OSINT: el arte de saber todo de vos

Todo comenzó hace apenas siete días, cuando un videojuego gratuito publicado en la plataforma Steam pasó de ser un inocente pasatiempo a convertirse en la pesadilla de cientos de usuarios. Block Blasters, un plataformero de disparos en 2D con estética retro, había sido lanzado el 31 de julio con reseñas mayormente positivas. Días después, el 30 de agosto, recibió una actualización, algo rutinario para cualquier videojuego, ya que suelen corregir errores, mejorar el rendimiento o sumar nuevo contenido. Esta vez, sin embargo, la descarga escondía un secreto oscuro.

Lo que parecía un simple parche de mantenimiento resultó ser un insidioso malware del tipo infostealer, un software malicioso cuyo único propósito es recopilar y robar información sensible del sistema infectado. Mientras pasaba totalmente desapercibido bajo la fachada de un entretenimiento inofensivo, Block Blasters recolectaba contraseñas y cookies de inicio de sesión de los navegadores, tokens de autenticación para perfiles de plataformas como Steam, y claves y datos de acceso a billeteras de criptomonedas y cuentas bancarias.

Entre el centenar de víctimas se encontraba RastalandTV, nombre de usuario del streamer lituano Raivo Plavnieks, quien lucha contra un cáncer en etapa 4. Durante una de sus acostumbradas transmisiones de gaming, alguien en el chat le recomendó descargar Block Blasters, para entonces ya convertido en una trampa disfrazada de juego verificado en Steam. Minutos después, él y su audiencia vieron en vivo y en directo cómo desaparecían 32.000 dólares que el streamer había ahorrado para su tratamiento.

Un robo tan despiadado despertó inmediatamente a la comunidad. Lejos de permanecer indiferentes, gamers, criptobros y expertos en ciberseguridad -los llamados white hat hackers, es decir, los hackers buenos- se pusieron a trabajar rápidamente para intentar dar con los responsables detrás de Block Blasters. “Primero hicieron ingeniería inversa al juego”, explica David Pérez, analista de Inteligencia de Amenazas, a Rosario3. “Consiste en descomponer una pieza de software y analizarla desde su origen para entender cómo funciona. Así, descubrieron que los autores habían dejado en los archivos de configuración, datos como los nombres de usuario y canales de Telegram donde operaban. Un error de aprendiz imperdonable”, advierte.

“Los delincuentes no cubrieron sus huellas, y con esos datos, la comunidad de hackers comenzó a aplicar técnicas de OSINT para rastrearlos”, cuenta el especialista en ciberseguridad. Así, descubrieron que el malware enviaba la información robada a un canal de Telegram creado por los estafadores, y utilizando las mismas credenciales que habían dejado en los archivos pudieron ingresar y obtener los Telegram ID de los administradores, un código de identidad que tiene cada usuario en la plataforma.

A partir de allí comenzaron a cruzar datos. Así, encontraron que uno de los ciberdelincuentes participaba en varios foros de fraude, mientras que en un grupo pedía un programador para un juego 2D y en otro hablaba de su pasión por el skate. En un canal distinto compartió incluso su cuenta de Instagram, llena de fotos junto a autos de lujo y paseos en yate. En este perfil incluía un LinkTree a sus otros perfiles en plataformas como YouTube, Kick, Twitter y PayPal; un rastro tan obvio como torpe. “De este modo, identificaron a un argentino que estaría viviendo en Estados Unidos con visa de trabajo. Como en el cuento de Hansel y Gretel, fueron siguiendo las migas hasta llegar al objetivo”, ilustra Perez.

“Si bien son delincuentes, no son profesionales”, aclara el analista de Inteligencia de Amenazas. “No se requiere de gran expertise para mandarle un virus a alguien disfrazado de juego o programa y luego robarle su dinero. Cualquier persona con conocimientos medios de informática puede hacerlo. En la comunidad de ciberseguridad los llamamos Script Kiddies, gente sin conocimientos profundos y sin escrúpulos que usan programas creados por otros para cometer ataques. Son principiantes, y de esa manera es que descuidan una de las fases más importantes de un ataque: borrar tus huellas”.

Así es como la cultura de la superficialidad imperante en las redes sociales, donde el éxito se mide en likes y la validación social pasa por mostrar prosperidad económica, termina siendo la perdición de estos estafadores con aspiraciones de influencers. El caso de Valentín, el supuesto ciberdelincuente argentino radicado en Miami e identificado como uno de los cerebros detrás de Block Blasters, ilustra perfectamente esta contradicción del delito moderno. Autoproclamado estrella de Instagram, no pudo resistir la tentación de exhibir sus aparentes logros en redes sociales, construyendo un perfil público de vida de lujos que contradecía cualquier intento de anonimato. Así, cada publicación ostentosa se convirtió en una pista más para los investigadores de OSINT que eventualmente lo desenmascararon.

Pero, ¿qué es exactamente OSINT y cómo una técnica utilizada por agencias de inteligencia terminó siendo la herramienta clave para desenmascarar a los ciberdelincuentes detrás de Block Blasters? “OSINT es el acrónimo de Open Source Intelligence, y hace referencia a la inteligencia de cualquier tipo que provenga de fuentes abiertas, es decir información que esté disponible públicamente”, explica David Pérez. “Páginas web, redes sociales, foros, grupos de Telegram y WhatsApp, artículos periodísticos, YouTube, Google Earth... Las fuerzas de seguridad y los investigadores privados utilizamos siempre OSINT para reunir información de un objetivo, y los ciberdelincuentes también lo hacen”, agrega. 

Si bien se trata de información que está al alcance de todos, no se trata solo de recolectar datos al azar, sino de seguir un proceso de análisis y verificación que transforma esta materia prima pública en conocimiento estratégico. “Pueden ser datos dispersos sin ningún tipo de relación, pero que procesados y analizados, se convierten en información y luego en inteligencia”, aclara el experto. Esto permite, por ejemplo, que una fuerza de seguridad identifique a un prófugo a partir de una foto en redes sociales, que un periodista compruebe la autenticidad de un video o que un internauta detecte un anuncio falso en marketplace revisando si las fotos del producto ya circulan en otras publicaciones con distintos vendedores.

Cada clic y cada publicación que hacemos en internet deja un rastro. Una foto con geolocalización activada, una intervención en un foro olvidado, un alias repetido en distintas redes, comentarios en las publicaciones de un contacto; todo se traduce en información pública que, con paciencia y método, puede reconstruir un perfil bastante preciso de una persona. Ese fenómeno, conocido como huella digital, es la materia prima del OSINT. Y no se limita a criminales o hackers, lo mismo aplica para cualquiera de nosotros. 

Alguien lo suficientemente observador y motivado podría hilar esos datos dispersos y, sin necesidad de vulnerar contraseñas, armar un mapa sorprendentemente detallado sobre quiénes somos, qué hacemos, dónde estuvimos y con quién nos relacionamos. “El anonimato total no existe, pero se pueden tomar medidas para bajar el nivel de exposición”, afirma David Pérez. 

Para los investigadores de OSINT, las redes sociales son una verdadera mina de oro, porque allí los usuarios exponen -voluntaria o involuntariamente- una inmensa cantidad de información personal. Pero otro tanto puede encontrarse en registros públicos y gubernamentales disponibles en la web, o incluso los metadatos de un PDF o un documento de Word, que muchas veces revelan mucho más de lo que su autor hubiera querido.

Vivimos una era curiosa, donde documentamos obsesivamente nuestras vidas y la compartimos libremente con extraños. Cada experiencia busca su validación, y cada logro, su momento de gloria en las redes. Rápidamente olvidamos que no existe la privacidad perfecta en el mundo digital, y a veces por vanidad y otras veces por inocencia, vamos dejando las piezas de un rompecabezas que cualquiera con tiempo y dedicación puede volver en nuestra contra. No se trata de si alguien puede rastrearnos, sino de cuándo decidirá hacerlo.