LecturaBienvenida: OSINT en un CTF y la línea que no se cruza
Bienvenida
Bienvenido a CTF de OSINT: investigar un expediente ficticio. Es para quien quiere jugar su primer CTF y se topa con la categoría OSINT sin saber por dónde empezar. Necesita una computadora con Windows, Linux o macOS y, si puede, exiftool; el reto no requiere internet.
Son cinco lecciones: esta, una ficha de herramientas, una práctica guiada con una foto de muestra, el reto (un expediente cerrado que viene en un zip) y el writeup. Al final hay un quiz de 4 preguntas. Cuente con unos 50 minutos.
Cómo se ve un reto de OSINT
OSINT viene de Open Source Intelligence, inteligencia de fuentes abiertas. En un CTF el enunciado trae una foto o un usuario y una pregunta concreta: "¿en qué ciudad se tomó esta foto?". La flag se arma con las respuestas en el formato que fija el enunciado.
No hay nada que romper. Hay datos dispersos que usted une: un nombre en la página "Sobre mí" que explica una frase suelta de un comentario. A eso se le llama pivotar.
Casi todo el que empieza agarra la lupa y busca un rótulo o una montaña conocida en el fondo de la foto, cuando la coordenada viene dentro del archivo. Por eso, a cualquier imagen le leo primero los metadatos.
La línea que no se cruza
En los CTF públicos los organizadores inventan personas para el evento. Si el rastro lo lleva a una persona real que no es parte del reto, se detiene ahí, igual que en el trabajo.
En Costa Rica la Ley 8968 protege los datos personales y la Prodhab vigila que se cumpla. Que un dato sea visible no le da permiso para cruzarlo hasta armar el perfil de alguien. Una auditoría de exposición seria tiene un alcance escrito y firmado, el consentimiento de la persona cuando se investiga a una persona, y una regla fija: ningún hallazgo se publica. El informe va a quien lo pidió y los datos se borran al cerrar.
Por eso el reto no lo manda a internet: Café del Valle, una empresa ficticia, pidió la auditoría con el permiso firmado de una empleada inventada.
Del lado defensivo: un estafador que prepara un phishing dirigido a una cajera hace exactamente esto con sus fotos. Si usted sabe hacerlo, sabe qué recomendarle que quite.