La ingeniería social rara vez comienza con un correo falso o una llamada sospechosa. Comienza mucho antes, en una fase silenciosa: el reconocimiento o footprinting. Antes de diseñar un pretexto convincente, un atacante necesita responder una pregunta básica: ¿qué información sobre su objetivo ya está disponible públicamente, sin necesidad de vulnerar ningún sistema?
Esta es la esencia del OSINT (Open Source Intelligence): la recolección sistemática de datos que personas y organizaciones exponen, muchas veces sin saberlo. Benavides, Fuertes y Sánchez (2020) señalan que el phishing, una de las manifestaciones más comunes de la ingeniería social, depende en gran medida de la calidad de la información previa que el atacante logra reunir sobre su víctima, ya que esto determina cuán creíble resulta el engaño.
En esta entrada documento una práctica de reconocimiento con tres herramientas complementarias theHarvester, whois y Wappalyzer y reflexiono sobre cómo estas mismas herramientas, usadas de forma defensiva, ayudan a las organizaciones a entender y reducir su exposición.
El reconocimiento como base de todo ataque de ingeniería social
Un ataque de ingeniería social exitoso depende de la credibilidad del pretexto. Un correo que menciona el nombre real de un empleado, su cargo, el dominio de correo corporativo o la plataforma web que utiliza la empresa resulta mucho más convincente que un mensaje genérico. Bohdan y Vasyl (2024) plantean que comprender estas técnicas de recolección de información no es solo una habilidad ofensiva, sino una competencia profesional necesaria para quienes trabajan en seguridad informática, ya que permite anticipar el tipo de datos que un atacante podría explotar antes de que el ataque ocurra.
Las tres herramientas a continuación presentadas pertenecen a la categoría de reconocimiento pasivo, no explotan vulnerabilidades ni generan tráfico intrusivo, solo consultan y organizan fuentes ya públicas.
theHarvester
Es una herramienta de código abierto, escrita en Python e incluida por defecto en Kali Linux, diseñada para recolectar inteligencia de fuentes abiertas sobre una empresa o dominio, incluyendo correos, subdominios, hosts y nombres de empleados a partir de fuentes públicas como motores de búsqueda y servidores de claves PGP.
- ¿Cómo usarla? Se define el dominio objetivo, se elige una o varias fuentes (Bing, DuckDuckGo, crt.sh, Shodan, certificados SSL, etc.) y se limita el número de resultados para evitar ruido. En segundos se obtiene un listado de correos, subdominios e IPs asociadas.
- ¿Cómo ayuda a una empresa? Permite que el equipo de seguridad vea su organización desde "afuera", tal como la vería un atacante. Si aparecen demasiados correos personales de empleados, subdominios de prueba sin dar de baja o servidores de desarrollo expuestos, esa es información que la empresa debería retirar o proteger antes de que alguien la use con fines maliciosos.
- ¿Cuándo usarla? Es ideal en auditorías periódicas de exposición digital, antes de una prueba de penetración (como fase inicial de reconocimiento autorizado), o como ejercicio recurrente de "higiene digital" corporativa, no solo una vez.
whois: identificando al dueño detrás del dominio
Mientras theHarvester explora la superficie pública de un dominio, whois consulta directamente los registros oficiales de propiedad administrados por los registradores acreditados ante ICANN. Permite obtener:
- Fecha de registro y expiración del dominio.
- Servidores DNS (nameservers) asociados.
- Datos de contacto del registrante (cuando no están protegidos por privacidad).
- Registrador ante el cual se gestionó el dominio.
¿Cómo usarla? Basta con whois <dominio> desde una terminal de Kali Linux para obtener el reporte completo.
¿Cómo ayuda a una empresa? Saber qué información de su propio dominio es visible públicamente le permite decidir si activar protección de privacidad WHOIS, verificar que el dominio no esté próximo a expirar (un descuido común que los atacantes aprovechan para "secuestrar" dominios abandonados) y confirmar quién es el responsable legal de la gestión del dominio en caso de incidente.
¿Cuándo usarla? En auditorías de activos digitales, antes de renovar contratos con proveedores de hosting o dominios, y como parte de la verificación de la legitimidad de un dominio sospechoso (por ejemplo, uno usado en una campaña de phishing dirigida contra la empresa).
Wappalyzer: leyendo la pila tecnológica de un sitio
Wappalyzer es una extensión de navegador que funciona como un perfilador de tecnologías que muestra con qué está construido un sitio web, identificando el CMS, frameworks, plataformas de comercio electrónico, librerías de JavaScript y muchas más categorías. Su funcionamiento es pasivo: examina el código HTML, etiquetas meta, comentarios, rutas de archivos de scripts, nombres de cookies y variables globales de JavaScript para identificar coincidencias contra patrones conocidos.
¿Cómo usarla? Se instala la extensión en Chrome, se navega al sitio objetivo y se hace clic en el ícono de la barra de herramientas para ver el listado categorizado de tecnologías detectadas.
¿Cómo ayuda a una empresa? Permite verificar si su propio sitio expone más información de la necesaria sobre su infraestructura (versión de CMS, plugins desactualizados, servidor web) y compararse con la competencia o con sitios de referencia del sector para tomar decisiones tecnológicas informadas.
¿Cuándo usarla? En evaluaciones de seguridad superficial de sitios propios, en investigación de mercado/competencia (uso lícito y común en marketing), y como insumo para que los equipos de TI prioricen actualizaciones de componentes que están públicamente identificables y, por tanto, son más fáciles de atacar si quedan obsoletos.
CONCLUSIÓN
Combinar estas tres herramientas sobre un mismo objetivo permite construir, sin atacar nada, una imagen bastante completa de una organización, quién es el dueño del dominio, qué empleados existen y cómo contactarlos, y qué tecnologías sostienen su operación. Esto confirma una idea central de la literatura revisada: el eslabón más débil de la seguridad no siempre es técnico, sino informativo (Benavides et al., 2020).
Para las empresas, la lección no es evitar que existan estas herramientas, son de uso libre y legítimo, sino usarlas activamente como mecanismo de autodiagnóstico, lo que un analista interno puede ver con ellas es exactamente lo que un atacante vería primero. Como sugieren Bohdan y Vasyl (2024), formar a los equipos técnicos en estas técnicas de reconocimiento no es opcional, sino parte de la competencia profesional esperada en seguridad de la información hoy en día.
