OSINT de empresas

Antes de atacar la infraestructura conviene entender la organización: cómo se estructura, qué filiales y marcas tiene, qué adquirió, qué proveedores usa, dónde está físicamente y qué tecnologías compra. Ese contexto define el verdadero alcance del objetivo (una empresa matriz puede tener decenas de dominios y filiales con infra olvidada) y aporta pretextos y vectores que el recon puramente técnico no ve.

Qué se busca

Estructura corporativa: matriz, filiales, marcas, adquisiciones → más dominios/infra en scope.
Dominios y marcas asociados: no solo target.com, sino todas sus propiedades.
Proveedores y tecnología: qué SaaS, cloud y software usan (vectores de supply chain).
Ubicaciones físicas: oficinas, data centers (relevante para red team físico).
Datos financieros/legales: registros mercantiles, informes (contexto, pretextos).
Ofertas de empleo: revelan el stack tecnológico interno con detalle.

Fuentes

# registros corporativos (según país)
OpenCorporates, Crunchbase, registros mercantiles, SEC EDGAR (EEUU)
# marcas y dominios asociados
WHOIS inverso (reverse whois por organización/email de registro)
whoxy, ViewDNS reverse whois   -> todos los dominios registrados por la org
# certificados (revelan marcas/dominios relacionados)
crt.sh por nombre de org
# ofertas de empleo (stack tecnológico)
LinkedIn Jobs, portales de empleo -> "buscamos experto en <tecnología X>"

Reverse WHOIS: encontrar todos los dominios

# a partir del email/organización de registro, todos sus dominios
# whoxy / ViewDNS / amass intel
amass intel -whois -d target.com     # dominios relacionados por WHOIS
amass intel -org "Target Inc"        # por nombre de organización

Esto convierte “un dominio” en “el portafolio completo de dominios de la empresa”, muchos con infra menos vigilada.

Adquisiciones e infraestructura heredada

Las empresas compradas traen su propia infra, a menudo sin integrar ni endurecer:

# Crunchbase/noticias: "Target Inc adquiere Startup X"
# -> Startup X puede tener dominios, rangos (recon-asn) y sistemas vulnerables
#    ahora bajo el paraguas (y el scope) de Target

Tecnología desde ofertas de empleo

# una oferta "Administrador de Active Directory con experiencia en Citrix y SAP"
# revela: AD, Citrix, SAP en la infra interna -> vectores concretos a buscar

Las ofertas de empleo son una de las fuentes más infravaloradas del stack interno.

Metodología

1. Mapea la estructura (matriz, filiales, marcas, adquisiciones)
2. Reverse WHOIS -> todos los dominios de la org
3. Expande cada dominio (subdominios, ASN, recon técnico)
4. Extrae el stack de las ofertas de empleo
5. Identifica proveedores/SaaS (supply chain)
6. Consolida el scope real del objetivo

Para la defensa

Una organización debe conocer su propia superficie: inventario de dominios/marcas/filiales, gestión de la infra heredada de adquisiciones (endurecer o retirar), control de qué revelan las ofertas de empleo sobre el stack, y Attack Surface Management continuo. Lo que tú descubres como atacante, defensa debería descubrirlo primero.

Checklist de prueba

Estructura corporativa mapeada (matriz/filiales/marcas)
Reverse WHOIS → todos los dominios de la org
Adquisiciones identificadas (infra heredada)
Stack interno extraído de ofertas de empleo
Proveedores/SaaS identificados (supply chain)
Ubicaciones físicas (si aplica red team físico)
Cada dominio expandido con recon técnico
Scope real consolidado