Fundamentos de OPSEC: Guía de Seguridad Operacional para Principiantes

Qué significa OPSEC realmente

La Seguridad Operacional —OPSEC— nació en la planificación militar, pero aplica a cualquier persona que quiera control real sobre lo que expone de sí misma, tanto en línea como fuera de ella. En esencia, es un proceso para identificar información sensible, entender quién podría querer obtenerla, y dificultarles el acceso.

La mayoría de la gente trata la privacidad como algo binario: o eres privado o no lo eres. OPSEC replantea eso. No se trata de ocultarlo todo, sino de tomar decisiones deliberadas sobre qué compartes, con quién y bajo qué condiciones. Un periodista que protege a una fuente, una persona que huye de violencia doméstica reubicándose en otra ciudad, y un desarrollador que asegura su red de trabajo están practicando OPSEC, aunque en niveles distintos.

Este artículo recorre los conceptos fundamentales, te da un modelo de amenazas funcional y convierte principios abstractos en hábitos que puedes aplicar de verdad.

---

El Proceso OPSEC en Cinco Pasos

El marco original de OPSEC, formalizado por el ejército estadounidense en los años 80, se divide en cinco pasos repetibles. Funcionan igual de bien para la privacidad personal.

Paso 1: Identifica tu Información Crítica

La información crítica es todo aquello que, si quedara expuesto, te causaría daño a ti o a alguien que estés protegiendo. Tu domicilio, tu empleador, tu rutina diaria, tu situación financiera, la identidad de las personas con las que te comunicas —todo eso entra en esta categoría.

Haz una lista breve. Te obliga a ser claro. La mayoría de la gente descubre que ha estado exponiendo descuidadamente cosas que preferiría mantener privadas, simplemente porque nunca se detuvo a identificarlas como información sensible.

Paso 2: Analiza la Amenaza

Una amenaza es cualquier persona u organización que quiere tu información crítica y tiene alguna capacidad para obtenerla. Aquí es donde el modelado de amenazas se vuelve esencial. Pregúntate: ¿quiénes son mis adversarios realistas, qué quieren realmente y qué herramientas tienen a su disposición?

Conocer a tu adversario determina tus contramedidas. Defenderse de los data brokers requiere pasos completamente distintos que defenderse de un atacante dirigido. Confundirlos lleva a sobreingeniería defensiva o a dejar brechas reales sin cubrir.

Paso 3: Analiza tus Vulnerabilidades

Una vulnerabilidad es cualquier brecha entre lo que quieres proteger y lo que estás protegiendo en realidad. Algunas comunes que vale la pena reconocer: usar la misma dirección de email para redes sociales, banca y newsletters; iniciar sesión en sitios web con Google o Facebook (lo que entrega tu historial de actividad directamente a esas plataformas); publicar fotos con geolocalización que revelan el barrio donde vives; reutilizar nombres de usuario en distintas plataformas, lo que hace el OSINT trivialmente sencillo para cualquiera que esté motivado a buscar.

Paso 4: Evalúa el Riesgo

El riesgo está en la intersección entre la probabilidad de una amenaza y su impacto. No toda vulnerabilidad necesita atención inmediata —priorízalas. Un adversario de baja capacidad explotando una vulnerabilidad de bajo impacto es un asunto de baja prioridad. Un adversario de alta capacidad con acceso a algo que podría hacerte daño real es urgente.

Paso 5: Aplica Contramedidas

Las contramedidas reducen la probabilidad de explotación o su impacto cuando ocurre. El resto de este artículo cubre las más prácticas.

---

Compartimentación: El Hábito Central

Compartimentar significa separar tus identidades, actividades y datos para que una brecha en un área no se propague al resto. Es la versión práctica del principio de "necesidad de conocer".

Una estrategia básica: mantén direcciones de email separadas para banca, redes sociales, compras y newsletters; usa nombres de usuario distintos en cada plataforma sin vínculos cruzados; mantén separados los dispositivos de trabajo y los personales, especialmente en redes compartidas; nunca uses tu nombre real en cuentas donde el anonimato importa.

Una configuración más avanzada usa navegadores o perfiles de navegador separados por contexto. Algo así:

Perfil: Banca
  Navegador: Firefox (reforzado, sin extensiones salvo uBlock)
  DNS: Cifrado, sin registros

Perfil: Redes Sociales
  Navegador: Perfil separado de Firefox
  Nunca se ha iniciado sesión en banca aquí

Perfil: Investigación / Anónimo
  Navegador: Tor Browser
  Sin inicios de sesión, JavaScript minimizado

Parece tedioso hasta que consideras contra qué te estás protegiendo: una sola cuenta comprometida le daría a un atacante —o a un data broker— un panorama completo de tu vida.

---

Higiene Digital Básica

Los Metadatos Son el Riesgo Real

El contenido de un mensaje suele ser menos revelador que sus metadatos: con quién te comunicaste, cuándo, con qué frecuencia, desde dónde. Los proveedores de email, las aplicaciones de mensajería y las operadoras telefónicas generan metadatos constantemente. El cifrado de extremo a extremo protege lo que dijiste —no oculta que lo dijiste, ni a quién.

Usa Signal para comunicaciones sensibles. Cifra el contenido y minimiza la exposición de metadatos en comparación con los SMS. Si usas tu propio cliente de correo, ten en cuenta que las cabeceras de email pueden revelar tu dirección IP. Elimina los metadatos de las fotos antes de compartirlas con una herramienta como exiftool:

# Eliminar todos los metadatos de una imagen
exiftool -all= photo.jpg

# Verificar que los metadatos han sido eliminados
exiftool photo.jpg

Reduce tu Superficie de Ataque

Cada cuenta que creas, cada servicio en el que te registras, cada app que instalas es un punto de exposición potencial. Empieza eliminando cuentas que no uses —JustDeleteMe es un buen punto de partida para eso. Solicita la eliminación de las bases de datos de los data brokers; la mayoría de los grandes brokers tienen procesos de exclusión, aunque muchos requieren seguimiento repetido. Considera también el uso de alias de email. Servicios como SimpleLogin o AnonAddy te permiten crear alias por servicio que redirigen a tu bandeja real, de modo que una brecha en un servicio no exponga tu dirección real.

Contraseñas y Autenticación

La reutilización de contraseñas es una de las vulnerabilidades más explotadas. Un ataque de credential stuffing toma un nombre de usuario y contraseña filtrados de una brecha y los prueba automáticamente contra cientos de otros servicios. Si has reutilizado una contraseña en algún sitio, estás expuesto.

# Verificar si tu email aparece en brechas conocidas
# Usando la API de Have I Been Pwned (v3)
curl "https://haveibeenpwned.com/api/v3/breachedaccount/[email protected]" \
  -H "hibp-api-key: YOUR_API_KEY"

Usa un gestor de contraseñas —Bitwarden es de código abierto y ha sido auditado de forma independiente— con contraseñas únicas y generadas para cada sitio. Activa la autenticación de dos factores basada en TOTP, no en SMS. El 2FA por SMS es vulnerable al SIM swapping, que es un ataque sorprendentemente fácil de ejecutar para un adversario motivado.

---

OPSEC Física y de Red

Exposición en la Red

Tu dirección IP revela tu ubicación aproximada y queda registrada en cada sitio web que visitas. Tu proveedor de internet ve todas las consultas DNS sin cifrar que realizas —básicamente un registro continuo de cada dominio que visitas durante el día.

El hardening básico de red empieza por cambiar a un resolver DNS cifrado:

# Comprobar tu resolver DNS actual
nslookup whoami.akamai.net

# Cambiar a un resolver DNS cifrado (ejemplo: 1.1.1.1 de Cloudflare con DoH)
# En Linux con systemd-resolved, edita /etc/systemd/resolved.conf:
[Resolve]
DNS=1.1.1.1#cloudflare-dns.com
DNSOverTLS=yes

Una VPN desplaza la confianza de tu proveedor de internet al proveedor de la VPN. No elimina esa relación de confianza —simplemente la mueve. Para escenarios de mayor riesgo, Tor enruta el tráfico a través de múltiples nodos, impidiendo que cualquier parte pueda ver al mismo tiempo el origen y el destino.

SIMs y Identidad Móvil

Tu teléfono es uno de los dispositivos más vinculados a tu identidad que llevas encima. Tu número de teléfono está ligado a tu identidad real a través de los registros de la operadora, se usa para la recuperación de cuenta en decenas de servicios, y transmite tu ubicación continuamente a las antenas de telefonía.

Para situaciones que requieren un canal de comunicación no vinculado a tu identidad, el enfoque habitual es usar SIMs de prepago compradas en efectivo en jurisdicciones que no exigen identificación para activarlas. El detalle crítico: el anonimato de la SIM es tan sólido como el dispositivo y el comportamiento que la rodean. Usar una SIM anónima en un teléfono que también tiene sesión iniciada en tu cuenta de Google anula completamente el propósito. Dispositivo, SIM y comportamiento deben estar compartimentados de forma conjunta.

Conciencia Física

“Privacy is not something that I'm merely entitled to, it's an absolute prerequisite.”

— Marlon Brando

OPSEC no es puramente digital. Hablar de temas sensibles en espacios públicos o en llamadas en áreas abiertas, dejar la pantalla del portátil visible en una cafetería, llevar tarjetas de fidelización que construyen perfiles de compra detallados, tirar documentos sin triturarlos —todo esto expone información crítica con la misma certeza que una app mal configurada. El modelo de amenazas aplica también al mundo fís