Huella digital y OSINT: cómo se siguen pistas en internet

La huella digital es el rastro que dejamos en internet, y el OSINT —la inteligencia de fuentes abiertas— es en buena medida el arte de leerlo. En la última década, periodistas e investigadores independientes han seguido esas pistas para reconstruir el derribo de un avión de pasajeros, identificar a los autores de una ejecución filmada o desenmascarar a agentes de inteligencia. Esas mismas técnicas, mal utilizadas, han acusado a inocentes y alimentado campañas de acoso.

Este artículo largo cuenta cómo se han seguido pistas digitales en casos reales y qué principios guían hoy a los investigadores serios. Es un texto histórico y descriptivo: no explica cómo localizar o identificar a personas concretas, algo que en Europa choca además con la protección de datos y puede causar daños graves.

Qué es la huella digital

Se suele distinguir entre dos tipos de huella, y la diferencia ayuda a entender casi todos los casos que siguen:

• Huella activa: lo que publicamos voluntariamente, como fotos, vídeos, comentarios, perfiles o reseñas.
• Huella pasiva: lo que se registra sin que lo decidamos expresamente, como metadatos de archivos, registros de conexión, ubicaciones de aplicaciones o la aparición involuntaria en fotos ajenas.

Para un investigador de fuentes abiertas, la huella más valiosa rara vez es un dato aislado. Lo decisivo es la combinación: una foto, una sombra, un cartel, una matrícula y una fecha que, cruzados, permiten verificar lo que alguien afirma o desmiente.

Por qué la huella digital importa en la guerra

Hasta hace poco, reconstruir lo ocurrido en un conflicto requería acceso sobre el terreno o información de los servicios de inteligencia. La difusión de teléfonos con cámara, redes sociales e imágenes de satélite comerciales ha cambiado eso: hoy una parte de la verdad sobre una guerra se puede verificar desde un escritorio a miles de kilómetros. El investigador Eliot Higgins, fundador de Bellingcat en 2014, describió ese cambio como el nacimiento de una «agencia de inteligencia del pueblo».

Seis casos que muestran cómo se siguen pistas digitales

1. MH17: seguir un lanzador de misiles por las redes

El 17 de julio de 2014, el vuelo MH17 de Malaysia Airlines fue derribado sobre el este de Ucrania y murieron sus 298 ocupantes. En los días siguientes, vecinos de la zona y medios rusos y ucranianos publicaron fotos y vídeos de un lanzador de misiles Buk desplazándose por carreteras de la región. Investigadores de Bellingcat geolocalizaron esas imágenes —determinaron el lugar exacto comparando edificios, árboles y señales con imágenes de satélite— y reconstruyeron el recorrido del vehículo.

El Equipo Conjunto de Investigación (JIT) liderado por los Países Bajos llegó por su cuenta a conclusiones coincidentes: en 2016 afirmó que el Buk había llegado desde Rusia y regresado allí después, y en 2018 que pertenecía a la 53.ª Brigada de Misiles Antiaéreos rusa. En noviembre de 2022, un tribunal de La Haya condenó en ausencia a tres hombres por el derribo y absolvió a un cuarto. Rusia ha negado siempre su responsabilidad.

2. Libia: un vídeo como prueba ante la Corte Penal Internacional

En agosto de 2017, la Corte Penal Internacional dictó una orden de detención contra Mahmud al Werfalli, comandante de una unidad libia, por su presunta participación en ejecuciones. Lo novedoso fue la base del caso: buena parte de las pruebas eran vídeos difundidos en redes sociales. Era una de las primeras veces que un tribunal internacional apoyaba una orden de detención principalmente en material de fuentes abiertas. Al Werfalli murió en 2021 sin haber sido entregado a la Corte.

3. Camerún: anatomía de un asesinato

En 2018 circuló un vídeo en el que dos mujeres y dos niños eran ejecutados por hombres armados. El Gobierno de Camerún lo calificó primero de noticia falsa. El equipo BBC Africa Eye, con colaboradores de fuentes abiertas, publicó la investigación Anatomy of a Killing: comparando el perfil de las montañas del vídeo con imágenes de satélite situó la escena en el norte del país, estimó el periodo por la vegetación y las construcciones, y calculó la hora aproximada por la longitud de las sombras. Las autoridades cameruneses anunciaron después la detención de varios soldados.

4. Salisbury: los turistas que no lo eran

En marzo de 2018, el ex espía ruso Serguéi Skripal y su hija fueron envenenados con el agente nervioso Novichok en Salisbury. El Reino Unido identificó a dos sospechosos que viajaban con pasaporte ruso bajo los nombres de Petrov y Boshirov, que en la televisión rusa se presentaron como turistas interesados en la catedral. Bellingcat y el medio ruso independiente The Insider publicaron después que eran, en realidad, el coronel del GRU Anatoli Chepiga y el médico militar Alexander Mishkin.

Aquí la pista no fue solo abierta: los investigadores reconocieron haber usado bases de datos rusas filtradas o compradas en mercados grises. Eso planteó una pregunta que sigue abierta: ¿dónde termina la investigación de fuentes abiertas y empieza el uso de datos obtenidos de forma ilícita?

5. Navalni: el equipo que lo seguía

En agosto de 2020, el opositor ruso Alexéi Navalni fue envenenado con Novichok. En diciembre de ese año, Bellingcat, The Insider, CNN y Der Spiegel publicaron una investigación que identificaba a un equipo del FSB que lo había seguido durante años, a partir de registros de vuelos y metadatos telefónicos obtenidos de nuevo en el mercado negro de datos ruso. El propio Navalni llamó después a uno de los presuntos agentes, que en la conversación pareció confirmar detalles de la operación. El Kremlin negó cualquier implicación.

6. Boston: cuando la multitud se equivoca

Tras el atentado del maratón de Boston, en abril de 2013, usuarios de Reddit y otras plataformas analizaron miles de fotos en busca de los autores y difundieron nombres de supuestos sospechosos. Entre ellos estaba un estudiante desaparecido semanas antes, que no tenía relación con el atentado y cuya familia sufrió un acoso intenso; su cuerpo apareció días después. El director general de Reddit pidió disculpas públicamente. El caso es hoy la advertencia más citada sobre los riesgos de la investigación colectiva sin método.

Cómo trabajan los investigadores serios

Tras años de experiencias como las anteriores, la Oficina del Alto Comisionado de la ONU para los Derechos Humanos y el Centro de Derechos Humanos de la Universidad de California en Berkeley presentaron en 2020 el Protocolo de Berkeley sobre Investigaciones Digitales de Fuente Abierta. Su objetivo es que estas investigaciones tengan calidad suficiente para servir ante tribunales. Describe un ciclo en fases:

1. Búsqueda en línea: localizar información relevante para una pregunta concreta.
2. Evaluación preliminar: decidir si un contenido es pertinente y fiable a primera vista.
3. Recopilación: obtener el material de forma que no se altere.
4. Conservación: archivarlo con garantías, porque el contenido en internet desaparece con facilidad.
5. Verificación: comprobar la fuente, el lugar y la fecha por varios caminos independientes.
6. Análisis: interpretar lo verificado y explicar su grado de confianza.

A esas fases se suman algunos conceptos que aparecen en casi todas las investigaciones públicas, explicados aquí solo en términos generales:

• Geolocalización: determinar dónde se tomó una imagen comparando elementos visibles con mapas o imágenes de satélite.
• Cronolocalización: estimar cuándo se tomó, a partir de sombras, clima, vegetación o acontecimientos visibles.
• Verificación de la fuente: averiguar quién publicó primero un contenido y si es quien dice ser.
• Corroboración: que al menos dos vías independientes apunten a la misma conclusión.

El Verification Handbook del European Journalism Centre (2014), una de las guías más usadas por periodistas, resume el espíritu de todo el proceso: el material de fuentes abiertas merece el mismo escepticismo que cualquier otra fuente.

Límites, errores y ética

El error de identificación

El caso de Boston no es excepcional. Una cara parecida, un nombre común o una foto fuera de contexto bastan para señalar a la persona equivocada, con consecuencias que no se reparan con una rectificación. Por eso las guías profesionales insisten en no publicar identificaciones sin un nivel de verificación muy alto.

Datos filtrados y legalidad

Los casos Skripal y Navalni demostraron el valor de cruzar fuentes, pero también que parte de las pruebas procedían de bases de datos filtradas o compradas. Muchos periodistas consideran justificado su uso para exponer crímenes de Estado; otros advierten de que normaliza un mercado ilegal de datos personales que también sirve a delincuentes.

Privacidad: público no significa libre

En la Unión Europea, que un dato personal esté accesible en internet no significa que pueda tratarse sin límites: el Reglamento General de Protección de Datos sigue aplicándose. Recopilar y difundir información para señalar a una persona —lo que se conoce como doxing— puede vulnerar la ley y exponer a la víctima a acoso o violencia.

Manipulación y contenido falso

Las fuentes abiertas también son un campo de batalla de la desinformación. Imágenes antiguas presentadas como nuevas, vídeos de videojuegos difundidos como combates reales o contenidos generados por inteligencia artificial obligan a verificar con más cuidado que nunca. Algunos actores incluso imitan el estilo de los investigadores OSINT para dar credibilidad a sus bulos.

El coste humano para quien investiga

El Protocolo de Berkeley dedica un apartado al bienestar de los investigadores: revisar a diario vídeos de violencia extrema puede causar trauma vicario. Es una dimensión menos visible, pero cada vez más reconocida por las organizaciones del sector.

Lo que significa para cualquiera

La lección de estos casos va más allá de los investigadores. Soldados que publicaron selfis, aplicaciones deportivas que dibujaron bases militares y agentes delatados por sus registros de viaje muestran lo mismo: casi todo deja rastro, y ese rastro se puede combinar. Ser consciente de la propia huella digital —qué se publica, qué permisos tienen las aplicaciones, qué aparece en fotos ajenas— es hoy una forma básica de seguridad personal.