Tema 40. Inteligencia, OSINT, Deep Web y Dark Web

Dato: la pieza más elemental (un hecho, una medida, un símbolo, un registro). Aislado, no tiene contexto ni responde a ninguna pregunta. Puede ser cuantitativo o cualitativo; estructurado, semiestructurado o no estructurado; primario o derivado. Una matrícula, una fecha o una foto aún sin interpretar son datos.

Su calidad se mide por exactitud, integridad, actualidad, coherencia, relevancia y procedencia. Tener muchos datos malos no sirve: el volumen no compensa la calidad.

Información: aparece cuando los datos se eligen, ordenan, relacionan y se ponen en contexto, de modo que significan algo para quien los recibe. Reduce la incertidumbre, pero puede ser incompleta, errónea o sesgada. Ejemplo: matrículas y horas sueltas son datos; ordenadas por lugar y fecha describen desplazamientos.

Conocimiento: información combinada con experiencia, reglas y contexto, que permite entender relaciones y prever consecuencias. Inteligencia: conocimiento elaborado para apoyar una decisión o cubrir una necesidad definida.

La inteligencia no es acumular documentos: exige orientar la búsqueda, valorar y contrastar fuentes, analizar, expresar la incertidumbre y entregar a tiempo un producto útil que separe hechos de inferencias.

Una buena inteligencia es pertinente (responde a la necesidad del usuario), oportuna (llega a tiempo), suficientemente exacta, comprensible y accionable, con el detalle justo.

Además: objetividad, trazabilidad, protección de las fuentes y separación clara entre evidencia, evaluación e hipótesis. Como la certeza total casi nunca existe, se comunican niveles de confianza.

Un análisis impecable que llega tarde o no contesta a lo preguntado puede no valer nada operativamente.

Por nivel de decisión: estratégica (largo plazo, políticas, prioridades, tendencias, capacidades e intenciones), operacional (enlaza lo estratégico con campañas u operaciones concretas, a medio plazo) y táctica (necesidades inmediatas de una actuación: personas, lugares, medios, riesgos).

Por finalidad o ámbito: criminal, de seguridad, militar, económica, financiera, tecnológica, sanitaria, competitiva, de amenazas… La inteligencia criminal convierte información sobre delitos, autores y redes en conocimiento para prevenir, investigar y orientar recursos, y puede ser estratégica, operacional o táctica.

Contrainteligencia: detectar, prevenir o neutralizar la actividad de inteligencia, penetración, sabotaje o influencia de un adversario. No es «inteligencia al revés».

Por la fuente: HUMINT (humanas), SIGINT (señales: comunicaciones y emisiones electrónicas), IMINT (imágenes), GEOINT (geoespacial: imágenes + datos geográficos + análisis espacial), MASINT (mediciones y firmas) y OSINT (información abierta). La all-source integra varias disciplinas. Las clasificaciones cambian según la doctrina.

El ciclo de inteligencia modela cómo una necesidad se transforma en un producto útil. Fases: dirección o planificación → obtención → procesamiento → análisis y producción → difusión → retroalimentación. Es un modelo flexible: unas fases se mezclan con otras y una hipótesis puede generar preguntas nuevas.

Dirección y planificación: se identifican la necesidad, el usuario, la decisión a apoyar, el plazo y las restricciones, y se traducen en preguntas y tareas. Los requerimientos deben ser claros, acotados y priorizados. Pregunta demasiado amplia = ruido; demasiado estrecha = riesgo de confirmar prejuicios.

Obtención: reunir, de fuentes autorizadas, lo que pide el plan, documentando la procedencia y sin recopilar a ciegas. Fuentes humanas, documentales, técnicas, abiertas o clasificadas, elegidas por acceso, coste, fiabilidad, legalidad, oportunidad y riesgo. No encontrar un dato no prueba que el hecho no exista.

Procesamiento y explotación: dejar el material utilizable (ordenar, limpiar, traducir, transcribir, extraer metadatos, normalizar, quitar duplicados). La explotación localiza lo interesante sin interpretarlo aún. Se conservan el original y la traza de cambios. La automatización acelera, pero puede meter errores sistemáticos.

Análisis y producción: comparar, integrar e interpretar para responder al requerimiento; formular hipótesis alternativas, buscar lo que las refute, no confundir correlación con causalidad y vigilar sesgos (anclaje, confirmación, disponibilidad). El resultado se plasma en informe, nota, alerta, mapa o cronología.

Difusión: entregar al destinatario autorizado, a tiempo y por el canal y formato adecuados, respetando clasificación, necesidad de conocer y protección de datos. Retroalimentación: comprobar si el producto sirvió, detectar nuevas preguntas y mejorar. El producto puede necesitar actualización.

OSINT (Open Source Intelligence): inteligencia obtenida exclusivamente de información pública o comercialmente disponible, seleccionada, procesada y analizada para responder a una necesidad concreta.

No toda información abierta es OSINT: una noticia o un registro público son materia prima; solo pasan a ser OSINT cuando alguien las combina y analiza hasta extraer una conclusión que sirva.

Fuente abierta: accesible legalmente al público o en condiciones comerciales normales. Puede pedir registro, suscripción o pago y seguir siendo abierta, siempre que no exija acceso clandestino o privilegiado.

Accesible no es libre de derechos: siguen vigentes propiedad intelectual, condiciones de servicio, protección de datos y secreto de las comunicaciones. Una filtración publicada en Internet plantea problemas jurídicos y éticos añadidos.

Fuentes habituales: prensa y demás medios, boletines oficiales, webs de instituciones, registros y estadísticas, publicaciones académicas, patentes, mapas, imágenes y vídeos, redes sociales, foros y blogs, repositorios y archivos web; y además información de empresas, anuncios, ofertas de empleo, datos meteorológicos o bases comerciales legales.

Primaria: procede directamente del hecho o del emisor; secundaria: interpreta o reproduce otras. Ni la primaria es verdadera por definición ni la secundaria es peor por definición.

Ventajas: variedad, rapidez, bajo coste relativo, contraste en muchos idiomas y formatos, contexto, tendencias y alertas tempranas; se comparte con menos restricciones que lo clasificado y permite auditar el razonamiento.

Límites y riesgos: información falsa, incompleta, manipulada o copiada de un único origen; sesgos de algoritmos, idioma o región; contenidos que cambian o desaparecen. Investigar deja huella y puede exponer al investigador, además del riesgo de malware o de amplificar bulos. La abundancia es a la vez ventaja y problema.

Plan de obtención: traduce la necesidad en preguntas, palabras clave, idiomas, periodos, zonas y tipos de fuente, y fija cuándo parar. Conviene preparar sinónimos, variantes ortográficas, transliteraciones, alias y una cronología inicial.

Otro investigador debe poder repetir la búsqueda: se anotan las consultas, los filtros, de dónde salió cada resultado (URL), cuándo se consultó y qué se encontró, sin almacenar datos que no hagan falta.

Obtención manual (capta matices y contexto) frente a automatizada (alertas, interfaces, agregadores para grandes volúmenes). Automatizar no salta los límites legales; la herramienta no sustituye al método.

Procesar OSINT: normalizar fechas y zonas horarias, traducir, transcribir, extraer entidades y resolver duplicados. Un mismo nombre no prueba identidad; la atribución necesita varios indicios coherentes. Las capturas deben ir con URL, fecha, contexto y, si procede, copia íntegra o huella digital.

Fiabilidad de la fuente: historial, acceso al hecho, competencia, motivación, independencia y transparencia. Credibilidad del contenido: coherencia interna, plausibilidad, cercanía temporal, evidencia aportada, encaje con hechos conocidos y confirmación independiente. Fuente y contenido se evalúan por separado: una cuenta verificada no hace verdadera cada afirmación.

Información circular: varias publicaciones parecen confirmar algo, pero todas beben de la misma fuente original. Hay que rastrear hasta el origen: muchas copias no son muchas confirmaciones.

Análisis OSINT: cronologías, redes de relaciones, patrones geográficos, perfiles e indicadores. Conclusiones proporcionadas a la evidencia, hipótesis alternativas y lagunas declaradas. El nivel de confianza (bajo, medio, alto) mide la solidez de la valoración, no la gravedad del hecho.

Difusión: primero la respuesta, luego las evidencias y al final los límites; citas que permitan localizar la fuente con fecha de publicación y de consulta; sin datos personales innecesarios ni enlaces peligrosos; las rectificaciones deben llegar a quienes recibieron el producto inicial.

Internet es la red física y lógica que une el planeta; la World Wide Web es solo uno de los servicios que corren por ella (documentos enlazados vía HTTP/HTTPS). Correo, mensajería o transferencia de archivos usan Internet sin ser necesariamente Web.

Surface Web (web superficial): lo accesible de forma ordinaria y que los buscadores generales pueden indexar.

Ser pública no garantiza estar indexada (página nueva, mal enlazada, que excluye rastreadores o que el buscador no prioriza). Los buscadores guardan índices, no copias perfectas, y sus resultados dependen de rastreo, idioma, ubicación, personalización y algoritmo.

Deep Web (web profunda): contenido web no indexado por los buscadores generales: bases de datos consultables, intranets, áreas privadas, webmail, banca en línea, contenidos tras formularios o suscripción y páginas dinámicas. No es sinónimo de ilegalidad ni necesita software especial: casi todo es legítimo.

Todo lo de la Dark Web está en la parte no indexada, pero la mayor parte de la Deep Web no es Dark Web.

Dark Web: parte de la Web deliberadamente oculta, accesible con redes, configuraciones o software específicos y pensada para dar anonimato o resistir la censura. Tiene usos legítimos (periodismo, comunicaciones en regímenes represivos) y delictivos (mercados). Los servicios .onion de Tor son el ejemplo típico, pero Dark Web no es solo Tor.

Darknet: red superpuesta u oculta que exige software, configuración o autorización específica y limita la identificación de participantes y servicios. Ejemplos: Tor, I2P y Freenet. La Dark Web la forman los servicios web que funcionan sobre darknets.

Tor (enrutamiento cebolla) envía el tráfico por un circuito de varios relés: entrada, intermedio y salida. Cada relé solo conoce al anterior y al siguiente, y las capas de cifrado se van quitando en cada salto. El relé de salida puede ver el tráfico que no lleve cifrado extremo a extremo.

Tor dificulta vincular origen y destino, pero no da anonimato absoluto: errores del usuario, fallos de software, correlación de tráfico o identificarse en un servicio pueden delatar.

Metadatos: datos sobre otros datos (autor, fecha, dispositivo, coordenadas, formato, historial). Ejemplo: EXIF en fotos. Aportan contexto, pero pueden borrarse o falsearse; su ausencia no prueba manipulación. Siempre hay que tener en cuenta zona horaria, conversiones, ediciones y copias.

Desinformación: contenido falso o manipulado difundido a propósito para engañar. Misinformation: falso, pero sin intención de engañar. La información maliciosa puede usar hechos ciertos sacados de contexto. Ante deepfakes, los detectores automáticos no son concluyentes: hay que combinar procedencia, contexto, análisis técnico y corroboración independiente.

OPSEC (seguridad operacional): identificar qué información propia podría delatar capacidades, objetivos o interés y reducir esa exposición con medidas proporcionadas. Investigar deja rastros (registros, cookies, cabeceras, cuentas, consultas). OPSEC no es ocultación ilícita: exige autorización, control, trazabilidad y supervisión.

Legalidad: lo que se ve en Internet sigue sometido al Derecho (intimidad, honor, protección de datos, secreto de comunicaciones, propiedad intelectual, normas procesales, condiciones de servicio). Rigen finalidad, necesidad, proporcionalidad y minimización. Las actuaciones encubiertas, el acceso a cuentas o la interacción con personas requieren habilitación específica: OSINT no autoriza intrusión ni suplantación.

Preservación: el contenido digital es volátil; se documentan URL, fecha y hora, zona horaria, autor visible, contexto, método y transformaciones. Un hash demuestra que el archivo conservado no ha cambiado desde que se calculó, pero no acredita su autenticidad ni su autoría.

Cadena de custodia: registro de obtención, transferencias, accesos y almacenamiento cuando el material pueda servir de prueba. La inteligencia orienta; la prueba tiene requisitos procesales propios.

Errores típicos: confundir información abierta con OSINT, dar por fiable lo repetido, tomar la falta de resultados por inexistencia, identificar a alguien por un solo alias, ignorar husos horarios, buscar sin requerimiento o presentar hipótesis como hechos.