Cómo investigar un email con OSINT, paso a paso

Una dirección de correo suele ser el primer dato de una investigación: el remitente de un mensaje sospechoso, el email con el que alguien se da de alta en tu servicio, el contacto de un proveedor nuevo o tu propia dirección. Con fuentes abiertas se puede averiguar bastante sin escribir a nadie y sin que el titular reciba ningún aviso.

Este artículo propone un método en seis pasos: qué comprobar, en qué orden, qué significa cada resultado y cómo no sacar conclusiones antes de tiempo.

Para qué sirve investigar un email

Tiene sentido cuando hay una finalidad concreta y defendible. Las más habituales son estas:

• Triaje de phishing. Saber si el dominio del remitente existe, cuándo se registró y si imita al de una entidad real.
• Prevención del fraude. Detectar altas con correos desechables o con direcciones sin ningún historial.
• Diligencia debida. Comprobar que el contacto de un proveedor, un cliente o un socio encaja con la organización que dice representar.
• Autoauditoría. Ver qué cuentas, perfiles y brechas asocia internet a tu propia dirección.

Lo que no es un uso legítimo: localizar a alguien que no quiere ser encontrado o reunir datos de una persona para presionarla. Las técnicas son las mismas; lo que cambia es la finalidad, y es lo primero que conviene dejar por escrito.

Paso 1: lee la dirección antes de consultar nada

Una dirección tiene dos partes, la local (antes de la arroba) y el dominio, y las dos dan información.

• El dominio dice quién gestiona el correo. Uno corporativo apunta a una organización; uno de un proveedor gratuito (Gmail, Outlook, Proton y similares) no dice nada sobre dónde trabaja el titular.
• La parte local puede ser un nombre, unas iniciales o un alias que la persona usa en otros sitios. Es un pivote de baja confianza: hay miles de «jgarcia».
• Las etiquetas con «+» (usuario+tienda@dominio) son una función de muchos proveedores para filtrar el correo. La dirección que interesa es la base, sin la etiqueta.

Apunta lo que ves antes de lanzar ninguna consulta. Te servirá después para separar lo observado de lo deducido.

Paso 2: proveedor, registros MX y antigüedad del dominio

Los registros MX del DNS indican qué servidores reciben el correo de un dominio. Consultarlos responde a tres preguntas:

1. ¿Puede recibir correo? Si el dominio no tiene MX ni registro A, ninguna dirección suya recibe mensajes. Sin MX, el estándar SMTP entrega el correo al registro A del dominio, así que hay que mirar los dos.
2. ¿Quién lo aloja? Los nombres de los servidores delatan el servicio: Google Workspace, Microsoft 365, un filtro como Proofpoint o Mimecast, o un servidor propio.
3. ¿Es desechable? Existen listas públicas y mantenidas de dominios de correo temporal. Un alta con uno de ellos no prueba nada por sí sola, pero en un contexto de fraude pesa.

Si el dominio no es de un proveedor gratuito, añade dos comprobaciones. La primera, la fecha de registro, que se obtiene por RDAP, el sucesor estructurado de WHOIS. La segunda, los registros TXT, donde suelen estar la política SPF y las verificaciones de servicios como Google o Microsoft. Un dominio registrado hace una semana que pide un pago urgente es una señal clara en el triaje de un phishing.

Una precisión importante: que el dominio tenga MX no significa que el buzón concreto exista. Verificar un buzón exige preguntar al servidor de correo, y muchos aceptan cualquier dirección (las configuraciones llamadas catch-all), así que ese resultado suele ser incierto.

Paso 3: perfiles públicos ligados al correo

Algunos servicios publican un perfil vinculado a una dirección y se pueden consultar sabiendo solo la dirección:

• Gravatar. Asocia un avatar y, si el titular lo rellenó, un nombre, una ubicación, una empresa y cuentas verificadas en otras redes. El perfil se localiza por un hash de la dirección.
• Servidores de claves PGP. Quien publicó una clave pública dejó en ella un nombre y una o varias direcciones. Las otras direcciones de la misma clave son, con bastante seguridad, de la misma persona.
• GitHub. Algunos usuarios muestran su email en el perfil, y los commits públicos llevan el email de su autor. Una dirección que aparece como autora de commits lleva a una cuenta y a sus repositorios.
• Plataformas con API pública que devuelven el perfil asociado a un email, como Duolingo: usuario, nombre visible, foto y fecha de alta.

Cada perfil es un dato publicado por alguien, normalmente el propio titular. Puede estar desactualizado, llevar un nombre inventado o ser de otra persona que escribió mal su dirección.

Paso 4: en qué servicios está registrada

Muchas plataformas responden de forma distinta en su formulario de alta o de acceso cuando un email ya está en uso. Herramientas de código abierto como Holehe automatizan esa comprobación en más de un centenar de servicios.

Hay dos matices que conviene conocer:

• Algunas comprobaciones pasan por la recuperación de contraseña, y eso puede enviar un correo al titular. En Pandora esos módulos están desactivados: la investigación es pasiva y nadie recibe avisos.
• Un registro dice que la dirección se usó para crear una cuenta, no quién la usa hoy ni desde cuándo. Sirve para orientar los siguientes pasos, no como prueba.

Pandora deja fuera de este barrido los servicios de contenido adulto y de salud. Saber que una dirección está registrada en ellos revela datos que el RGPD protege de forma reforzada, y casi nunca es necesario para la finalidad de una investigación.

Paso 5: exposición en brechas

Servicios como Have I Been Pwned, XposedOrNot o LeakCheck indican en qué filtraciones conocidas aparece una dirección, cuándo ocurrieron y qué tipos de dato expusieron. Eso aporta dos cosas:

• Una fecha mínima. Si la dirección aparece en una filtración de 2016, existía en 2016. Para valorar un alta sospechosa, la antigüedad cuenta: una dirección sin ningún rastro previo no es culpable de nada, pero tampoco tiene historia.
• Un mapa de riesgo. En una autoauditoría, saber qué datos tuyos circulan explica ciertos intentos de phishing y dice qué contraseñas cambiar.

Pandora muestra la exposición (nombre de la brecha, fecha y tipos de dato) y nunca el valor filtrado: ni contraseñas ni hashes.

Paso 6: pivota con cuidado

De los pasos anteriores salen datos nuevos: un alias, un nombre, un dominio, otra dirección. Cada uno abre una línea. El alias se puede buscar en cientos de sitios; el dominio, en el DNS y en los registros mercantiles; el nombre, en fuentes públicas.

Cada pivote multiplica también el riesgo de mezclar a dos personas. Una regla práctica: anota con qué confianza llega cada dato y no pivotes desde uno débil como si fuera firme. En Pandora, la parte local del correo entra como «alias candidato», no como alias confirmado.

Corroborar antes de concluir

La diferencia entre una investigación útil y una peligrosa está en cómo se pasa de los datos a las conclusiones. Tres hábitos ayudan:

1. Separa hecho, inferencia e hipótesis. «Existe un perfil de Gravatar con el nombre Ana Ruiz» es un hecho. «La dirección es de Ana Ruiz» es una inferencia. Escríbelas por separado.
2. Busca fuentes independientes. Dos webs que copian el mismo perfil de Gravatar no son dos fuentes. Sí lo son un perfil de Gravatar y una clave PGP creada años antes con el mismo nombre.
3. Distingue corroboraciones fuertes y débiles. Fuertes: la misma clave pública en dos cuentas, la misma foto en dos perfiles, un perfil que enlaza a otro. Débiles: el mismo alias, un nombre común, la misma ciudad.

Anota también los resultados negativos y la fecha de cada consulta. Que algo no aparezca hoy no significa que no haya existido, y lo que aparece puede tener años.

En Pandora, cada dato conserva el transform y la fuente que lo dieron, y el Dossier indica cuántas fuentes distintas lo corroboran: en verde, varias; en amarillo, una sola.

Cómo encaja Pandora en este método

En Pandora basta con escribir la dirección. Detecta que es un email y lanza las fuentes automáticas: perfil del correo y MX, Gravatar, claves PGP, GitHub, registros en plataformas y brechas. El modo Profundo da otra vuelta sobre los alias, emails, dominios e IPs que aparezcan.

Antes de empezar se escribe la finalidad de la investigación, que queda en el registro de auditoría junto a cada consulta. Los resultados llegan en directo a un grafo, cada uno con su fuente, y el caso se exporta en JSON, CSV o GraphML, o como informe imprimible.

Nota legal y ética

Una dirección de correo que identifica a una persona es un dato personal, y tratarlo exige una finalidad legítima y una base jurídica, aunque la información sea pública. Limita la búsqueda a lo necesario para esa finalidad, no conserves más de lo que necesitas y no uses lo que encuentres para contactar o presionar a nadie.

Este artículo describe un método técnico y no es asesoramiento jurídico. Si tu caso tiene implicaciones legales, consúltalo con un profesional o con tu delegado de protección de datos.