OSINT de personas y el límite

Le pides al modelo información pública de un empleado relevante para la superficie de ataque de Astilla —su rol, las tecnologías que menciona, su correo corporativo— y te devuelve, además, su domicilio y datos de su familia. Nada de eso aporta al objetivo técnico autorizado, y recogerlo convierte un reconocimiento en una intrusión en la vida privada de una persona que no es el objetivo del contrato.

El encargo es técnico: se recoge lo que sirve a la superficie autorizada y se descarta lo demás. Más datos personales no es más reconocimiento; es más riesgo y menos foco.

Dentro del perfil, el modelo afirma con seguridad un dato concreto sobre la persona —un domicilio, una relación— que, al ir a comprobarlo, no aparece en ninguna fuente. El modelo lo generó porque encajaba con el resto, igual que inventa un activo que no existe. Con las personas el error es peor: un dato personal falso sobre alguien puede señalar o perjudicar a quien no tiene nada que ver.

Un dato sobre una persona se trata con el mismo rigor que cualquier otro: se confirma en una fuente primaria antes de apuntarlo en ningún sitio, y si no se confirma, no existe.

Reunir lo que una persona ya publicó es reconocimiento pasivo: no la toca. En cuanto le pides al modelo que redacte un mensaje para sonsacarle algo a ese empleado —una solicitud de información por engaño (T1598)— dejas de leer y pasas a interactuar con una persona real. Eso es otra categoría de actividad y necesita que el contrato la autorice explícitamente y la incluya en el alcance.

Que el modelo escriba ese mensaje en segundos no lo autoriza. La facilidad técnica y el permiso son cosas distintas, y aquí la regla la pone el alcance firmado.

Abre la estación. El modelo armó un perfil con un dato personal que no sostiene ninguna fuente. Contrástalo con la nota de reconocimiento y confirma qué dato es inventado.