Ética y límites legales

Que algo esté al alcance de un clic no lo hace legítimo de recoger. La prueba tiene dos partes: ¿responde a un requisito escrito del equipo? y ¿es proporcionada: solo lo necesario, de fuentes sin credenciales ajenas, sin engaños? Si falla cualquiera, no se recolecta. Es el mismo razonamiento que se hace en un tratamiento de datos personales: finalidad clara y mínimo necesario.

La política del equipo convierte esa prueba en reglas numeradas para que nadie tenga que improvisar el criterio con prisa, delante de un cierre de lote.

Lee politica-osint.txt. La regla de las identidades falsas dice que no se usan identidades falsas ni pretextos para obtener datos de una empresa o de una persona. Pedir información haciéndose pasar por otro no es recolección en fuentes abiertas: es ingeniería social contra alguien que no sabe que está siendo investigado, y deja al equipo expuesto legal y reputacionalmente aunque el objetivo sea una empresa dudosa.

La misma regla se aplica a un perfil falso en una red social, a una llamada con un pretexto o a un correo que simula ser de un cliente.

Incluso cuando hace falta guardar un dato personal —el código de un representante, un nombre en un registro público—, la política fija cuánto tiempo se conserva y qué pasa después. Guardar indefinidamente lo que se recogió «por si acaso» convierte un cuaderno de investigación en una base de datos personales sin finalidad. El plazo corre desde el cierre del caso, y vencido se borra: no se archiva en otra carpeta.

El número exacto lo fija cada organización con su área jurídica; aquí es el que dice la política de Estuario.

La acción A-03 propone descargar de un foro una lista filtrada de empleados con sus teléfonos personales. La tentación es grande: son datos que «ya están» en internet. Pero una filtración no convierte esos datos en públicos de forma legítima: las personas afectadas no dieron su consentimiento y descargar la lista multiplica la exposición. Lo que sí le sirve a la investigación es el indicador: que la filtración existe, dónde se publicó y qué cuenta de empresa aparece, y se avisa a quien corresponda.

Y si queda duda sobre qué se puede hacer, el procedimiento es parar y preguntar.

La acción A-05 propone probar contraseñas comunes en el portal de clientes de la empresa «para ver si es el de siempre». Es un intento de acceso a un sistema sin permiso: no importa que sea una prueba, que la empresa sea sospechosa o que la clave sea obvia. Está fuera de lo que una investigación en fuentes abiertas puede hacer, y la política lo dice con una regla propia sobre credenciales ajenas.