Learn

284 artículosCategoría: Todo
Fundamentos

Qué es OPSEC

La palabra OPSEC puede sonar algo rígida.

Pero si se piensa en anonimato, no se puede evitar. OPSEC no es el nombre de una herramienta especial, sino una forma de pensar "qué ve la otra parte a partir de mis acciones" y reducir la salida de información peligrosa.

Usar una . Usar Browser. Eliminar metadatos. Estas medidas son importantes.

Pero todas se debilitan sin OPSEC.

Aunque ocultes la ruta de comunicación, si el texto publicado describe un hecho del trabajo, el trabajo se ve. Aunque elimines metadatos, si en una captura aparece una notificación de una cuenta de identidad real, no sirve. Aunque uses correo seguro, si en una respuesta das nombre real o afiliación, el anonimato se rompe.

Este artículo ordena los conceptos básicos de OPSEC para proteger el anonimato.

Qué es OPSEC

OPSEC es la abreviatura de Operational Security.

Traducido literalmente, significa seguridad operativa. En el contexto del anonimato, es una forma de gestionar la seguridad no solo con herramientas o ajustes, sino también con acciones diarias, publicaciones, contactos, conservación, borrado y respuestas.

PerspectivaSignificadoEjemplo en anonimato
Qué protegerQué quieres protegerNombre real, trabajo, lugares frecuentes, fuente, compañeras
Contra quiénDe quién protegerloConocidos, trabajo, operador del servicio, investigadoras, organismos estatales
PistasA partir de qué se infiereIP, , contenido publicado, imagen, tiempo, estilo
ConductaQué haces túPublicar, responder, compartir, borrar, consultar
RevisiónDónde revisarAntes de publicar, después de publicar, revisiones periódicas

OPSEC no es un "método para no ser encontrado nunca".

Es una operación para pensar qué información es peligrosa frente a tu objetivo y reducir correlaciones innecesarias.

Qué pensar antes que las herramientas

Al empezar a aprender anonimato, la atención se dirige enseguida a nombres de herramientas.

Tor, VPN, apps de mensajería cifrada, herramientas de eliminación de metadatos. Todas son importantes. Pero en OPSEC, antes que la herramienta se decide "de quién y qué se protege".

Aunque se trate de la misma emisión anónima, las medidas necesarias cambian entre una persona que no quiere que conocidos encuentren una cuenta de afición y una persona que quiere evitar represalias por una denuncia de irregularidades.

PreguntaRazón para pensarlaEjemplo
De quién protegerloCambia la capacidad de la otra parteConocidos, trabajo, operador del servicio, organismo estatal
Qué protegerCambia el objeto protegidoNombre real, rostro, ubicación, personas relacionadas, materiales
Qué se publicaráCambia la información que saleTexto, foto, PDF, video, enlace
Qué pasa si fallaCambia la fuerza necesariaVergüenza, pérdida de trabajo, peligro para alguien
A quién se confíaCambia dónde se ve la informaciónProveedor VPN, proveedor de correo, punto de consulta

Las herramientas se eligen después de esta organización.

Si eliges herramientas primero, aparecen malentendidos como "uso VPN, así que está bien" o "como es Tor, es seguro". En OPSEC se mira qué se ve y qué queda después de usar la herramienta.

Tipos de información que mira OPSEC

Las pistas que rompen el anonimato no son solo nombres.

Dirección IP, Cookie, hora de publicación, fondo de foto, nombre de archivo, estilo, cuentas pasadas, hábitos de respuesta. Cuando se combinan, reducen a la persona o a personas relacionadas.

Tipo de informaciónEjemploQué se ve
Información de redIP, DNS, tiempo de comunicaciónOrigen de conexión o entorno de comunicación
Información de cuentaID, correo, recuperaciónVínculo con entorno de identidad real
Contenido publicadoTrabajo, región, conocimiento especializadoFigura personal o afiliación
Información multimediaFoto, PDF, capturaLugar, dispositivo, autor
Patrón de conductaHora de publicación, velocidad de reacciónRitmo de vida o participación presencial
Información pasadaSNS antiguas, blogs antiguosCorrelación con el nombre anónimo actual

En OPSEC no basta con mirar la información una por una.

Hay que mirar combinaciones.

Por ejemplo, si se juntan "Kansai", "sector médico", "después del turno nocturno", "participación en un evento concreto" y "nombre parecido a un antiguo ID", el grupo candidato se estrecha mucho.

Errores frecuentes de OPSEC

Los fallos de anonimato no ocurren solo por ataques difíciles.

Muchos ocurren por acciones pequeñas de la propia persona. Prisa, enojo, costumbre y pereza abren huecos operativos.

ErrorQué ocurreMedida
Mezclar con entorno de identidad realSe conecta por Cookie, contactos y nubeSeparar un entorno dedicado
Hablar demasiado en respuestasSale información que no estaba en el texto inicialDejar pasar tiempo antes de responder
Omitir revisión de imágenesAparecen fondos o notificacionesFijar una revisión antes de publicar
Usar el mismo IDSe conecta por búsqueda con cuentas pasadasCrear un nombre nuevo
Confiarse solo por borrarQuedan capturas y citasRevisar alcance de difusión

OPSEC no consiste en pensar perfectamente cada vez.

Consiste en conocer de antemano dónde suelen ocurrir errores y convertirlo en procedimiento.

Convertir OPSEC en procedimiento cotidiano

Si OPSEC se queda solo en la cabeza, se escapa.

Definir qué mirar antes de publicar, después de publicar y en revisiones periódicas reduce errores incluso cuando hay cansancio.

MomentoQué revisarObjetivo
Antes de prepararObjetivo, otra parte, qué protegerDecidir fuerza de las medidas
Antes de publicarTexto, imagen, archivo, enlaceEvitar filtraciones directas
Después de publicarRespuestas, citas, difusiónNo añadir información adicional
Revisión periódicaPublicaciones pasadas, resultados de búsqueda, perfilesVer correlaciones acumuladas
Cuando ocurre un problemaRegistros, eliminación, punto de consultaEvitar respuestas precipitadas

En actividades especialmente de alto riesgo, la revisión no siempre debe cerrarse a solas.

En denuncias de irregularidades, protección de fuentes y actividades con peligro real, puede haber situaciones en las que convenga consultar con abogadas, organizaciones de apoyo, editoras o responsables de seguridad de confianza.

Separar bajo riesgo y alto riesgo

OPSEC no exige las mismas medidas a todo el mundo.

En una cuenta de afición con seudónimo, el centro puede ser que conocidos o el trabajo no la encuentren. En cambio, en denuncias de irregularidades o protección de fuentes, hay que pensar en logs internos, historial de acceso a materiales, riesgo legal y represalias contra personas relacionadas.

SituaciónQué se mira principalmentePrecaución
Seudónimo de aficiónAntiguo ID, imagen, correlación con conocidosEvitar conexión con cuentas pasadas
Consulta personalFamilia, trabajo, lugares frecuentesEvitar que el contenido de consulta reduzca a la persona
Emisión socialHora de publicación, información del lugar, compañerasProteger lugares de actividad y personas relacionadas
Protección de fuentesRuta de contacto, materiales, contenido del artículoReducir líneas que vuelven a la fuente
Denuncia de irregularidadesLogs internos, documentos, historial de accesoConsiderar consulta especializada

Medidas demasiado ligeras son peligrosas.

Al contrario, si se introducen medidas más complejas de lo necesario, dejan de mantenerse y la operación se rompe a mitad de camino. En OPSEC también es importante elegir una fuerza adecuada a la situación.

Resumen

OPSEC es gestión de seguridad operativa para proteger el anonimato.

El anonimato no se completa solo con herramientas como VPN o Tor. Hay que pensar también en contenido publicado, imágenes, archivos, respuestas, tiempos, información pasada y mezcla con el entorno de identidad real.

En OPSEC, primero se decide "de quién, qué y en qué medida proteger".

Después se revisa qué información se ve y con qué se vincula.

El anonimato no es una técnica única para esconderse.

Es una operación para reducir pistas, no aumentar correlaciones y poder detenerse cuando algo es peligroso. OPSEC es una idea básica para eso.

Artículos relacionados