Detecta, analiza e investiga campañas de phishing de principio a fin: forense de correo electrónico, análisis SSL/TLS, inteligencia de dominios, triaje de documentos maliciosos y atribución de actores de amenaza con herramientas OSINT profesionales.
Herramientas de laboratorio que usarás
Aprende a detectar, analizar e investigar campañas de phishing: indicadores en emails, análisis de certificados SSL, triaje de documentos maliciosos, seguimiento de infraestructura y simulaciones controladas con GoPhish.
119 EUR
Investigación avanzada de phishing: análisis de kits de phishing polimórficos, análisis forense de dominios, bypass de autenticación de email (SPF/DKIM/DMARC), simulación de ataques MFA con Evilginx e informes de inteligencia de amenazas.
159 EUR
Obtén los cursos Beginner + Intermediate agrupados juntos y desbloquea extras exclusivos.
Cada fase corresponde a un módulo del curso. Desplázate para ver tu progresión completa, desde los fundamentos de principiante hasta el dominio intermedio.
Fase 1
PrincipianteEl correo reportado es la materia prima. Aprendes a abrirlo con seguridad y a sacarle lo que no cuenta voluntariamente.
Fase 2
PrincipianteLa carga llega como documento o como URL. Ambos se examinan sin dejar que se ejecuten ni que avisen a nadie.
Fase 3
PrincipianteTodo dominio deja un rastro documental público. Esta fase va de leerlo sin enviarle al atacante ni un solo paquete.
Fase 4
PrincipianteUna investigación sobre la que nadie puede actuar es tiempo perdido. Aprendes las convenciones de informe que se usan de verdad.
Fase 5
IntermedioLos registros públicos de certificados son la fuente más rentable de la disciplina, porque el atacante publica en ellos sin querer.
Fase 6
IntermedioUna dirección suelta es un punto de partida. El pivoting la convierte en un mapa, siempre que sepas cuándo una correlación no significa nada.
Fase 7
IntermedioLos kits de phishing se despliegan sin modificar, así que arrastran constantes. Encuentra una y encuentras todos los despliegues.
Fase 8
IntermedioEl último paso es seguir a un actor en el tiempo y saber dónde termina la evidencia y empieza la especulación.
La ruta de Phishing con OSINT cubre el ciclo completo de una investigación: desde el mensaje que llega al buzón, pasando por las cabeceras que revelan de dónde vino de verdad, hasta mapear la infraestructura del atacante y redactarlo para que alguien pueda actuar.
Son dos disciplinas en una, y a propósito. El análisis de phishing sin OSINT te dice que un correo concreto era malicioso. El OSINT sin análisis de phishing produce datos interesantes sin nada que los ancle. Juntos responden a la pregunta que de verdad le importa a una organización: ¿esto es un mensaje suelto o el borde visible de una campaña dirigida contra nosotros?
El trabajo es pasivo por diseño. Aprenderás dónde está la frontera entre consultar registros públicos y tocar la infraestructura del atacante, por qué cruzarla compromete la investigación además de poder ser delito, y cómo obtener lo que necesitas sin enviarle nunca un paquete al objetivo.
La ruta usa más herramientas de las que caben aquí. Estas son las que definen el trabajo.
| Herramienta | Categoría | Para qué |
|---|---|---|
| urlscan.io | Navegación segura | Visitar el sitio sospechoso por ti para que tu IP nunca llegue al atacante |
| Certificate Transparency | Infraestructura | Encontrar subdominios y dominios hermanos mediante los registros públicos de certificados |
| Shodan / Censys | Infraestructura | Localizar por huella otros servidores que ejecutan el mismo kit de phishing |
| Maltego | Análisis | Construir el grafo de pivoting de forma visual cuando la investigación crece |
| olevba / pdfid | Triaje de documentos | Extraer macros y objetos incrustados de los adjuntos maliciosos |
| MXToolBox | Forense de correo | Comprobar la alineación de SPF, DKIM y DMARC en un mensaje sospechoso |
| theHarvester | Reconocimiento | Entender qué puede averiguar un atacante sobre tu propia organización |
| CyberChef | Decodificación | Desenvolver las capas de codificación con que los kits ocultan sus cargas |
Con indicadores, fuentes y niveles de confianza explícitos por hallazgo
Que muestra cómo un dominio conecta con el resto del parque del actor
Con el formato que un equipo de detección puede ingerir directamente
Leyendo la cadena de saltos y los resultados de autenticación hasta el origen real
El phishing sigue siendo el vector de acceso inicial más común, así que investigarlo bien es directamente útil en casi cualquier puesto defensivo, y es de las pocas especialidades que puedes practicar sin acceso privilegiado a nada.
Triagea mensajes reportados y decide qué es campaña y qué es ruido
Sigue campañas e infraestructura a lo largo del tiempo y entre víctimas
Determina el alcance una vez que el phishing ha tenido éxito
Encuentra y retira dominios que suplantan a la organización
Respuestas completas sobre esta ruta, laboratorios, certificados y reembolsos
Consultar fuentes públicas —datos de registro, registros de transparencia de certificados, DNS pasivo— es legal, porque son datos publicados deliberadamente. La ruta es explícita sobre dónde está la frontera con la interacción activa y por qué quedarse del lado pasivo te protege a ti y a la investigación.
No. La ruta se construye sobre lo que dan las capas gratuitas y las fuentes públicas, que es bastante más de lo que la mayoría espera. Las plataformas comerciales se comentan para que sepas qué aportan, pero ningún laboratorio depende de una.
Solo de forma incidental. Herramientas como GoPhish o Evilginx se cubren para que entiendas cómo es el lado del atacante y reconozcas sus rastros: la ruta es investigativa, no ofensiva.
Casi todo. El pivoting de infraestructura, la transparencia de certificados y el DNS pasivo son las mismas técnicas que se usan para seguir C2 de malware e infraestructura de estafas. El phishing es el vehículo para enseñar un método general.
No. Algo de scripting ayuda a automatizar consultas repetitivas y la ruta señala dónde, pero todos los laboratorios se completan con herramientas de línea de comandos e interfaces web.
Con un método investigativo repetible y casos documentados sobre infraestructura real, que en una entrevista demuestra bastante más que un certificado por sí solo.
