Taller · Ciberseguridad · Rastreo pasivo
El Estado deja huellas. Aprendamos a leerlas antes que otro.
Escoger una entidad pública real, levantar en dos horas todo lo que dejó a la vista sin proponérselo —subdominios, tecnologías viejas, documentos con metadatos, correos en filtraciones— y hacerlo dos veces: a mano y con una IA, para ver con números qué cambia cuando la máquina entra al oficio.
- personas por equipo
- 3
- de trabajo
- 2 h
- pasos guiados
- 9
- pasivo · nada se toca
- 100%
Ejercicio académico y defensivo. Solo se consulta información ya pública.
¿Para qué haces esto?
Hoy vas a ver, con tus propias manos y con una IA, cuánta información deja a la vista una entidad pública sin proponérselo — y qué se hace con eso de forma responsable. No es para atacar a nadie: es para entender la superficie y aprender a cerrarla.
Es autoguiado: Todo lo que necesitas está en esta página: los pasos, los prompts y el dossier. Trabajen a su ritmo, en equipo; nadie los va guiando de a poquito.
Al terminar sabrás
- ✓Cómo se rastrea lo público de una organización sin tocar ningún sistema.
- ✓Qué cambia —para bien y para mal— cuando una IA entra a ese oficio.
- ✓Cómo un hallazgo se convierte en estrategia y en un reporte que ayuda, no que expone.
Qué entregas y cómo te califico
Al final de la sesión, cada equipo hace dos cosas: me explica en 5 a 10 minutos qué hizo, y me entrega un dossier con su evidencia.
La sustentación
50%Que me expliquen con claridad qué hicieron, qué encontraron y qué aprendieron de la IA. Los 5 a 10 minutos del equipo.
El dossier con evidencia
50%El archivo del equipo, más las capturas de lo que hallaron y el enlace (o captura) del chat con la IA, para ver cómo la usaron.
Lo que me entregan
- 1.El dossier del equipo — se baja con un botón al final de esta página.
- 2.Dos o tres capturas de pantalla de lo que encontraron (por ejemplo crt.sh y un dork que dio resultado).
- 3.El enlace —o una captura— de la conversación con la IA.
Se mira, no se toca
Todo el rastreo es pasivo: registros públicos, buscadores, archivo histórico. Ningún escaneo, ninguna prueba de acceso.
Se rastrea dos veces
Primero a mano y luego con IA, con el reloj corriendo. El taller mide qué cambia la máquina, no solo qué encuentra.
El hallazgo va al dueño
Nada se publica ni se presume. Lo que se encuentra se convierte en un reporte para la entidad. Ese es el oficio.
Antes de tocar el teclado
La línea que no se cruza
Rastreo pasivo es observar lo público. Cruzar a tocar el objetivo deja de ser un ejercicio y pasa a ser el artículo 269A de la Ley 1273 de 2009.
✓Se puede (es público)
- Consultar registros públicos: Certificate Transparency (crt.sh), DNS, WHOIS, cabeceras que devuelve el propio sitio al visitarlo.
- Usar buscadores y sus operadores (dorks) para ver qué quedó indexado. Buscar no es entrar.
- Leer el archivo histórico de la web (Wayback) y los metadatos de documentos que la entidad ya publicó.
- Consultar índices de terceros que ya escanearon internet (Shodan, Censys) y bases de filtraciones ya publicadas (Have I Been Pwned).
✕No se toca (es delito o es daño)
- Escanear puertos, correr nmap, nikto, sqlmap, wpscan o cualquier herramienta que le mande tráfico de prueba al objetivo. Eso es tocar.
- Probar contraseñas, así sean «admin/admin». Un solo intento de acceso ya es acceso abusivo (Ley 1273, art. 269A).
- Descargar, abrir o guardar datos personales de ciudadanos o credenciales que aparezcan. Si se encuentran, se reportan a la entidad y se olvidan (Ley 1581 de 2012).
- Publicar los hallazgos, subirlos a un chat público o presumirlos por fuera de la clase. El destino de un hallazgo es su dueño, no un tuit.
Profundización · por qué importaUna entidad no se expone porque la ataquen: se expone porque publica. El rastreo pasivo no rompe nada — solo lee lo que ya está afuera. Lo que la IA cambia no es la técnica, es la escala y la fricción: en minutos arma un mapa que antes tomaba días, y de paso inventa un par de cosas y le quita el freno moral a quien lo usa. Gobernar datos es también saber cuánto de uno mismo está publicado, y quién respondería si alguien más lo lee primero.Leer el contexto del taller →
Girar la cámara hacia afuera
Un curso de gobernanza de datos suele mirar hacia adentro: qué datos tenemos, quién los gobierna, cómo se clasifican. Este taller gira la cámara y mira hacia afuera, a lo que la organización ya soltó al mundo sin darse cuenta. Porque la superficie por la que entra un incidente casi nunca es un secreto bien guardado que alguien robó: es algo que estaba publicado y que nadie estaba mirando.
Van a hacer rastreo pasivo, que es la parte del oficio que no toca el objetivo. No se escanea, no se prueba una contraseña, no se entra a ningún sistema. Se consulta lo mismo que puede consultar cualquiera: los registros de certificados, el DNS, los buscadores, el archivo histórico de la web, las filtraciones ya publicadas. Todo eso es legal, es público, y dice muchísimo. La línea que no se cruza —del artículo 269A— es la que separa observar de tocar, y en este taller no se cruza.
La segunda mitad del taller es sobre la IA. No como tema, sino como instrumento que van a usar y a medir. Van a rastrear primero a mano y luego con un asistente, y van a anotar el reloj y el conteo. Casi siempre la IA gana en velocidad y cobertura. Pero también van a ver las dos cosas que la IA introduce y que un gobernante de datos tiene que nombrar: que inventa subdominios y CVE que suenan bien y no existen, y que le baja la fricción ética a quien la maneja, empujándolo a cruzar la línea sin sentir que la cruzó.
Al final no entregan una lista de hallazgos para presumir. Entregan lo que un profesional serio hace con un hallazgo: un reporte para el dueño, escrito con cuidado, sin exponer a nadie, ofreciendo tiempo para arreglar. Ahí está la diferencia entre alguien que rastrea para aprender y alguien que rastrea para hacer daño — y es exactamente la diferencia que un curso de gobernanza tiene que dejar clara.
Caja de herramientas
Diez fuentes públicas, ninguna que toque el objetivo
Todas se consultan desde el navegador. La columna de consola es opcional, para quien quiera profundizar; sigue siendo 100% pasiva.
| Fuente | Frente | Para qué | Consola (opcional) |
|---|---|---|---|
| crt.sh ↗ | Cartógrafo · perímetro | Subdominios a partir de certificados TLS emitidos (Certificate Transparency). | curl -s "https://crt.sh/?q=%25.DOMINIO&output=json" |
| Shodan ↗ | Cartógrafo · perímetro | Servicios y puertos que otros ya observaron en internet. Consultar su índice es pasivo. | — solo web — |
| securityheaders.com ↗ | Cartógrafo · perímetro | Cabeceras de seguridad que faltan (HSTS, CSP, X-Frame) y banner del servidor. | curl -sI https://DOMINIO |
| BuiltWith ↗ | Cartógrafo · perímetro | Tecnologías del sitio: CMS, framework, analítica, versiones. | — solo web — |
| ViewDNS / DNSdumpster ↗ | Cartógrafo · perímetro | Registros DNS, correo (MX/SPF) y mapa de infraestructura, sin tocar el objetivo. | dig +short any DOMINIO |
| Google dorks ↗ | Archivista · rastro | site:, filetype:, inurl:, intitle:index.of — ver qué documentos y paneles quedaron indexados. | — solo web — |
| Wayback Machine ↗ | Archivista · rastro | Versiones antiguas del sitio: endpoints, paneles y archivos que ya no deberían estar. | — solo web — |
| Have I Been Pwned ↗ | Archivista · rastro | Si correos del dominio aparecen en filtraciones ya publicadas. | — solo web — |
| GitHub search ↗ | Archivista · rastro | Claves, tokens o configuraciones del dominio subidas por error a repos públicos. | — solo web — |
| Exif / metadatos ↗ | Archivista · rastro | Autor, software, rutas internas y fechas escondidos en PDF, Word y Excel públicos. | exiftool documento.pdf |
La sustentación · 5 a 10 minutos · 50% de la nota
Lo que cada equipo defiende
No es un informe leído: es contar, con el dossier al frente, cómo se movió el equipo y qué aprendió. Esta explicación vale la mitad de la calificación; el dossier con evidencia, la otra mitad.
La superficie
Qué tan grande resultó ser lo que hay que defender: subdominios, tecnologías, documentos. Una imagen, no una lista larga.
El pulso IA vs. mano
Los números: cuánto tardaron y cuánto hallaron en cada ronda, qué apareció solo con IA y qué alucinó la IA.
El riesgo y el control
Los tres hallazgos que le importan a la entidad y qué haría cada uno esta semana para cerrarlos.
El reporte
Cómo se lo dirían al dueño: el borrador de divulgación responsable, leído en voz alta.
La lección de gobierno
Una frase: ¿qué cambia en la gobernanza de datos de una entidad cuando rastrear su exposición pasa de días a minutos?
Cartógrafo habla de
El perímetro.
Archivista habla de
El rastro documental e histórico.
Relator habla de
La síntesis y el gobierno.
Marco legal y éticoQué ampara este ejercicio y qué lo convertiría en delito+
Ley 1273 de 2009 (delitos informáticos). El artículo 269A castiga el acceso abusivo a un sistema. Rastreo pasivo no accede a ningún sistema: consulta registros que ya son públicos. La frontera es tocar el objetivo — un escaneo, un intento de contraseña — y en este taller no se cruza.
Ley 1581 de 2012 (habeas data). Si en el rastreo aparecen datos personales de ciudadanos, no se recolectan, no se guardan y no se pegan en el chat de la IA. Se mencionan a la entidad en el reporte, de forma agregada, y se olvidan.
Divulgación responsable. El destino de un hallazgo es su dueño. El reporte de este taller es un simulacro de clase: se redacta con cuidado y no exige enviarse. Si el equipo decidiera reportarlo de verdad, lo haría en privado y dando tiempo para corregir, nunca publicándolo.
Este taller se enmarca en el curso de Gestión y Gobernanza de Datos de la Universidad EAFIT, con fines exclusivamente formativos y defensivos.