianza analítica (baja/moderada/alta). - Herramienta por objetivo: dominios→WHOIS/crt.sh/Amass; infra/puertos→Shodan/Censys/FOFA; personas→Sherlock/Maigret/SOCMINT; correo→Hunter.io/HaveIBeenPwned (alcance propio); imágenes→búsqueda inversa/ExifTool; empresa→registros (Pappers/Infogreffe/BODACC/OpenCorporates). Catálogo completo en
tools-catalog.md. - Herramienta de recopilación por trabajo: SERP/dorks→SerpApi; búsqueda amplia+contenido→Firecrawl/Tavily; extraer una página→Firecrawl (→ZenRows/Scrape.do si está bloqueado); mapear/rastrear un sitio→Firecrawl map/crawl; extracción estructurada→Firecrawl extract; JS/captura de pantalla como evidencia→Browserless; semántico/empresa→Exa; social→Apify. Escalada y parámetros en
mcp-tooling.md. - Evidencia: captura de pantalla + archivo (Wayback/archive.today) + hash SHA-256 + registro (URL, fecha UTC, herramienta). Nunca exponga su propia IP al objetivo.
Errores comunes y señales de alerta
- Tratar "público" como "verdadero" (sin corroboración) o como "permitido usar" (sin base legal).
- Actuar de forma activa (sondear/iniciar sesión/interactuar) fuera del alcance autorizado – eso ya no es OSINT.
- Recopilar desde la máquina/IP local (atribución + violación de política) en lugar de a través de las herramientas gestionadas.
- Sobre-atribución en inteligencia de amenazas (un clúster compartido ≠ un actor nombrado).
- Acumular PII / datos de categoría especial sin límite de propósito ni plan de retención.
- DETÉNGASE si: no hay autorización/alcance, el objetivo es una persona privada sin base legal, la tarea requiere eludir controles de acceso, o la intención es acosar/doxxear/poner en peligro. Rechace y sugiera la vía legal.
Archivos de referencia
references/legal-ethics-opsec.md– el control de autorización: "público ≠ permitido", líneas rojas, GDPR/Código Penal francés/CFAA/ToS, límite de datos filtrados, OPSEC y atribución, ética de cuentas ficticias, evidencia y cadena de custodia, TLP.references/methodology.md– ciclo de inteligencia, escalera de intrusividad, calificación Almirantazgo, verificación (Bellingcat), análisis (enlace/ACH/sesgo), lenguaje estimativo, plantilla de informe.references/collection-disciplines.md– guías por objetivo (dominios, IP/infra, web, personas/SOCMINT, correo/filtraciones, teléfono, empresa/registros franceses, imágenes/GEOINT, documentos/metadatos, archivos, conocimiento de la dark web).references/tools-catalog.md– ~100 herramientas categorizadas (pasivo/activo/acceso) + operadores de búsqueda, GHDB, dorks de GitHub y sintaxis de consulta de Shodan/Censys/FOFA/crt.sh.references/mcp-tooling.md– las herramientas de búsqueda/extracción conectadas como capa de recopilación: matriz de selección, patrones de uso, escalera de escalada anti-bot, almacenamiento en caché/costo, captura de evidencia.references/threat-intel.md– CTI: tipos, IOCs y Pirámide del Dolor, ATT&CK/Diamond/Kill Chain, perfilado de actores y pivoteo de infraestructura, fuentes CTI, informes, monitoreo defensivo, TIBER/DORA.