A finales de 2022, se hizo pública la utilización de la técnica OSInt para la investigación fiscal de una conocida figura de la música, por parte de la agencia tributaria española. Mediante fotos subidas por la estrella a sus redes sociales, entre otros elementos, el Fisco pudo geoposicionarla para demostrar su residencia jurisdiccional.

También trascendieron las investigaciones realizadas con el mismo proceso OSInt a Youtubers que abiertamente manifestaron mudarse a Andorra para pagar menos impuestos. En estos casos, su vida pública en las fuentes abiertas ha permitido seguir el rastro dejados por los metadatos de sus contenidos.

En el presente blog, intentaremos explicar brevemente las principales características de la técnica y cuáles serían sus potencialidades y limitaciones para el rol de contralor de las administraciones tributarias a través de las “pistas” o “huellas” digitales que son dejadas por los propios protagonistas en las redes sociales y en Internet en general

¿Qué es OSInt?

OSInt es el acrónimo de “Open Source Intelligence”, traducido al español como “Inteligencia de Fuentes Abiertas”. Se refiere al proceso que abarca la recopilación, análisis y uso de la información de fuentes públicas y abiertas, como sitios web, redes sociales, foros, blogs, revistas, periódicos, entre otros, con el fin de obtener conocimientos útiles para un fin determinado.

El OSInt es utilizado por una amplia gama de organizaciones, incluyendo agencias gubernamentales, judiciales, militares, de inteligencia, empresas de seguridad privada, empresas de investigación de mercado, periodistas, investigadores y analistas de seguridad cibernética. En la actualidad, sus usos generalmente se orientan para fines de marketing, inteligencia competitiva, prevención de ciberataques o amenazas de seguridad, y lo que se conoce como el “hacking ético”, que sirve para descubrir las debilidades propias, ya que estas técnicas también son utilizadas en inteligencia delictiva.

El proceso de OSInt generalmente consta de los siguientes pasos:

1. Planificar el objetivo: qué es lo que se quiere obtener con la investigación, para poder enfocar la búsqueda de manera efectiva.
2. Selección de fuentes apropiadas: Esto puede incluir fuentes públicas, como redes sociales, sitios web, bases de datos gubernamentales, publicaciones en línea, entre otros.
3. Recopilar información: Se utiliza una variedad de técnicas y herramientas para recopilar información, que puede incluir búsquedas en motores de búsqueda avanzados, análisis de redes sociales, monitoreo de noticias, y búsqueda en bases de datos especializadas. Para ello existen una gran cantidad de herramientas, cuya elección dependerá del tipo de información que se busque y el objetivo inicialmente trazado ^[1]
4. Analizar y filtrar información: No todos los datos que se obtienen son certeros, los mismos deberán ser cuidadosamente elegidos.
5. Efectuar reporte: Finalmente, se sintetiza la información para producir un informe o análisis que resuma los hallazgos clave de la investigación.

A continuación, mencionaremos algunas características que podrían considerarse específicas para el ámbito de las AATT:

En cuanto a la definición de objetivos, la técnica OSInt podría orientarse para la recopilación de información tendiente a recabar información de base, entre otras, sobre:

• • Residencia fiscal de un contribuyente local o extranjero.
• • Patrimonio no declarado, tales como inmuebles, cuentas bancarias, billeteras virtuales, etc.
• • Consumos significativos.
• • Comercio electrónico en plataformas colaborativas y en canales no tradicionales.
• • Beneficiarios finales ocultos
• • Relaciones sociales y económicas fiscalmente relevantes

Asimismo, estos objetivos deberían adecuarse a las necesidades puntuales del riesgo que se pretende abordar, diferenciando una acción de auditoría forense puntual a un sujeto determinado, a una tarea investigativa tendiente a la detección preventiva de casos con determinados desvíos, donde no se conoce de antemano los sujetos que integrarán el universo.

En relación a las fuentes de información, resulta sustancial una correcta elección de aquellas fuentes externas de carácter público y de origen legal, que permitan la interacción con los datos internos que maneja la organización, a efectos de cruzarlas para la obtención de desvíos que indiquen interés fiscal.

Luego, las herramientas a ser utilizadas para recopilación de datos, pueden convertirse en una limitación para el proceso, en el marco de las políticas de utilización de medios informáticos, acceso a plataformas y normas de seguridad vigentes en las AATT.

En este sentido, en la Revista de Administración Tributaria Nº42 del CIAT^[2], González García menciona que una administración puede decidir adiestrar a sus funcionarios en el uso de herramientas personales, con lo que luego cada uno de ellos deberá realizar el análisis de riesgo, cruzando sus datos con los de la informática corporativa o bien crear una herramienta de descarga masiva y suministrar un entorno con información integrada en el que todos los investigadores, sin necesidad de conocimientos informáticos especializados puedan realizar el análisis de riesgo.

El autor considera que esta segunda resulta superior por los siguientes motivos: a) La dificultad en adiestrar en tecnologías informáticas relativamente sofisticadas a un número amplio de auditores, b) La desventaja asociada a que los datos de las distintas investigaciones no puedan consolidarse para tener una visión global del riesgo en el sector si se realizan en Pc a lo que se asocian los problemas de seguridad, c) La pérdida de eficacia originada por la reduplicación de tareas y d) último pero no menos importante es que la obtención de la información requiere en casi todos los casos, una pericia técnica, elevada pues hay que sortear las defensas puestas por las paginas para evitar su colapso con peticiones, enfrentarse al hecho de que un mismo dato en cada página tiene un formato distinto y otros muchos.

Como el crecimiento en el almacenamiento y fuentes de datos de acceso libre es exponencial, así como el tipo de soft utilizados para la búsqueda, análisis, interpretación y visualización de la información objetivo, la incorporación de la técnica OSInt a las AATT requiere una adecuada planificación y de equipos altamente entrenados en el uso de las aplicaciones informáticas disponibles o de desarrollo propio a tales fines.

El análisis y filtro de los datos, es tal vez la tarea que mayor pericia interdisciplinaria podría demandar. La variada cantidad de datos que arrojan las herramientas requieren de una prueba de confiabilidad mediante contrastación con otras fuentes de información, ya que pueden tratarse de datos falsos por corresponder a homónimos, utilización de nombres de personajes famosos en cuentas no verificadas, fake news, etc.  En el XII Congreso de Entes Recaudadores del CEAT^[3], se expresó que resulta sustancial la clasificación de esta información obtenida con OSInt, a efectos de constatar la veracidad e integridad de una gran cantidad de información que arrojan las búsquedas avanzadas.  Para ello se requiere de expertos en la interacción con otras fuentes e inteligencias. ^[4]

Por último, los datos recopilados de las huellas digitales de Internet se convertirán en información de reporte para utilizarse con fines fiscales, lo que podrá incluir fotos, metadatos, videos, y otras fuentes multimediales públicas y abiertas (es decir, no cifradas) que no requieren de autorización. Por lo tanto, no debe soslayarse la sujeción a las normas locales e internacionales sobre la privacidad de los datos y su debida utilización.

Es por ello que el enfoque multidisciplinario debería abarcar la labor de análisis de legalidad en la recolección de datos, a modo de asegurar que se obtengan de fuentes de acceso público irrestricto y se recaben solo para la función propia de la administración de tributos, con el objeto de evitar divulgaciones de datos privados y la eventual desestimación del medio probatorio por la conocida doctrina del “fruto del árbol envenenado”

En resumen, aunque el OSINT puede ser una técnica útil para las investigaciones con fines fiscales, es importante tener en cuenta las limitaciones propias y considerar cuidadosamente cómo se filtra y utiliza la información obtenida. Es sustancial asegurarse de cumplir con la legislación y regulaciones aplicables y utilizar la información obtenida de manera ética y responsable.

^[1] Solo para citar algunas :Google Dorks, Maltego, Shodan, Recon-ng, TheHarvester, Creepy, Metagoofil, Brandwatch, Netlytic, NodeXL, Social Mention, etc.

^[2] El Control del Comercio Electrónico y la Economía Colaborativa – Ignacio González García – Revista de Administración Tributaria Nº 42 – CIAT  – Junio 2017

^[3] XII Congreso Nacional e Internacional de Entes Recaudadores – Centro de Estudios en Administración Tributaria de la Facultad de Ciencias Económicas de la UBA – Argentina. Osvaldo Falabella, Marcos Russo, Andrea Vera. – El OSInt en las AATT – 04/05/2023 – CPCECABA https://www.youtube.com/watch?v=Al4zJW4zR8c

^[4] Por ejemplo: HUMINT (Inteligencia humana); IMINT (Inteligencia de imágenes); SIGNT (Inteligencia de señales); SOCMINT (Inteligencia de redes sociales); MASINT (Inteligencia de reconocimiento y signatura)

5,437 total views, 1 views today