En el món actual, on la informació personal és la moneda més valuosa, la ciberseguretat ja no és un luxe opcional, sinó una necessitat estratègica. Com a professional del desenvolupament de programari i soci de Q2BSTUDIO, vaig decidir dur a terme un experiment controlat: provar set agents d'intel·ligència artificial especialitzats en OSINT (Open Source Intelligence) contra la meva pròpia petjada digital. L'objectiu no era el morbo, sinó entendre com les eines modernes poden exposar vulnerabilitats que ni tan sols sabíem que existien. I els resultats, creieu-me, van ser reveladors.
La premissa era senzilla: proporcionar a cada eina el meu nom real, el meu correu electrònic principal i una foto de perfil, exactament les mateixes dades que deixo a xarxes socials, fòrums i serveis en línia. Sense àlies, sense comptes temporals. Després, mesurar quanta informació podien recollir en només quatre minuts. No és un estudi científic rigorós, però sí una demostració pràctica del que qualsevol atacant podria aconseguir amb eines accessibles i una mica de paciència.
Abans d'entrar en detalls, un advertiment necessari: això és auto-OSINT, realitzat amb el meu consentiment explícit. No comparteixo aquestes tècniques per fomentar l'assetjament o el doxeig. Al contrari, la meva intenció és mostrar com podem auditar la nostra pròpia superfície d'atac i, amb l'ajuda de solucions d'IA i bones pràctiques de seguretat, reduir el risc d'exposició.
Les eines seleccionades representen les categories més populars el 2025: des de cercadors de correu electrònic fins a motors de reconeixement facial, passant per frameworks d'automatització OSINT amb capes d'intel·ligència artificial. En concret, vaig utilitzar Epieos per rastrejar la presència del meu email, IntelX.io per buscar filtracions a la dark web, OSINT Industries per correlacionar dades personals, cercadors de nom d'usuari com Social Searcher, PimEyes per a reconeixement facial invers, SpiderFoot amb un wrapper GPT per a anàlisi automatitzada, i Maltego amb plugin d'OpenAI per visualitzar relacions.
En menys de seixanta segons, els resultats van començar a arribar. La meva adreça actual va aparèixer amb un 87% de confiança, provinent d'una pàgina d'exclusió de corredors de dades de la qual creia que m'havia eliminat. El meu antic usuari de MySpace va ressorgir de les cendres digitals. Vaig descobrir tres filtracions de dades que desconeixia, incloent-ne una amb contrasenyes en text pla que vaig reutilitzar el 2018. També es van identificar els meus perfils de LinkedIn, GitHub, Medium, Instagram i un compte oblidat de Flickr amb fotos del meu gos.
Al minut dos, la cosa es va posar més intensa. PimEyes va localitzar dotze fotos meves, entre elles una d'una xerrada en una conferència de 2022, una altra d'un article en un diari local sobre una cursa benèfica, i una captura de la meva foto de perfil de Venmo que algú altre havia compartit. IntelX va vincular el meu correu a una filtració que contenia el meu antic número de telèfon, el qual OSINT Industries va utilitzar per extreure informació del meu operador mòbil i una llista de 'possibles associats'. Entre ells apareixien la meva mare i un desconegut a qui vaig comprar un sofà per Facebook Marketplace el 2020. L'algorisme ens considerava propers.
Als quatre minuts, el quadre estava complet. Nom complet, data de naixement, adreça actual i dues anteriors, número de telèfon, sis correus electrònics personals, historial laboral, universitat, 47 fotos, 12 perfils socials, contrasenyes de bretxes, la meva llista de desitjos d'Amazon (per què és pública?) i el meu historial de donacions polítiques. Tot això, sense que jo ajudés activament. El cost per a un atacant: entre 0 i 47 dòlars, depenent de les eines. L'esforç: menor que demanar un burrito.
Aquest experiment confirma una cosa que a Q2BSTUDIO sabem bé: el problema no és tenir una filtració aïllada, sinó la capacitat de correlacionar múltiples fonts de dades aparentment inofensives. Una contrasenya filtrada el 2018, combinada amb un perfil de Strava i un LinkedIn públic, pot revelar la teva adreça exacta i els horaris en què no ets a casa. La intel·ligència artificial potencia aquesta correlació automatitzant el que abans requeria dies de treball manual.
Què podem fer al respecte? Primer, assumir que eliminar la nostra informació d'internet és una quimera. En lloc d'això, cal centrar-se a reduir l'exposició: eliminar comptes antics amb serveis com JustDeleteMe, donar-se de baixa de corredors de dades mitjançant eines com DeleteMe o Optery, i desactivar llistes públiques a Venmo o Amazon. Cada petit pas eleva el cost d'atac per a un possible intrús.
En segon lloc, auditar la nostra pròpia petjada digital de forma periòdica. Recomano establir un recordatori trimestral per executar eines com Epieos al nostre correu, PimEyes a la nostra foto i Have I Been Pwned per verificar bretxes. Si trobem alguna cosa que no ens agrada, corregir-la de seguida. Aquest procés hauria de ser part de qualsevol estratègia de ciberseguretat personal o empresarial.
Des d'una perspectiva tècnica, aquest experiment també demostra la importància d'invertir en desenvolupament d'aplicacions a mida que integrin principis de seguretat des del disseny. A Q2BSTUDIO ajudem empreses a construir programari amb capes de protecció que minimitzin la superfície d'atac, ja sigui mitjançant infraestructura cloud a AWS o Azure, solucions de Business Intelligence amb Power BI per monitorar amenaces, o agents d'IA que automatitzin la detecció de vulnerabilitats.
La ciberseguretat no és una destinació, sinó un procés continu. El que aquest experiment m'ha ensenyat és que la nostra petjada digital ja no és una simple petjada a la sorra; és un documental en alta definició, amb marques de temps, geolocalització i transcripcions cercables. I només calen quatre minuts per reproduir-lo. Si treballes en seguretat, desenvolupament o simplement et preocupa la teva privacitat, t'invito a reflexionar sobre què estàs deixant exposat. A Q2BSTUDIO estem preparats per ajudar-te a construir un ecosistema digital més segur, des del codi fins al núvol.
