OSINTsearch, buscador OSINT, publica 12 casos reales

¿Qué publicó OSINTsearch y por qué le importa a un founder?

OSINTsearch, una herramienta que busca direcciones de correo y nombres de usuario en cientos de plataformas, publicó un índice de 12 casos de estudio de OSINT con un detalle poco habitual: cada búsqueda está documentada y se puede repetir. Los identificadores de la serie no salieron de una filtración ni de una corazonada. Antes los había impreso un expediente judicial, una entrada de sanciones del Tesoro de Estados Unidos o un reportaje con nombre y apellido.

Ese es el punto que un founder debería retener. La investigación de fuente abierta dejó de ser un ejercicio de curiosidad y se volvió infraestructura. El FBI creó un vehículo de contratación específico, el contrato IDIQ Specialized Open-Source Intelligence (OSINT) Tools, con un período de pedidos de cinco años que corre hasta septiembre de 2031, según anunció la empresa Cyabra en octubre de 2026 al quedar seleccionada en las categorías de imagen y video. Cuando una agencia abre una categoría de compras así, el mercado ya existe.

¿Qué casos cubre la serie?

Son seis casos y seis guías. Los casos parten de personas acusadas, condenadas o sancionadas:

¿Y esto cómo se aplica en tu negocio?

Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

Cómo se atrapa a un hacker: expedientes de RaidForums, REvil, AlphaBay y Scattered Spider, y los nueve errores de OPSEC que se repiten.
Mapa de handles de Scattered Spider: 16 personas acusadas, entre imputaciones federales de EE.UU. y el caso del Transport for London en Reino Unido.
KFC Watermelon y LuminosityLink: Colton Grubbs, sentenciado a 30 meses en 2018.
Galochkin y volhvb: Maksim Galochkin, sancionado el 7 de septiembre de 2023 y nombrado en tres imputaciones.
Joeleoli: Joel Martin Evans, sentenciado a 24 meses el 27 de agosto de 2026.
LockBitSupp: Dmitry Khoroshev, cuya imputación se desprecintó y que fue sancionado el 7 de mayo de 2024.
TeamPCP: Ruben Ian Thomson, detenido en Perth en agosto de 2026 e imputado en California.

Las guías enseñan una técnica a la vez: encontrar una cuenta de GitHub a partir de un email, atribuir un actor de amenaza, rastrear un correo desechable, leer las direcciones de email en la lista SDN de la OFAC (23 direcciones de diez designaciones) y fechar la creación de una cuenta.

¿Cómo se investiga sin inventar? El método en seis pasos

Partir de un documento que imprima el identificador. Una imputación, una querella, una declaración jurada, un memorando de sentencia, una entrada de la OFAC o un reporte firmado. Las direcciones que circulan en foros sobre acusados conocidos pero no aparecen en ninguna fuente primaria no se buscan.
Copiar letra por letra. Krebs publicó una dirección en 2018 y otra casi idéntica en 2019 para el mismo registro. Una letra cambia el resultado.
Pasar cada email por el email lookup. Revisa unas 175 plataformas y reporta los registros encontrados, más el perfil cuando la plataforma lo expone: un handle de GitHub, un nombre visible, una fecha de creación.
Pasar cada alias por el username search. Unas 760 plataformas. Cualquier handle que devuelva el email recibe el mismo tratamiento.
Poner cada fecha en la línea de tiempo del caso. Creada antes de que el alias existiera, mientras estaba en uso, o después de que el nombre se hiciera público.
Calificar cada resultado contra el expediente y registrar las contradicciones al lado de las coincidencias.

¿Cuáles son los aprendizajes que se repiten en todos los casos?

1. El buzón cotidiano es el que habla

Las direcciones creadas solo para el foro casi nunca identificaron a nadie. En el caso Fitzpatrick, la declaración jurada describe una dirección de Riseup usada para registrarse en RaidForums: el email lookup no encontró registros para ella, coherente con ese uso acotado. El Gmail personal que los registros de Google le atribuyen devolvió 11 registros. En TeamPCP pasó lo mismo: la dirección vinculada a la cuenta Express de BreachForums no devolvió registros, mientras un Gmail que Krebs ató a una cuenta de Microsoft a nombre de Thomson devolvió 24 resultados.

2. Un handle acuñado es una huella; una palabra de diccionario es camuflaje

volhvb devolvió 11 coincidencias exactas y ningún casi-acierto. joeleoli devolvió 33 resultados, todos exactos. deadcatx3 devolvió 21, incluido el perfil de HackerOne que Krebs reportó. Las cadenas comunes se comportan distinto: Express devolvió 316 coincidencias exactas y el alias de TrickBot mango, 439. Un acierto sobre una palabra común es un punto de partida, nunca una respuesta.

3. Un anclaje de email vence a una coincidencia de handle

nerowolfe, el nombre de un detective de ficción, devolvió 113 coincidencias exactas. Solo una está anclada al expediente público: la cuenta de GitHub alcanzada a través de un email, que lleva la persona NeroWolfe que Krebs vinculó a Khoroshev. El patrón se repite con Grubbs, cuyo Gmail publicado resuelve a una cuenta de GitHub que muestra su nombre completo, y con la dirección de la OFAC en la entrada de Maksim Rudenskiy, que resuelve a una cuenta de GitHub con el nombre Max Rudensky.

4. Las fechas separan al dueño del okupa

La fecha de creación es el único campo del perfil que el dueño no puede escribir. En el alias lockbitsupp, una cuenta de Steam de un jugador sin relación data de 2004, años antes de que LockBit existiera (Steam permite cambiar la URL del perfil, así que el handle puede ser más nuevo). Una cuenta de Codeforces apareció cinco días después de que se desprecintara la imputación, y TikTok y Twitch llegaron en diciembre de 2025: posibles okupas o suplantadores. En joeleoli, un perfil de GitLab con el nombre Joel Evans data de septiembre de 2017, antes de la conspiración que admitió, mientras una cuenta de MyAnimeList sobre el handle se creó unos 21 meses después del arresto.

5. El expediente ancla, la búsqueda ilustra

El perfil de HackerOne en deadcatx3 muestra el nombre de Ruben Thomson, exactamente como lo reportó Krebs. El perfil de Medium en volhvb muestra la grafía cirílica del nombre de la entrada de sanciones. Los dos significan algo solo porque un expediente público ya había atado el handle al nombre. Sobre su reconstrucción de LockBit, Krebs fue explícito: su línea de tiempo no probaba que NeroWolfe y Khoroshev fueran LockBitSupp. Sobre un handle que no aparece en ningún expediente, un nombre visible que coincide es una pista, no una conclusión.

6. Hay que saber qué documento imprime identificadores

La imputación de Khoroshev no imprime ninguna dirección de correo. La querella de IntelBroker se refiere a una cuenta de email numerada. La entrada de la OFAC para Khoroshev imprime dos direcciones. En los casos de Scattered Spider, las autoridades británicas y europeas publicaron nombres, edades, ciudades y sentencias, pero ningún alias, buzón ni handle: fueron las presentaciones estadounidenses y los periodistas quienes aportaron las cadenas que después se buscaron.

¿Qué revela el caso TeamPCP sobre el rastro que dejamos?

En agosto de 2026, la Policía Federal de Australia detuvo en Perth a dos hombres de 21 y 23 años acusados de integrar TeamPCP, el grupo al que se atribuye la cadena de ataques a la cadena de suministro de software más larga registrada, según KrebsOnSecurity. Los dos enfrentaban 14 delitos informáticos en conjunto. ABC News de Australia confirmó que uno era Ruben Ian Thomson, de Cottesloe, y el otro Michael Gaebler, de 23 años.

El jefe de la división cibernética del FBI, Brett Leatherman, dijo que los acusados habrían atacado a más de mil organizaciones, según TechCrunch. La investigación australiana arrancó en abril de 2026 a partir de información de varias empresas de ciberseguridad. La firma CloudSEK calculó que el ataque a LiteLLM, un gateway de IA de código abierto, cosechó claves de nube y otros secretos de más de 2.500 organizaciones; en mayo el grupo reclamó haber comprometido al menos 3.800 repositorios en GitHub, según el reporte de Krebs.

Lo relevante para un founder no es la escala del daño: es cómo se llegó al nombre. Krebs no hackeó nada. Cruzó registros públicos de DNS pasivo de DomainTools, búsquedas en Constella Intelligence, Epieos, SpyCloud, Intel 471 y Pipl, y encontró que una dirección IP usada por una cuenta de foro había servido durante años como servidor de archivos privado de una familia en Perth. El resto fue leer con cuidado: un perfil de Airbnb, un perfil de Upwork, una empresa registrada con un nombre que repetía el alias del foro.

El propio Thomson le dijo a Krebs que había dejado la actividad criminal en marzo de 2026 y que había ganado unos US$20.000 en total. Entre las empresas que registró hay una llamada OPSEC Express, y OPSEC es justamente la disciplina de compartimentar la identidad real. La reacción del sector también dejó huella: GitHub introdujo a fines de julio un mecanismo de espera de tres días para Dependabot, su herramienta de actualización automática de dependencias, para dar tiempo a detectar versiones comprometidas.

¿Qué significa esto para tu startup?

El error de lectura más común es creer que esto es un problema de cibercriminales. No lo es. Cualquier founder deja el mismo tipo de rastro: registros en betas, foros de producto, herramientas gratuitas, un GitHub personal que mezcla proyectos de fin de semana con el repositorio de la empresa. La diferencia entre un rastro inocuo y uno explotable es la separación de identidades y la disciplina de fechas.

Corre el email lookup sobre los correos del equipo fundador. Empieza por los personales, que son los que más registros acumulan. Cierra las cuentas que ya no usas y que exponen nombre, foto o fecha de creación.
Separa identidades por función. El correo con el que te registras en un foro, en una beta o en una herramienta gratuita no debería ser el mismo que usas para el dominio corporativo ni el que aparece en el registro mercantil.
Aplica la regla de las fechas en due diligence. Antes de firmar con un proveedor, un socio o un experto que aparece de la nada, busca su correo y sus alias y ordena los resultados por fecha de creación. Una cuenta creada después del hecho que investigas es un okupa, no un dueño.
Trata el resultado cero como resultado cero. Que una búsqueda no devuelva registros no prueba que la cuenta no exista. En el caso Fitzpatrick, la ausencia era coherente con el uso descrito; en otro contexto, sería simplemente un vacío.

Y una advertencia que la serie repite: la presunción de inocencia. Khoroshev, Thomson, Coelho y Rudometov están acusados, no condenados. Un nombre visible que coincide no es una prueba, y publicar como certeza lo que es una hipótesis es la forma más rápida de convertir una investigación en un problema legal.

Conclusión

La lección de estos 12 casos no es que la privacidad murió, sino que la huella digital es acumulativa y verificable. Cada registro viejo, cada alias reutilizado y cada fecha de creación quedan disponibles para cualquiera que sepa qué documento mirar primero. Para un founder, la conclusión práctica es doble: audita tu propio rastro antes de que lo haga un tercero, y cuando investigues a alguien, ancla cada hallazgo a un documento y fecha cada cuenta. La diferencia entre una pista y una acusación es exactamente ese trabajo.