Una redacción de investigación estaba siguiéndole la pista a un procesador de pagos de tamaño medio implicado en varios casos de fraude. Dos reporteros entraron a mirar la misma tarde, por comodidad y desde la red de la oficina, la web de la empresa, los perfiles de LinkedIn del equipo directivo y las páginas «about» de las filiales. Tres días después la jefa de redacción recibió una llamada de la agencia de comunicación del objetivo preguntando cómo iba el reportaje. La investigación estaba quemada antes de que nadie hubiera escrito una sola línea.
Las fuentes abiertas están abiertas; visitarlas casi nunca lo está. Los sitios registran direcciones IP, cookies de sesión, referrers, atributos de fingerprint y, muchas veces, hasta el comportamiento de scroll. LinkedIn le enseña al dueño del perfil quién ha pasado por ahí. Algunas webs corporativas montan Clearbit u otras herramientas de lead identification que cruzan tu IP con el nombre de tu empleador. En OSINT eso significa que el trabajo de verdad empieza antes del clic.
Lo que los investigadores filtran sin darse cuenta
El rastro más evidente es la dirección IP. Investigar desde una VPN corporativa o desde un rango regional de un ISP delata a tu empleador y tu zona geográfica. Para los objetivos que vigilan sus logs de visitantes (grandes empresas, actores bajo lupa, estafadores con su propio stack de logging), suele ser la primera señal de que hay una investigación en marcha.
Luego vienen las cookies y las sesiones iniciadas. Hacer OSINT en un perfil personal de Chrome es trabajar con tu cuenta real de Google enchufada por detrás. Una búsqueda en Google sobre una persona se queda atada a tu correo, un clic en YouTube le dice a la plataforma que ese tema te interesa, y de una fuente abierta a tu bandeja de entrada puede haber un solo cruce de cookies.
El fingerprint cierra el cuadro. El de tu navegador es lo bastante estable como para que un objetivo con sus propias analytics te reconozca de una visita a otra y de un sitio a otro, incluso después de borrar las cookies. Mira Browser Fingerprinting para ver la mecánica interna.
Construir cuentas sock puppet como es debido
Una cuenta sock puppet no es una mentira. Es una cuenta de trabajo desconectada a propósito de tu identidad, pensada para que puedas moverte por las plataformas sin que nada acabe en tu nombre real. La clave es la coherencia: nombre, fecha de nacimiento, dominio del correo, número de teléfono y dispositivo deben encajar entre sí. Plataformas como Facebook o LinkedIn detectan contradicciones en la firma de una cuenta y tumban registros nuevos sin contemplaciones.
La segunda clave es la fase de calentamiento. Una cuenta que el primer día busca a una persona concreta canta a kilómetros. Una con tres semanas de actividad normal antes de la búsqueda sensible se diluye en el ruido. Reserva tiempo de calentamiento antes de necesitar la cuenta de verdad.
Y la tercera clave: cada sock puppet vive en su propio perfil de navegador. Las sesiones no pueden solaparse jamás, porque cookies, referrers y fingerprints compartidos acabarían vinculando todas las cuentas entre sí.
Higiene del navegador para sesiones OSINT
El navegador del portátil de trabajo es enemigo del OSINT limpio. Está vinculado a tu empleador, guarda tus sesiones de producción y comparte datos de fingerprint con todos los sitios a los que entras por placer. La regla más sencilla y más eficaz: el OSINT no se hace jamás en el navegador del día a día.
Un entorno limpio tiene cuatro propiedades. Arranca sin cookies guardadas. No lleva ninguna extensión instalada, porque cada extensión añade una dimensión más al fingerprint. Usa una dirección IP que no se pueda asociar ni a tu empleador ni a tu casa. Y desaparece al cerrar la sesión, de modo que un compromiso posterior del dispositivo no destape ningún historial.
Un navegador remoto aislado cumple las cuatro condiciones de forma automática. Corre en la nube, no tiene contacto con tus cuentas, muestra una IP fuera de tu red y se tira por completo al terminar la sesión. Para redacciones y equipos de investigación, esa es la infraestructura de partida.
Separación de IP, DNS y timing
La higiene de IP es bastante más que una VPN. Los rangos de las VPN comerciales están más que fichados en los sitios relevantes para una investigación, que o los bloquean o los registran con marca especial. Los residential proxies, IPs de conexiones domésticas reales, parecen menos sospechosos, pero son un campo de minas legal y ético cuando su origen no está claro. El término medio razonable: IPs de centros de datos serios, en países que cuadren con la investigación.
La separación de DNS está infravalorada. Si tu dispositivo resuelve el DNS por el resolver corporativo antes de que el túnel VPN esté levantado, tienes una fuga de DNS que enseña exactamente los sitios que ibas a visitar de forma anónima. Un navegador aislado en la nube resuelve el DNS fuera de tu red y zanja el problema de raíz.
El timing también pesa. Varios reporteros de la misma redacción consultando el mismo dominio en menos de una hora dibujan un patrón que salta a la vista en cualquier stack decente de analytics. Espacia las visitas, evita los picos localizados.
Un flujo de trabajo sostenible
«Voy a mirar una cosa rápida» es la razón más habitual por la que las investigaciones se queman. Un flujo de trabajo sostenible es el que hace que abrir el entorno de investigación sea más rápido que abrir tu navegador de siempre. Un marcador, un acceso directo en el escritorio o una entrada en el launcher que abra directamente una sesión aislada es lo que separa un camino limpio de uno quemado.
Documenta cada sesión, por corta que sea. Las capturas se hacen desde dentro de la sesión y se exportan desde ahí. Una captura casi nunca lleva metadatos identificativos, pero el perfil del navegador del que salió sí los lleva.
Llévate un escritorio entero a cualquier dispositivo
Prueba Browser.lol gratis y trabaja como en un PC desde el móvil.
Abrir mi navegador en la nubeSin descargas • Funciona en cualquier dispositivo
