¿Cómo identificar un ladrón haciendo OSINT? caso 2

Caso de la vida real con Indrive

Con este caso ya llevamos 2 casos que podemos publicar, que mediante técnicas de OSINT, hemos logrado perfilar una persona responsable de cometer un hurto en lo corrido de este año.

Al igual que nuestra historia pasada, ¿Cómo identificar un ladrón haciendo OSINT?,  una persona allegada fue la afectada. Esto ocurrió en Medellín, Colombia, al momento de enviar una impresora de 12 millones de pesos (COP) a un cliente, que por facilidad, tiempo y costo, lo realizó mediante el uso de la aplicación Indrive; sin embargo, el conductor se la llevó y nunca llegó al verdadero destino.

Alrededor de las 16:40 hrs fuimos notificados del incidente y se nos preguntó si podíamos ayudar a encontrar a los responsables.

A las 16:50 horas, decidimos tomar el caso aunque el panorama no era alentador, teníamos un nombre, el tipo de carro y unas placas que no podíamos saber si eran falsas o no, además tampoco podíamos comprobar si el nombre era falso o no.

Empezamos por mirar información de la placa, por suerte en nuestro país hay muchos portales que pueden ayudarnos a obtener información de una placa, algunos los hemos dejado en nuestro repositorio de github.

Para alrededor de las 18:48 horas ya teníamos el propietario del carro, pero el dueño está en Bogotá.

En este punto la investigación podía volverse más difícil, pues el conductor no coincidía con el propietario y teníamos varias hipótesis en este punto.

Hipótesis:

• El carro era robado y estaba en Medellín
• Las placas eran falsas
• El dueño del carro, renta, presta el carro para servicios en plataformas como indrive y desconoce para qué se usa.

Ahora bien, debíamos investigar el conductor o mínimamente la persona que aparecía en la foto de la aplicación. Para esto al consultar las fotomultas, se oculta de manera parcial la cédula y nombre de la multa del conductor.

La anterior imagen nos da el nombre parcial, el documento y además nos da un dato muy importante y es que llevaba un pasaporte al momento de la multa, por lo cual nuestra primera suposición fue: posiblemente sea una persona de nacionalidad extranjera.

En este caso, la placa del vehículo tenía unas multas en la ciudad de Medellín, a partir de esto, dedujimos el nombre ofuscado allí, logrando identificar el nombre del conductor con alta probabilidad.

Por lo pronto nuestros sudes (sujeto desconocido) ya tenía un nombre, por seguridad de nuestra investigación solo lo llamaremos Samuel.

Ya teniendo el nombre fue fácil buscar redes sociales, logramos ubicar Facebook, TikTok, Instagram y LinkedIn. En uno de ellos tenía su rostro expuesto, por lo cual el siguiente paso fue mostrar las evidencias a la víctima y pedir confirmase si fue la persona que recogió la impresora.  

Para este punto, ya teníamos varias fotos y presuntos familiares:

Ya eran las 20:40 horas, el tiempo corría y nuestra misión era lograr recuperar la impresora muy rápido, para esto teníamos aún mucho trabajo por delante, necesitábamos la dirección del conductor. 

En este punto teníamos que crear una relación o acercamiento con el presunto ladrón, dado que en redes sociales no logramos obtener la dirección del mismo.

Aquí nos apoyamos de acercamiento usando cuentas títere, en nuestro video en YouTube de OSINT moda o profesión hemos explicado que es esto.

Como hemos aprendido, con el tiempo puedes tener cada vez mejores cuentas títeres, las cuales se vean más reales, precisas y creíbles y que en situaciones como la anterior, faciliten la aceptación de solicitudes de amistad, en este caso no fue la excepción y Samuel nos aceptó la amistad.

Al ser amigos en Facebook nos permitió ver fotos que antes no, allí logramos ver una donde conducía y otra donde se ve un carro azul, spark, similar al que se llevó nuestra impresora.

Ya éramos amigos de Samuel y ahora necesitábamos saber dónde estaba o qué hacía y confirmar si manejaba para Indrive.

Como pudieron ver, nos decía que estaba en Venezuela, lo cual encajaría con el pasaporte que vimos en la multa del vehículo que conducía, sin embargo ese día sabíamos que estaba en Medellín. Posteriormente logramos confirmar que trabajaba para plataformas digitales, en este caso nos dijo que en Uber.

Nuestra conversación continúa, y logramos obtener un numero de celular, así mismo confirmación en un audio de que trabajaba en Indrive.

En paralelo la víctima nos confirmó que su usuario de Indrive fue bloqueado, al parecer el conductor lo reporto por mal uso y de esta forma evitó que pudiese ser denunciado.

Esto nos hizo pensar que Samuel actúa de forma sistemática y empezamos a tener un presunto modo de operación de este tipo de robo.

la víctima nos dijo que iba a pedir videos de seguridad de las cámaras donde el conductor recogió la impresora; sin embargo, estas eran entregadas hasta el otro día. Cuando finalmente fueron vistas, se supo que el conductor nunca bajó del vehículo, lo cual afecto la oportunidad de comprobar, por ese video, si era Samuel.

Aun así, la evidencia recolectada mediante OSINT e ingeniería social a nuestro sospechoso, nos daba una alta probabilidad fuera él.

Pero, para las 22:20 notamos algo …

Identificamos en Facebook una impresora, a mitad de precio, publicada 5 horas antes por un actor llamado “Manuel”.

Es de notar que veíamos varios artículos publicados ese día a precios muy bajos respecto al mercado, así mismo veíamos varios productos publicitados de días anteriores a mitad de precio.

A continuación, hablamos con este vendedor y nos mencionan que es totalmente nueva y se encuentra disponible en Envigado. Indagando con la víctima, nos dice que ellos iban detrás del carro, pero que este se perdió entre la 4sur y Aguacatala.

En este punto creemos que Samuel, una vez robó la impresora, la llevo a este vendedor o tal vez eran cómplices. En las redes sociales no vimos relaciones entre Samuel (el conductor) y Manuel (el vendedor), sin embargo, buscando información en la red de Manuel observamos una publicación de que vendía cuentas de Indrive (ya era una coincidencia muy alta).

En este punto ya teníamos un posible esquema de trabajo de estas dos personas sospechosas.

1. El conductor Samuel, presuntamente roba productos cuando son enviados mediante Indrive.
2. Lleva a un revendedor en Envigado, este ofrece productos robados a mitad de precio por el marketplace de facebook.
3. Samuel reporta a las víctimas en la aplicación, de esta forma no lo pueden denunciar y puede repetir el proceso.
4. Samuel usa un carro asociado a otras personas, por lo que al buscar por la placa del vehículo no lo pueden culpar, además puede estar viviendo entre Venezuela y Medellín, cambiando por semanas su ubicación y de esa manera las víctimas no lo encontrarán.
5. Manuel (el vendedor) también puede comercializar o gestionar carros para trabajar en Indrive.

Hipótesis: es posible que Manuel tenga diferentes conductores trabajando para él, por la cantidad y variedad de productos ofrecidos a venta en Facebook.

Finalmente logramos, en un aproximado de 7 horas, tener mucha información a partir de solo una imagen de evidencia después del robo, lo cual nos permitió comprobar una vez más la importancia de procesos de inteligencia, el manejo de fuentes abiertas y un pensamiento creativo.

Desenlace final.

En este momento contábamos con evidencia sustancial y puntos de apoyo significativos para respaldar nuestra hipótesis. No obstante, se presentó una situación comprensible y respetable desde la perspectiva de la víctima: experimentaron temor ante la confrontación con los presuntos responsables.

Como resultado, optaron por dar por perdida la impresora. Además, la complejidad de los eventos sugería un comportamiento similar al de una banda criminal organizada, y desconocíamos el alcance de sus actividades en la ciudad.

Bueno… nosotros desde la investigación, nos sentíamos felices, pues el objetivo de identificar el presunto sospechoso se logró y a diferencia de nuestra anterior investigación, aquí trabajamos “con las uñas”, además tuvimos que pensar de manera creativa para llegar a la información que nos permitió encontrar al actor responsable, de hecho, tampoco esperábamos llegar a entender una posible banda organizada.

Aún así, sentimos un poco de impotencia al no poder recuperar el objeto robado.

Conclusiones finales de esta historia/investigación

La práctica continua de OSINT, ya sea en casos como este o en CTFs, junto con la colaboración de varios investigadores, puede contribuir a perfilar a los responsables de este tipo de robos en cuestión de horas.

La documentación y recopilación de evidencias, así como la conexión entre ellas, facilitan la verificación de hipótesis en nuestras investigaciones de manera más organizada.

En nuestro país, contamos con un considerable talento para llevar a cabo investigaciones de alta calidad, no obstante, la presencia de violencia y el miedo asociado a bandas o estructuras criminales pueden intimidar a las víctimas hasta el punto de que, aún conociendo a los responsables, prefieran evitar la confrontación.

Nosotros aún esperamos que la víctima y el amigo de la víctima que nos recomendó que hiciéramos esta investigación, nos inviten a una cerveza o café por invertir 7 horas en encontrar los responsables 😄

¡Mentiras! Siempre que podamos ayudar a las personas y hacer lo que nos apasiona en el proceso, será gratificante. Si aún no sabes correctamente identificar qué te apasiona, y en qué campo de Ciberseguridad quieres trabajar, puedes usar nuestro perfilador gratuito de Be Hacker Pro y descubrirlo. (enlace)

Esperamos que hayan disfrutado tanto como nosotros al vivir esta historia, y confiamos en que los consejos y procesos que compartimos les resulten útiles. Si tienen experiencias similares, los invitamos a compartirlas en nuestras redes sociales o a dejar sus comentarios en esta publicación.

No olviden registrarse en nuestro sitio y seguirnos en nuestras redes. ¡Estamos ansiosos por escuchar sus historias y continuar compartiendo contenido de interés!