Lo abierto no es lo visible

En enero de 2018, un estudiante australiano de veinte años miraba el mapa global de calor que había publicado Strava, la app de fitness: una capa que agregaba, en un solo planisferio luminoso, los recorridos anónimos de millones de personas saliendo a correr y andar en bici. En las ciudades era una maraña brillante, esperable. Pero en zonas de Afganistán, Siria, el Sahel —lugares donde casi nadie trota por deporte— aparecían pequeños circuitos nítidos, perfectamente delineados, en medio de la nada. Eran soldados. El personal de bases militares que no figuran en ningún mapa oficial hacía ejercicio con el reloj puesto, y sus vueltas al perímetro dibujaban el contorno exacto de instalaciones secretas, con sus caminos internos y sus rutas de patrulla. Nadie filtró un plano. Nadie hackeó nada. Todos, simplemente, salieron a correr.

Ese mapa es la mejor clase de inteligencia de fuentes abiertas que conozco, porque no explica la disciplina: la muestra. OSINT no es espionaje de lo secreto. Es lo que se puede saber a partir de lo que ya está publicado, y su poder —el que casi nadie dimensiona hasta que lo ve— no está en ningún dato individual. Está en la suma.

La familia de las inteligencias, y por qué OSINT las alimenta a todas.

En la jerga de inteligencia cada fuente tiene su sigla. HUMINT es lo que se saca de personas; SIGINT, de interceptar señales; GEOINT, de imágenes satelitales y datos geoespaciales; FININT, de rastrear dinero; SOCMINT, de redes sociales. OSINT —Open Source Intelligence— es la que se nutre solo de lo público y legalmente accesible: sitios web, registros, noticias, fotos, foros, metadatos, lo que sea que alguien ya dejó a la vista. Suena a la más pobre de todas: si es público, ¿qué ventaja da? La ventaja es que es la capa base sobre la que las otras se apoyan. El satélite (GEOINT) te muestra un edificio; OSINT te dice de quién es, quién trabaja ahí y a qué hora entra, cruzando un registro de empresas con LinkedIn y una foto etiquetada. Ninguna pieza es secreta. El secreto emerge de juntarlas.

Esto tiene un nombre en la doctrina y es la idea central de todo el asunto: la teoría del mosaico. Cada azulejo es inocuo, público, aburrido por sí solo —el nombre de un proveedor, la matrícula de un vehículo en una foto de cumpleaños, el horario de un vuelo, la app de fitness de un soldado—. Ninguno, aislado, revela nada que amerite protegerse. Pero el mosaico completo, ensamblado por alguien que sabe qué está armando, es una imagen que ninguno de los que aportó un azulejo aceptó jamás mostrar. La información sensible no se filtró. Se sintetizó a partir de fragmentos que cada uno liberó por separado, cada uno con su decisión razonable —esto no tiene nada de malo—, ninguno viendo el cuadro que su fragmento ayudaba a completar.

El colectivo que investiga con lo que cualquiera podría mirar.

Si el mapa de Strava muestra el peligro de la agregación, Bellingcat muestra su filo como método. Es un colectivo de investigadores que, sin agentes, sin satélites propios, sin una sola fuente clasificada, reconstruyó cosas que antes eran territorio exclusivo de servicios de inteligencia estatales. El derribo del vuelo MH17 sobre Ucrania en 2014: rastrearon el lanzamisiles Buk cruzando fotos y videos que la gente había subido a redes sociales, geolocalizando cada uno por la forma de los edificios y las sombras, reconstruyendo la ruta del convoy hora por hora. El envenenamiento de los Skripal en 2018: identificaron a los agentes rusos cruzando bases de datos de pasaportes filtradas, registros de vuelos y fotos públicas.

El método no tiene nada de mágico y esa es la parte inquietante: cualquiera con paciencia, rigor y las herramientas correctas puede hacerlo, porque el material ya está ahí, esperando a que alguien lo cruce. Lo que separa a Bellingcat del que mira las mismas fotos y no ve nada no es acceso privilegiado. Es saber qué buscar y cómo verificarlo —la geolocalización por sombras, la cronología por metadatos, la confirmación cruzada de fuentes independientes—. La inteligencia dejó de ser una función del acceso al secreto y pasó a ser una función de la capacidad de síntesis sobre lo abierto. Y esa capacidad, a diferencia de un satélite, no cuesta millones. Cuesta oficio.

El giro que me toca: la mejor fuente sobre uno es uno mismo.

Acá es donde esto deja de ser una curiosidad y se vuelve mi trabajo. Porque el mismo método que Bellingcat usa contra un servicio de inteligencia, un atacante lo usa contra una organización antes de tocar una sola de sus máquinas. La primera fase de casi cualquier intrusión seria no es técnica: es reconocimiento OSINT. Quién trabaja acá (LinkedIn), qué tecnologías usan (avisos de empleo pidiendo tal software, repositorios públicos, encabezados de correo), cómo son los mails internos (un solo correo filtrado da el formato nombre.apellido), qué proveedores tienen, quién está de vacaciones (Instagram). Ninguna de esas consultas dispara una alarma, porque ninguna toca al objetivo: son azulejos que la organización misma dejó públicos, uno por uno, cada uno con su justificación —hay que publicar la oferta de empleo, hay que estar en LinkedIn—. El mosaico que arman es el plano de ataque, y lo armaron con material que la víctima entregó voluntariamente, sin darse cuenta de que lo estaba entregando.

Esto conecta con algo que ya escribí, la idea del dato como deuda: cada cosa que uno publica es una obligación futura que asume sin saber cuándo se cobra. El soldado que corría no publicó “acá está mi base”; publicó “corrí ocho kilómetros”, y el eje temporal del mosaico —que se completa años después, con material acumulado— hizo el resto. Lo mismo que dije de lo que tus dispositivos emiten: no importa la intención de cada emisión, importa lo que se puede inferir de la suma. El OpSec no es esconder el secreto. Es entender que uno no tiene secretos, tiene fragmentos, y que el trabajo del otro lado es armar el cuadro con esos fragmentos.

La desagregación: lo abierto no es libre de costo, pero tampoco es omnisciente.

Sería fácil salir de acó con paranoia pura —todo lo que publiques te condena— y sería una lectura tan floja como la ingenua. Hay que separar dos cosas.

Primero, lo cierto: la asimetría es real y juega contra el que publica. Al defensor le basta un desliz —un fragmento de más— para completar el mosaico del atacante; al que se cuida no le alcanza con cuidar la mayoría, porque el mosaico se arma con lo que dejaste, no con lo que protegiste. Es la misma asimetría atacar/defender de siempre: el que junta azulejos gana con encontrar uno; el que los suelta pierde con soltar uno. Y peor, la decisión de publicar es individual y distribuida —cada persona de una organización libera sus propios fragmentos— mientras que la síntesis es centralizada en el atacante. Nadie decide “expongamos la base”; la base se expone como efecto agregado de mil decisiones inocentes que nadie coordinó.

Segundo, el límite, que la paranoia olvida: el mosaico no lo puede todo. Requiere trabajo, tiempo, hipótesis correctas y —esto es clave— verificación, porque el mismo material abierto que revela también engaña. Fragmentos plantados, cuentas falsas, fotos viejas recicladas, geolocalizaciones ambiguas: el que sintetiza sin verificar arma un mosaico convincente y falso, y actúa sobre una imagen que alguien quería que viera. Bellingcat es riguroso justamente porque sabe esto; su fuerza no es juntar, es confirmar cruzando fuentes independientes. La misma disciplina que reconstruye un derribo puede fabricar una calumnia si se saltea la verificación. Lo abierto no garantiza lo verdadero. Garantiza lo disponible, que no es lo mismo, y confundirlos es el error del que cree que porque encontró tres fuentes que coinciden ya tiene la verdad, cuando puede tener tres copias de la misma mentira —el monocultivo otra vez, ahora en las fuentes.

Reformular.

La pregunta ingenua sobre la privacidad es "¿esto que voy a publicar es secreto?", y casi siempre la respuesta es no, y por eso se publica. Es la pregunta equivocada, porque razona azulejo por azulejo y el peligro vive en el mosaico. La pregunta que sirve tiene dos filos, uno para cada lado del asunto: al publicar, "¿qué se puede inferir de esto sumado a todo lo demás que ya está afuera, dentro de cinco años, por alguien que sabe qué está armando?". Y al investigar con fuentes abiertas, "¿esto que encontré es verdadero, o es lo que alguien dejó disponible para que lo encontrara?".

Porque “abierto” nunca quiso decir “visible”. El dato estaba ahí a plena luz y nadie lo veía, hasta que alguien juntó el que estaba en Strava con el que estaba en un registro con el que estaba en una foto, y de golpe el perímetro de una base secreta brillaba en un mapa de gente haciendo ejercicio. Lo que protege no es que un fragmento sea público o privado. Es entender que no somos dueños de nuestros secretos —somos, apenas, los que soltamos los azulejos— y que del otro lado siempre hay alguien con la paciencia de armar el cuadro que ninguno de nosotros aceptó posar.