Atribución y OSINT · Lección 2 de 5
Fuentes de atribución y su fiabilidad
10 min de lectura
Toda atribución en un informe forense se basa en una fuente, y la defensa preguntará por cada una: ¿de dónde salió esta etiqueta?, ¿cuándo fue cierta?, ¿quién la comprobó? y ¿podría haberse copiado de otro lugar? Las fuentes van desde registros que un servicio produjo en respuesta a un proceso legal hasta una etiqueta sin explicación en un explorador público. Esta lección presenta las principales familias de fuentes de atribución, su fiabilidad habitual y un método para calificarlas, fecharlas y conciliarlas, basándose en las fuentes de etiquetas descritas en la lección IDFE-BA Atribución y etiquetado.
Principales familias de fuentes
| Fuente | Qué proporciona | Fiabilidad | Cómo verificarla | Riesgos principales |
|---|---|---|---|---|
| Direcciones publicadas por la propia entidad | Direcciones de reserva, donación o contrato de una entidad | Alta para las direcciones enumeradas, en la fecha de publicación | Archivar la lista; confirmar que el dominio pertenece a la entidad | Listas obsoletas; listas falsas de suplantadores |
| Comunicados de autoridades | Direcciones incluidas en acusaciones formales, avisos de incautación, listados de sanciones y advertencias | Alta para las direcciones nombradas | Archivar; citar al emisor y la fecha | La atribución es de la autoridad; las ampliaciones son tuyas |
| Registros de servicios y emisores | Asignación de cuentas, KYC, registros de depósitos y retiros, libros contables | Alta como registros; la identidad, solo según lo declarado | Calcular el hash al recibirlos; conciliarlos con la cadena | Período o cuenta incorrectos; KYC identifica al titular, no al actor |
| Bases de datos incautadas | Datos de servidores obtenidos al desmantelar mercados, mezcladores o servicios | Alta una vez validadas | Registro de custodia; comprobar filas en la cadena | Esquema, zonas horarias, datos de prueba, direcciones sin fondos |
| Divulgaciones de víctimas e incidentes | Direcciones de atacantes en análisis posteriores al incidente e informes de víctimas | Alta para las direcciones del incidente | Comprobarlas con las transacciones del incidente | Listas iniciales que luego se corrigen |
| Etiquetas comerciales | Atribuciones de proveedores dentro de herramientas analíticas | Variable; pocas veces explicada | Registrar la versión; preguntar cuál es el fundamento | Método opaco, sin fecha, versiones que cambian |
| Etiquetas comunitarias | Etiquetas de exploradores, conjuntos de datos abiertos, informes de estafas de usuarios | De baja a moderada | Rastrear hasta el origen | Copias circulares, informes maliciosos |
| Datos filtrados | Bases de datos de clientes vulneradas, filtraciones de datos | Desconocida | Restablecer el dato mediante una fuente legal | Legalidad, autenticidad, protección de datos |
La tabla es un punto de partida. Una lista publicada por la propia entidad en un dominio de suplantación no tiene ningún valor; una etiqueta comunitaria cuyo origen rastreas hasta un documento judicial es sólida. Califica el elemento específico, no la familia.
Registros de servicios y emisores
Los exchanges, los custodios y los emisores de stablecoins tienen los registros que conectan las capas de servicio y titular de la cuenta (consulta la lección De la dirección a la entidad y a la persona). Los registros producidos en respuesta a un proceso legal suelen ser la fuente de atribución más sólida de un caso, pero aun así deben examinarse:
- Autentica la producción: quién la produjo, por qué canal, con qué declaración de acompañamiento y cuál es el hash de cada archivo al recibirlo (consulta la lección Hashing, registro y cadena de custodia).
- Comprueba el alcance: ¿coinciden el período, la cuenta y el activo con lo solicitado?
- Concilia con la cadena: cada depósito y retiro que figure en los registros debe coincidir con una transacción que puedas verificar en un nodo, con el mismo importe y una hora plausible. Las discrepancias revelan transferencias internas, movimientos en el libro contable fuera de la cadena o errores (consulta la lección Cuentas de exchange y en la nube como evidencia).
- Recuerda qué es KYC: los documentos que presentó un cliente, verificados según los estándares del servicio vigentes en ese momento.
Un emisor de stablecoins también puede confirmar que congeló una dirección y cuándo lo hizo; sus registros del congelamiento son fuentes primarias.
Bases de datos incautadas
Los desmantelamientos de mercados de la darknet, mezcladores con custodia y exchanges ilícitos suelen producir imágenes de servidores que contienen cuentas de usuario, direcciones de depósito y registros de transferencias internas. Estos datos pueden atribuir miles de direcciones a la vez y, a menudo, se comparten entre autoridades mediante canales de cooperación policial (consulta la lección Mezcladores con custodia).
Trata una base de datos incautada como evidencia con su propia procedencia. El perito que se base en ella necesita la cadena de custodia de la autoridad incautadora, el hash de la imagen y entender el esquema: qué columna contiene la dirección de depósito, qué zona horaria usan las marcas de tiempo, si las filas incluyen cuentas de prueba, órdenes canceladas o direcciones generadas pero nunca utilizadas. Una dirección de depósito generada para un usuario pero que nunca recibió fondos no demuestra que se haya transferido valor. Valida una muestra de filas con la cadena antes de basarte en las demás.
Datos filtrados: límites legales y éticos
Las bases de datos de clientes vulneradas y otras filtraciones circulan en foros y, en ocasiones, se ofrecen a investigadores. Son tentadoras porque pueden vincular direcciones o correos electrónicos con nombres. También entrañan riesgos:
- Legalidad: poseer o procesar datos personales robados puede ser ilegal, y las normas varían mucho entre jurisdicciones. Su uso requiere una base legal clara y una política organizacional por escrito, decidida por asesores legales, no por el perito.
- Autenticidad: las filtraciones suelen recopilarse de nuevo, combinarse con vulneraciones anteriores o estar parcialmente falsificadas.
- Protección de datos: los datos corresponden a muchas personas que no están involucradas. Se aplican los principios de proporcionalidad y minimización (consulta la lección IDFE-BA Protección de datos, ética y divulgación responsable).
- Divulgación e imparcialidad: el material que no puede divulgarse ni autenticarse puede debilitar un caso.
Cuando se permita su uso, un registro filtrado es, como máximo, un indicio de inteligencia, calificado en el nivel más bajo de la escala, y el hecho debe restablecerse mediante una fuente legal; normalmente, mediante una solicitud al servicio cuyos datos se filtraron.
Etiquetas comerciales y comunitarias
Las herramientas analíticas contienen grandes conjuntos de etiquetas propietarias. A menudo están bien investigadas, pero el método que sustenta una etiqueta concreta rara vez es visible, y las etiquetas cambian entre versiones sin previo aviso. Para uso forense:
- Registra la herramienta, la versión, el texto de la etiqueta, la categoría y la fecha y hora en que se consultó, y captura la pantalla o exporta los datos (consulta la lección Herramientas, reproducibilidad y validación).
- Pregunta cuál es el fundamento de cualquier etiqueta de la que dependa una conclusión: transacción de prueba, publicación oficial, registros, ampliación heurística.
- Corrobora de forma independiente las etiquetas decisivas, por ejemplo, con un depósito de prueba propio, una lista publicada por la propia entidad o la confirmación del servicio.
Las etiquetas comunitarias, como las etiquetas públicas de exploradores, los conjuntos de datos abiertos y los informes de estafas enviados por usuarios, no ofrecen garantía alguna. Los informes de estafas pueden presentarse de forma maliciosa contra direcciones inocentes. Úsalos para generar hipótesis y luego rastrea cada etiqueta hasta su origen; las copias de un mismo origen cuentan como una sola fuente (la lección IDFE-BA Atribución y etiquetado denomina a esto informes circulares).
Calificar la fuente y la información por separado
La práctica de inteligencia califica dos aspectos de manera independiente: cuán fiable es la fuente y cuán creíble es el elemento de información específico. El sistema «Almirantazgo» de la OTAN usa letras de la A a la F para la fiabilidad de la fuente (desde completamente fiable hasta imposible de juzgar) y números del 1 al 6 para la credibilidad de la información (desde confirmada por otras fuentes hasta imposible de juzgar). Muchos organismos policiales, entre ellos Europol, usan una versión de cuatro por cuatro: fuentes A, B, C o X (no se puede evaluar) e información del 1 al 4, desde información cuya exactitud no ofrece dudas hasta información que la fuente no conoce personalmente y que no puede corroborarse.
El enfoque de dos ejes resulta adecuado para la atribución. Una fuente fiable puede transmitir un dato que no conoce de primera mano; un usuario desconocido de un foro puede publicar una dirección que luego se corrobora en la cadena. Un ejemplo ilustrativo de correspondencia 6×6:
| Elemento | Fuente | Información | Motivo |
|---|---|---|---|
| Los registros de un exchange asignan una dirección de depósito a una cuenta | A | 1 | Registro primario, conciliado con la cadena |
| Etiqueta del proveedor «Exchange K», sin fundamento declarado | B | 3 | Fuente normalmente fiable; elemento no confirmado de forma independiente |
| Una publicación en un foro afirma que una dirección pertenece a una estafa | F | 3 | Autor desconocido; la actividad de la dirección es compatible con la afirmación |
| Dirección de una filtración vinculada a un correo electrónico | F | 6 | Procedencia y autenticidad imposibles de conocer |
Registra ambos códigos con cada etiqueta en el registro de atribución del caso, junto con la calificación de confianza del vínculo (consulta la lección De la dirección a la entidad y a la persona).
Verificar, fechar y conciliar etiquetas
Toda etiqueta es válida durante un período. Una rutina práctica de verificación:
- Rastrea el origen. Encuentra la primera publicación o registro, no la copia que viste.
- Consérvala y féchala. Archiva la página o el registro con la URL, la hora de captura UTC y el hash (consulta la lección Metodología OSINT).
- Comprueba el período de actividad. ¿La actividad de la dirección en la cadena es compatible con la función que se le atribuye durante ese período? Una dirección etiquetada como cartera caliente de un exchange que dejó de mover fondos en 2021 no dice nada sobre depósitos de 2026.
- Comprueba el comportamiento. ¿La dirección se comporta como corresponde a la categoría: barridos de depósitos, grandes distribuciones desde carteras calientes, código de contrato para un puente?
- Busca una segunda fuente independiente para cualquier etiqueta de la que dependa una conclusión.
Cuando las fuentes discrepen, no las promedies:
| Conflicto | Resolución habitual |
|---|---|
| Comunicado de una autoridad frente a etiqueta de un proveedor | Informa que la atribución es de la autoridad; menciona la etiqueta del proveedor y pregunta cuál es su fundamento |
| Registros del servicio frente a cualquier etiqueta | Los registros prevalecen para las direcciones propias de ese servicio, una vez conciliados con la cadena |
| Dos etiquetas de proveedores que nombran entidades distintas | Considéralo un posible clúster fusionado por error; vuelve a examinar los vínculos del clúster |
| Etiqueta reciente frente a etiqueta anterior | Comprueba si la dirección cambió de titular o de función; ambas pueden ser correctas para sus respectivos períodos |
Conserva en el registro la etiqueta descartada, junto con el motivo por el que se dejó de lado. Las discrepancias entre fuentes son precisamente lo que buscan los peritos de la defensa, y demostrar que las encontraste y resolviste es mejor que dar la impresión de no haberlas advertido (consulta la lección Divulgación y escrutinio de la defensa).
Enfoque del examen: las principales familias de fuentes, sus fortalezas y riesgos, y cómo verificar cada una; autenticar, delimitar y conciliar registros de servicios; validar bases de datos incautadas (procedencia, esquema, zonas horarias, direcciones sin fondos); límites legales, de autenticidad y de protección de datos sobre los datos filtrados, y restablecimiento de los hechos mediante fuentes legales; registrar las etiquetas comerciales y preguntar cuál es su fundamento; informes circulares; calificación de dos ejes de la fuente y la información (las versiones 6×6 del sistema Almirantazgo de la OTAN y 4×4 de los organismos policiales); fechar etiquetas según los períodos de actividad; resolver conflictos entre fuentes y conservar los motivos.