Reconocimiento pasivo y OSINT

El reconocimiento pasivo no interroga al objetivo: consulta lo que ya está publicado sobre él. Los registros de transparencia de certificados listan subdominios que la empresa pidió certificar y que a veces no aparecen enlazados en ninguna parte; el DNS revela a dónde apuntan los nombres; la web pública trae nombres de personas, correos y proveedores. Nada de esto manda un paquete al objetivo, así que no hace ruido ni deja rastro en sus registros.

En Arrecife, antes de barrer la red, conviene exprimir estas fuentes: cada subdominio nuevo es superficie que quizá no salió en el barrido, y cada nombre de persona alimenta un futuro ataque de credenciales. Lo pasivo se agota primero porque es gratis en ruido.

Hay una línea fina que se cruza sin querer. Consultar un log de certificados o el DNS público es pasivo: la información ya existe fuera del objetivo. Pero resolver cada subdominio y conectarse a él para ver si responde ya es activo —toca la máquina—, aunque se haga «con cuidado». Llamar pasivo a lo que manda paquetes es engañarse: deja rastro igual, y en un engagement con ventana horaria pactada puede violar las reglas si se hace fuera de tiempo.

En Arrecife, listar los subdominios de un log es pasivo; probar cuáles están vivos es el primer acto activo, y va contado dentro del alcance y la ventana. Mantener clara la frontera evita hacer ruido creyendo que no se hace.

Los documentos que una empresa publica —un PDF de catálogo, una hoja de tarifas— suelen llevar metadatos que nadie limpió: el autor, el software, a veces rutas internas o nombres de equipo. El nombre del autor de un documento revela la convención con la que la empresa forma sus usuarios (inicial y apellido, nombre.apellido), y con esa convención se construye una lista de usuarios probables para los ataques de credenciales. Es información que la empresa regaló sin querer, recogida sin tocar ningún sistema.

En Arrecife, un documento público trae en sus metadatos un nombre de usuario. Ese dato sí cambia decisiones: fija el formato de los usuarios y alimenta las salas de contraseñas y de aplicaciones web. Se anota como hallazgo de exposición de información.

El reconocimiento pasivo prepara el terreno, pero no cierra el mapa por sí solo: dice qué nombres existen y quién trabaja ahí, no qué servicios corren ni con qué versión. Su producto es una lista de candidatos y de datos —subdominios, usuarios, proveedores— que dirige la fase activa hacia donde importa. Tratarlo como el final sería entregar nombres sin saber qué hay detrás; ignorarlo sería barrer a ciegas una superficie que ya estaba descrita.

En Arrecife, lo que sale del OSINT —subdominios y una convención de usuarios— se suma a la lista de objetivos priorizada y marca por dónde enumerar primero. El pasivo afina el activo; no lo reemplaza.

El OSINT encuentra lo que la empresa regaló sin querer. Abre el laboratorio y revisa el documento público de Arrecife que el reconocimiento recuperó: en sus metadatos quedó un nombre de usuario que fija la convención de la empresa. Aísla ese nombre de usuario.