Buscar un alias en cientos de sitios: WhatsMyName, Sherlock y Maigret

Mucha gente usa el mismo nombre de usuario durante años y en sitios muy distintos: un foro, una red social, una plataforma de juegos, un repositorio de código. Por eso buscar un alias en cientos de sitios es una de las técnicas básicas del OSINT.

También es una de las que más errores producen. Una lista de cincuenta «cuentas encontradas» parece un resultado y, sin verificar, es sobre todo una lista de hipótesis. Este artículo explica cómo funcionan tres herramientas de código abierto, WhatsMyName, Sherlock y Maigret, por qué se equivocan y cómo comprobar lo que encuentran.

Para qué se usa

• Seguridad. Seguir el alias de una cuenta que suplanta a tu empresa o a un directivo, o el de alguien que anuncia datos robados en un foro.
• Verificación y periodismo. Saber si la cuenta que difunde un contenido tiene historia en otras plataformas o se creó ayer.
• Protección de marca. Detectar perfiles que usan tu nombre comercial.
• Autoauditoría. Encontrar cuentas antiguas tuyas que siguen abiertas con tu alias de siempre.

Cómo funcionan

La idea es sencilla. Casi todas las plataformas tienen una dirección de perfil con un patrón fijo, del tipo sitio.com/usuario/alias. La herramienta pide esa dirección para cada sitio de su lista y aplica una regla para decidir si la cuenta existe:

• Código HTTP. El perfil devuelve 200 si existe y 404 si no.
• Texto en la página. Una frase que solo aparece en los perfiles que existen, o solo en la página de «usuario no encontrado».
• Redirección. Si el alias no existe, el sitio redirige a otra dirección, como la portada o el buscador.

Lo que distingue a una herramienta de otra es su lista de sitios y la calidad de sus reglas.

WhatsMyName

Es un proyecto comunitario que mantiene en GitHub un fichero con cientos de sitios y, para cada uno, la respuesta esperada cuando la cuenta existe y cuando no. Lo usan la web whatsmyname.app y otras herramientas, como Blackbird.

Su ventaja es que cada sitio tiene una regla positiva y otra negativa. Si la respuesta no encaja con ninguna, el resultado es «no concluyente», no un acierto. Eso reduce los falsos positivos.

Sherlock

Es una herramienta en Python con su propia lista de varios cientos de redes y reglas por código HTTP, mensaje de error o dirección de redirección. Es sencilla y cubre sitios que WhatsMyName no tiene, y al revés.

Maigret

Empezó como un fork de Sherlock y hoy tiene una base de más de 3.000 sitios, con motores para el software de foros más habitual y etiquetas por tema y país. Además, puede leer los perfiles que encuentra para sacar otros alias o enlaces y seguir buscando con ellos. Es la búsqueda más amplia y también la más lenta.

En Pandora, WhatsMyName entra en el barrido automático de cada alias. Sherlock y Maigret se lanzan a mano desde la entidad, porque tardan más; Maigret recorre los sitios más visitados de su base. Pandora anota cuántos sitios comprobó cada barrido y en cuántos encontró cuenta (en el de WhatsMyName, también cuántos quedaron sin concluir), y cada cuenta lleva la base de la que salió.

Por qué aparecen falsos positivos

Un «encontrado» puede ser falso por muchas razones:

• Páginas que devuelven 200 para cualquier alias. Algunas webs responden con una página genérica en lugar de un 404.
• Protecciones anti-bots y límites de peticiones. Un 403, un 429 o un desafío que la regla no reconoce pueden leerse como un perfil.
• Rediseños. Cuando un sitio cambia su web, la regla se queda obsoleta hasta que alguien la actualiza.
• Redirecciones por idioma, por país o hacia el inicio de sesión.
• Sitios que generan páginas para cualquier nombre, como directorios y agregadores.

También hay falsos negativos: peticiones bloqueadas, perfiles privados o alias que un sitio no admite por su formato (puntos, mayúsculas, longitud mínima). Que un alias no aparezca en un sitio no prueba que la persona no esté allí con otro nombre.

Variantes y nombres anteriores

Las personas cambian de alias, y no siempre del todo: añaden un número o un año, un guion bajo o un punto, o recuperan un nombre antiguo cuando el suyo está ocupado. Probar variantes amplía la cobertura, pero cada variante multiplica también los falsos positivos, porque las combinaciones con números o años son más comunes de lo que parece.

Antes de adivinar, mira lo que ya está publicado:

• El historial de algunas plataformas. Bluesky o Roblox, por ejemplo, conservan de forma pública los nombres anteriores de una cuenta.
• Lo que enlaza el propio perfil. Una biografía que remite a otra cuenta da el alias exacto en esa plataforma, sin necesidad de suponerlo.
• Los metadatos técnicos. Los commits, los paquetes publicados o las claves públicas suelen repetir el mismo alias o el mismo email en varias plataformas de desarrollo.

Pandora añade al grafo los nombres anteriores de Bluesky y Roblox como alias, con su fuente, para que puedas buscarlos con el mismo método.

Cómo verificar un resultado

Un acierto de la herramienta es el principio del trabajo, no el final. Para cada cuenta que importe para tu caso:

1. Abre el perfil. Comprueba que es una página real con contenido y no una plantilla vacía.
2. Mira la fecha de alta y la actividad. Un perfil creado ayer y otro con diez años de publicaciones no pesan igual.
3. Compara la foto. Si dos cuentas usan la misma imagen, una huella perceptual lo confirma aunque esté redimensionada. Los avatares por defecto no cuentan.
4. Busca enlaces cruzados. La biografía que enlaza a otra red, una web personal, el mismo email en los metadatos de los commits.
5. Compara claves públicas. En las forjas de código, la misma clave SSH o PGP en dos cuentas es una corroboración muy fuerte.
6. Compara horarios. Las horas de actividad de cada cuenta pueden apuntar a la misma zona horaria. Es una señal, no una prueba.
7. Anota lo que no pudiste comprobar. Un resultado sin verificar debe quedar marcado como tal.

Mismo alias no significa misma persona

Es la regla central de esta técnica. Los nombres de usuario no son únicos entre plataformas, y hay varias razones por las que dos cuentas con el mismo alias pueden ser de personas distintas:

• El alias es una palabra común, un nombre de pila o una combinación frecuente.
• Otra persona lo registró antes, para reservarlo o para suplantar a alguien.
• La cuenta original se borró y alguien reutilizó el nombre.
• La cuenta es compartida o pertenece a una organización.

Un grafo con veinte cuentas unidas por el mismo alias puede sugerir una relación que no existe. Por eso, en Pandora, el alias es la hipótesis y no la conclusión. El Dossier indica cuántas fuentes distintas respaldan cada dato y destaca la corroboración fuerte, como la misma clave pública o la misma foto en cuentas distintas. La huella de actividad aporta señales medibles, cada una con su fuente; atribuir una cuenta a una persona es trabajo del analista.

Un flujo de trabajo práctico

1. Escribe la finalidad del caso antes de empezar.
2. Lanza el barrido de WhatsMyName sobre el alias.
3. Filtra: quédate con las plataformas relevantes para tu pregunta.
4. Verifica cada resultado relevante con los pasos anteriores.
5. Si necesitas más cobertura, lanza Sherlock o Maigret.
6. Pivota solo desde cuentas verificadas: un email de un commit, un enlace de la biografía.
7. Documenta la fuente, la fecha y el nivel de confianza de cada conclusión.

Este orden evita un error caro: construir la investigación sobre una cuenta que resultó ser de otra persona.

Nota legal y ética

Buscar un alias es tratar datos personales cuando el alias identifica a alguien. Hace falta una finalidad legítima y no recoger más de lo necesario: para la mayoría de preguntas no necesitas todas las cuentas de una persona, solo las relevantes.

Pandora deja fuera los sitios de contenido adulto, citas, salud, religión o política, según las categorías que les asignan las propias bases de sitios. Saber que alguien tiene cuenta en ellos revela datos especialmente protegidos por el RGPD. Y nada de lo que encuentres justifica contactar, exponer o acosar a nadie.

Este artículo no es asesoramiento jurídico.