Frases de Aldus Huxley, filósofo y escritor, autor de la novela «Un Mundo Feliz»:
Sobre el poder de la manipulación, especialmente en los medios de comunicación: «Una mentira con interés puede ser destapada por una verdad aburrida.»
La visión que tienen los demás sobre nosotros y el don de sabernos reconocer en esas miradas externas: «Vernos a nosotros mismos como los demás nos ven es un don en extremo conveniente»
Controvertida frase sobre el cariño entre hombre y perro: «Todos los hombres son dioses para su perro. Por eso hay gente que ama más a sus perros que a los hombres»
En la imaginación está el mejor sexo posible: «Una orgía real nunca excita tanto como un libro pornográfico»
Hoy quiero llamar la atención sobre la necesidad de proteger nuestros datos de contacto más básicos: correo electrónico y número de móvil, para evitar vectores de ataque que nos supongan un riesgo intolerable de robo de identidad o de robo de credenciales de aplicaciones como whatsapp o Instagram.
La cuestión:
¿Tienes Redes Sociales? Entonces es muy probable que alguien ya tenga tu email y número de teléfono sin pedirte consentimiento
Las redes sociales, creadas para que los humanos se espiasen a sí mismos sin ofrecer resistencia, se han convertido en parte insoslayable de nuestras vidas, pero eso no implica conocer sus riesgos, aplicar las máximas medidas de seguridad y no exponer nuestra propia seguridad o la de nuestros familiares. ¿Sabías que, sin siquiera conocerte, es posible obtener tu correo electrónico y número de teléfono a través de herramientas de Open Source Intelligence o inteligencia de fuentes abiertas?.
Esta práctica, utilizada por investigadores y profesionales de la ciberseguridad, también es explotada por actores maliciosos y brockers de datos para obtener información personal, muchas veces sin consentimiento.
¿Cómo es posible obtener tu correo electrónico?
Si tienes presencia en redes sociales, es muy probable que tu dirección de correo electrónico esté disponible de alguna manera, aunque no sea visible de forma directa. A través de herramientas OSINT, se pueden realizar diversas estrategias para obtenerla:
Búsqueda de coincidencias en plataformas de datos: Algunas plataformas cruzan datos públicos y metadatos de redes sociales. Por ejemplo, tu correo electrónico podría estar vinculado a un perfil en LinkedIn, Twitter o Instagram sin que te des cuenta. Herramientas como theHarvester, SpiderFoot, y Hunter.io rastrean información disponible en la web para encontrar direcciones de correo electrónico asociadas a nombres, dominios y perfiles de redes sociales.
Explotación de vulnerabilidades en redes sociales: Algunas redes sociales no protegen adecuadamente la información de contacto. Los actores malintencionados pueden usar herramientas de scraping para recopilar grandes cantidades de datos, incluyendo correos electrónicos, aprovechando la configuración pública de los perfiles. LinkedIn, por ejemplo, puede ser scrapeado cualquier mail utilizando herramientas como: finalscout.com o voilanorbert.com
Brechas de datos previas: Incluso si una red social protege bien los datos, las brechas de seguridad en otras plataformas, como sitios de comercio o foros en los que te registraste con el mismo email, pueden revelar tu correo. Una vez que estos datos han sido filtrados y vendidos, herramientas OSINT permiten su rastreo con facilidad. Puedes consultar ihavebeenpwned.com para comprobar si tu correo electrónico fue filtrado en alguno de los ataques que recibió cualquiera de las redes sociales o sitios de internet en donde te registraste.
Obtener tu número de teléfono es más fácil de lo que crees
Tu número de teléfono es otro dato que puede ser captado mediante OSINT:
Vinculación de datos públicos y redes sociales: Algunas redes sociales permiten que los usuarios se registren utilizando sus números de teléfono, o incluso los muestran públicamente en configuraciones mal protegidas. Herramientas como Pipl o PhoneInfoga permiten encontrar números de teléfono vinculados a nombres o correos electrónicos usando fuentes abiertas.
Fuga de datos por parte de aplicaciones y servicios: Muchas aplicaciones de terceros conectadas a redes sociales, como juegos o plataformas de compras, comparten tu número de teléfono con brokers de datos. Aunque tú no lo sepas, estas aplicaciones pueden haber recopilado y vendido tu información de contacto.
Búsqueda inversa en bases de datos de correos y teléfonos: Existen bases de datos accesibles a través de herramientas OSINT que contienen números de teléfono vinculados a correos electrónicos o redes sociales, debido a filtraciones masivas o a prácticas de recolección de datos por parte de brokers de información.
Redes sociales y brokers de datos: la venta de tus datos personales
Las redes sociales no solo recopilan una enorme cantidad de información sobre ti, sino que también venden estos datos a brokers de datos. Estas agencias compran, recopilan y venden datos personales, incluyendo tu correo electrónico y número de teléfono, para campañas publicitarias, estudios de mercado e incluso propósitos más oscuros. Aquí algunos ejemplos:
Facebook o instagram (Meta): Facebook ha sido uno de los principales actores en la venta de datos personales. A través de su programa de publicidad, comparte datos con brokers como Acxiom, Oracle Data Cloud, y Epsilon. Estos brokers utilizan los datos de los usuarios de Facebook para ofrecer productos segmentados con precisión, basándose en tus hábitos y preferencias. Instagram tiene sus propias políticas de recolección de datos. También trabaja con brokers como Acxiom y Experian, permitiendo que estos recojan información detallada sobre los usuarios para ofrecer campañas de publicidad muy específicas.
LinkedIn: La red social profesional más grande también tiene sus lazos con brokers de datos, incluyendo LiveRamp y Neustar. Estos brokers aprovechan los datos de LinkedIn para ofrecer anuncios basados en la ubicación, la industria y los intereses profesionales, entre otros.
Twitter: Twitter ha sido criticada por su laxa política de protección de datos y ha vendido información a brokers como Datalogix y Epsilon, que utilizan estos datos para crear perfiles publicitarios y analizar tendencias de consumo.
TikTok: TikTok ha despertado polémicas por el tipo de datos que recolecta y cómo los usa. Aunque no se ha confirmado con precisión qué brokers de datos manejan la información de TikTok, se sospecha que su algoritmo comparte datos con varias agencias de publicidad globales.
Snapchat: Al igual que otras plataformas, Snapchat trabaja con Oracle Data Cloud y Neustar para vender datos de usuarios, principalmente para segmentación publicitaria.
El riesgo de la falta de consentimiento
Lo más alarmante es que muchos de estos datos son recolectados sin el consentimiento directo de los usuarios. El ego engorda a las plataformas sociales. Se pueden usar tomando precauciones sin exponernos más de lo que sería deseable:
-
Utilizar un número de teléfono para nuestra actividad en Redes sociales y otras actividades de riesgo. No utilizar en el mismo móvil ni tus criptomonedas, ni tu banca electrónica. Utilizar siempre una VPN que sea privada (ProtonVPN, MullvadVPN, iVPN o NordVPN). Configúralas adecuadamente.
-
Ten un móvil para tu actividad privada y profesional. En ese móvil ni juegos, ni email, ni redes sociales
-
Las configuraciones de privacidad de las redes sociales suelen ser confusas y están diseñadas para que los usuarios compartan más información de la que creen. Es importante limitarlas
-
Muchos brokers obtienen datos de múltiples fuentes, combinando fragmentos de información para crear perfiles completos, incluso si tú no has autorizado el uso de tus datos.
-
Eliminar los metadatos de todo lo que publicamos. Los metadatos dan excesiva información sobre nosotros, exponiéndonos nosotros y nuestros familiares. Si haces fotos en casa, elimina todos los datos de geolocalización de tus fotos y vídeos. No fotografíes objetos o lugares de la casa que puedan permitir obtener su ubicación. No fotografíes a tus hijos menores en ningún caso.
-
No te conectes a wifis públicas. Elimina todas las aplicaciones innecesarias. Los juegos y muchas otras aplicaciones recopilan datos a través de los anuncios. Si la APP es gratuita, sus permisos harán que tus contactos, tus fotos o tu geoposición sean suyos.
Estamos más expuestos de lo que creemos
Tener redes sociales significa que tu correo electrónico, número de teléfono y otros datos personales están en el punto de mira de quien quiere tu dinero o tu privacidad: ciberdelincuentes y brokers de datos.
Mientras navegamos y compartimos información en línea, estamos contribuyendo, sin darnos cuenta, a una industria multimillonaria que comercia con nuestros datos sin nuestro consentimiento. Aunque la tecnología de OSINT puede tener fines legítimos, es necesario tomar conciencia del uso indebido de estos datos y de cómo protegernos mejor.
¿Cómo evitarlo? Ajusta las configuraciones de privacidad de tus redes sociales, evita el uso de datos personales como correos electrónicos o números de teléfono en plataformas públicas y usa herramientas que te permitan monitorizar quién está accediendo a tu información.
Recuerda: si tienes redes sociales, alguien probablemente ya tiene tu correo y tu teléfono.