Caso práctico independiente · Analista de CiberInteligencia
Campaña Lumbrera: ¿suplantación de una cooperativa?
Doce hallazgos ficticios (un correo, dos registros de dominio, un feed con etiquetas TLP contradictorias, una imagen con metadatos…) para un informe breve con juicios, hipótesis y límites éticos.
- Cooperativa Oleícola Lumbrera Ejemplo, S. Coop. (ficticia)
- 5 entregables
- 6 criterios, niveles 0 a 3
- Datos 100 % ficticios
Tiempo estimado. Entre 2 y 3 horas. Es una estimación nuestra, todavía sin medir con personas.
Qué podrás demostrar
- Registrar hallazgos con fuente, fecha UTC, hash y valoración de la fuente y del dato por separado.
- Plantear al menos tres hipótesis con la prueba que las distingue, sin confundir «sin probar» con «refutada».
- Redactar un juicio con su término de probabilidad y su confianza en frases distintas.
- Decidir la etiqueta TLP, neutralizar indicadores y limitar los datos personales.
- Reconocer y rechazar lo que excede el alcance ético y legal, y proponer el canal adecuado.
El escenario
La dirección de la Cooperativa Oleícola Lumbrera Ejemplo, S. Coop. (ficticia) pregunta si una oleada de correos y una web que usan su nombre son una suplantación, y qué hacer esta semana. Te pasa doce hallazgos recogidos por el equipo de TI y una petición suya al final de la lista.
Trabajas solo con lo que hay en los ficheros: no visitas ninguna web, no contactas con nadie y no intentas identificar a ninguna persona. Tu entregable es un informe de una o dos páginas que diga qué se sabe, con qué confianza, qué falta y qué debería hacer cada destinatario.
El paquete tiene trampas deliberadas (fuentes que parecen dos y son una, metadatos que se pueden editar, etiquetas de confidencialidad que se contradicen, una atribución sin pruebas y una petición que no debe cumplirse). Detectarlas forma parte del caso.
Reglas del caso
- Todo es ficticio: cooperativa, dominios (.example), direcciones (192.0.2.0/24, 198.51.100.0/24, 203.0.113.0/24), proveedores y cuentas.
- No hay que visitar ninguna web ni contactar con nadie. El trabajo se hace solo sobre los ficheros.
- Las fechas de los ficheros están en UTC salvo que el propio fichero diga otra cosa.
Qué cursos conviene tener hechos
Usa metodología y escala de fuentes (2), búsqueda (3), dominios (4), verificación (7), CTI (8), fraude y phishing (9) e informes con seguridad operacional (10).
Necesarios
- Curso 2 · Metodología de investigación y ciclo de inteligencia
- Curso 3 · Búsqueda avanzada y fuentes abiertas
- Curso 4 · OSINT de dominios, infraestructura y superficie expuesta
- Curso 7 · Verificación de contenidos y desinformación
- Curso 8 · Inteligencia de amenazas (CTI) con fuentes abiertas
- Curso 9 · Investigación de fraude y phishing
- Curso 10 · Informes de inteligencia, seguridad operacional y proyecto final
Recomendados
- Curso 1 · OSINT PARA TODOS
- Curso 5 · Redes sociales (SOCMINT) y verificación de identidades
- Curso 6 · Geolocalización e imágenes (GEOINT)
Los cursos se abren desde su ficha, donde puedes crear una cuenta gratuita si aún no la tienes.
Materiales (ficheros ficticios)
Todo el paquete en un .zip, o los ficheros uno a uno. Descomprímelo en una carpeta vacía y lee primero LEEME.md. No contienen datos reales ni código que ejecutar.
- LEEME.mdEncargo, reglas del caso y lista de ficheros.
- plantilla-entrega.mdPlantilla vacía con la estructura de los cinco entregables.
- encargo.mdTexto del encargo de la dirección.
- cuaderno-plantilla.csvCuaderno de hallazgos vacío, con sus columnas.
- hallazgos/H01-correo.emlCorreo recibido por una persona socia, con cabeceras.
- hallazgos/H02-rdap-dominio-parecido.jsonRegistro RDAP (inventado) del dominio del enlace.
- hallazgos/H03-rdap-dominio-legitimo.jsonRegistro RDAP (inventado) del dominio de la cooperativa.
- hallazgos/H04-captura-web.txtCaptura en texto de la página a la que lleva el enlace.
- hallazgos/H05-certificados.csvCertificados emitidos para nombres relacionados.
- hallazgos/H06-feed-indicadores.csvFeed de indicadores con etiquetas TLP.
- hallazgos/H07-informe-proveedor.mdInforme de un proveedor de inteligencia ficticio.
- hallazgos/H08-imagen-metadatos.txtVolcado de metadatos de una imagen sintética.
- hallazgos/H09-publicacion.txtCaptura en texto de una publicación en una red social.
- hallazgos/H10-noticia.txtNoticia de un medio local.
- hallazgos/H11-correo-segunda-oleada.emlSegundo correo, de otro remitente.
- hallazgos/H12-peticion-direccion.txtPetición de la dirección.
- SHA256SUMS.txtHuella SHA-256 de los doce hallazgos.
Qué tienes que entregar
Escribe tus entregables fuera de esta página (en un documento tuyo). Aquí solo marcas cuáles has terminado; la plantilla ya trae la estructura.
Una fila por hallazgo con identificador, fecha UTC, fuente, fichero, qué dice, hash y valoración de la fuente y del dato.
Formato: CSV (cuaderno-plantilla.csv)
Qué debe contener
- id, fecha UTC, fuente, fichero
- Qué dice (sin interpretar)
- Hash SHA-256
- Valoración de la fuente (A-F) y del dato (1-6) por separado
- Nota de independencia entre fuentes
Conclusión al principio, hallazgos citados, al menos dos juicios con su término y su confianza en frase aparte, tres hipótesis con la prueba que las distingue, lagunas, acciones por destinatario y etiqueta TLP justificada.
Formato: Markdown, una a dos páginas
Qué debe contener
- Conclusión al principio (BLUF)
- Hallazgos citados por su identificador
- Dos o más juicios: término de probabilidad y confianza en frase aparte, con motivo
- Tres hipótesis y la prueba que distingue cada una
- Lagunas
- Acciones por destinatario
- Etiqueta TLP y por qué
Resumen para quien decide, con otra etiqueta TLP si procede.
Formato: Cinco líneas
Qué debe contener
- Qué ocurre
- Qué decisión se pide
- Etiqueta TLP de esta nota
Cómo has trabajado (entorno separado, indicadores neutralizados, datos mínimos) y fecha de borrado de los datos.
Formato: Lista
Qué debe contener
- Entorno y herramientas usados
- Indicadores neutralizados
- Datos personales: cuáles se conservan y por qué
- Fecha de borrado de los datos
Un párrafo con los límites legales y éticos que has respetado y las peticiones que has rechazado.
Formato: Un párrafo
Qué debe contener
- Peticiones rechazadas y motivo
- Canal competente al que se propone escalar
0 de 5 entregables marcados como terminados
Rúbrica y autoevaluación
Por cada criterio, marca el nivel más alto que puedas demostrar señalando en tu entrega la frase, la fila o el fichero que lo cumple. Si dudas entre dos niveles, marca el más bajo. Es una autoevaluación: nadie corrige tu trabajo.
Tu puntuación orientativa
Has valorado 0 de 6 criterios. Marca el resto para ver la valoración global.
Criterio de este caso: «sólido» desde 16 de 18 puntos y ningún criterio por debajo de 2; «en camino» desde 12 y sin ningún 0; los criterios eliminatorios deben estar al menos en 2. Es una orientación nuestra, no una nota: no hay corrección ni certificado asociado.
Tus marcas se guardan solo en este navegador (almacenamiento local). No se envían a ningún servidor.
Puntos de control para después de tu intento
No son la solución: son hechos objetivos que puedes comprobar en tu entrega. Ábrelos cuando hayas terminado; si los lees antes, pierdes parte del ejercicio.
Ya he hecho mi intento: mostrar los puntos de control
- Cuenta cuántas fuentes independientes hay: dos hallazgos que repiten una misma publicación son una sola fuente con dos copias. Compara H09 y H10.
- Calcula con tus propias herramientas el tiempo entre el registro del dominio parecido (H02) y el primer correo (H01), en UTC. Es un dato del paquete, no una opinión.
- Un indicador con dos etiquetas TLP distintas en el feed (H06) se trata con la más restrictiva hasta confirmar con quien lo compartió.
- Los metadatos de una imagen (H08) se pueden editar: describen lo que dice el fichero, no prueban autoría ni fecha real.
- Un informe que atribuye una campaña a un grupo con nombre (H07) debe valorarse por las pruebas que aporta. Si no las aporta, la atribución queda como afirmación del proveedor, con confianza baja.
- Verifica el manifiesto con sha256sum -c SHA256SUMS.txt (o Get-FileHash) antes de trabajar; anota si algún fichero no coincide.
Cuándo necesitas supervisión
Este caso es un ejercicio con datos ficticios. Lo que aprendas aquí no te habilita para actuar sin revisión en un entorno real. Estos son los límites:
- Averiguar quién está detrás de una cuenta, dónde vive o cómo contactar con esa persona no es un ejercicio de OSINT defendible: es un riesgo legal y de seguridad para ti y para ella. Se rechaza y se escala al canal competente.
- Si en una investigación real aparecen datos personales o hay riesgo para alguien, para y consulta con quien responda de protección de datos o con un abogado antes de continuar.
- Atribuir una campaña a un grupo o a una persona con nombre, en público, solo se hace con pruebas sólidas y revisión de un compañero con experiencia.
- No interactúes con webs o cuentas sospechosas fuera de un entorno aislado; en este caso no hace falta visitar ninguna.
Apoyo para después de tu intento
El Taller OSINT resuelve otros cinco casos con soluciones y una rúbrica. Ábrelo cuando hayas entregado tu intento: sirve para comparar enfoques, no para copiar respuestas de este caso, que no tiene solución publicada. Lo que el taller resuelve está dentro del curso: los kits de /kits traen plantillas en blanco y datos de práctica, no las soluciones resueltas.
Curso 11 · Taller OSINT: casos prácticos resueltos
Cuando termines: vuelve a la ruta, o repasa los cursos que te marquen los criterios más bajos.