¿Qué es la ciberinteligencia (CTI)?

Cuando se habla de "ciberseguridad" casi siempre se piensa en firewalls, antivirus y contraseñas: medidas que protegen lo que ya tienes dentro de casa. La ciberinteligencia, o CTI (del inglés Cyber Threat Intelligence), es otra cosa: es la disciplina que se dedica a mirar hacia fuera, a averiguar qué está pasando en internet —y en los rincones de internet que no se indexan en Google— que pueda afectar a tu organización antes de que ese riesgo llegue a tocarte.

Dicho de forma sencilla: la ciberseguridad tradicional cierra puertas; la ciberintelig­encia te dice qué puerta van a intentar abrir, quién lo está planeando y con qué herramientas, para que puedas reforzarla antes de que lo intenten. No es magia ni es exclusiva de grandes bancos o del CNI: cualquier empresa, por pequeña que sea, genera huella digital —un dominio, correos corporativos, empleados con perfiles públicos, proveedores— y esa huella puede aparecer en sitios que conviene vigilar.

Los cuatro niveles de la ciberinteligencia

No toda la CTI sirve para lo mismo. Se suele dividir en cuatro niveles, cada uno pensado para una audiencia distinta dentro de la organización:

Inteligencia estratégica. Es la fotografía de alto nivel: qué sectores están siendo más atacados en España, qué grupos de ransomware están activos, cómo evoluciona la regulación. Va dirigida a dirección y sirve para decidir dónde invertir el presupuesto de seguridad.

Inteligencia táctica. Se centra en las técnicas y herramientas que usan los atacantes ahora mismo: qué tipo de phishing está funcionando, qué vulnerabilidades se están explotando esta semana. La usan los equipos técnicos para priorizar parches y controles.

Inteligencia operativa. Información sobre campañas o ataques concretos que ya están en marcha, a menudo en tiempo real: un grupo de ransomware que ha publicado una nueva víctima, una campaña de phishing dirigida a un sector específico.

Inteligencia técnica. El nivel más granular: indicadores de compromiso como direcciones IP, hashes de malware o dominios maliciosos, pensados para alimentar directamente herramientas de detección.

Una pyme normal no necesita —ni puede permitirse— un equipo dedicado a los cuatro niveles. Pero sí le interesa una versión accesible de los dos primeros: saber qué está pasando en su sector y sector geográfico, y si su propio nombre, dominio o gente aparece en algún sitio que no debería.

CTI, OSINT y "threat intelligence": aclarando los términos

Es fácil confundir estos conceptos porque se solapan:

OSINT (Open Source Intelligence, inteligencia de fuentes abiertas) es la técnica: recopilar información de fuentes públicas —redes sociales, registros de dominios, foros, repositorios de código, bases de datos filtradas que ya circulan públicamente— para construir una imagen de algo o alguien. El OSINT es una de las materias primas de la CTI, pero no toda la CTI usa solo fuentes abiertas.

CTI es la disciplina completa: no solo recopilar datos (con OSINT o con otras fuentes, incluidas zonas más opacas como foros cerrados o mercados de la dark web), sino analizarlos, darles contexto y convertirlos en algo accionable. Una lista de contraseñas filtradas es un dato; saber que esas contraseñas pertenecen a empleados de tu empresa y que además coinciden con un dominio que un grupo de ransomware mencionó la semana pasada, eso ya es inteligencia.

Threat intelligence es, en la práctica, un sinónimo de CTI usado casi indistintamente en el sector, aunque algunos lo reservan para el nivel más técnico (indicadores de compromiso, feeds de IOCs).

Por qué le importa esto a una empresa española sin SOC propio

La mayoría de las pymes y empresas medianas en España no tienen un SOC (centro de operaciones de seguridad) ni un analista dedicado a vigilar la dark web. Durante años eso significó, en la práctica, no tener ninguna visibilidad sobre lo que pasaba fuera de la red corporativa: si un empleado reutilizaba su contraseña del trabajo en una web que sufrió una filtración, la empresa no se enteraba hasta que alguien intentaba entrar con esas credenciales.

Eso ha cambiado. Existen hoy herramientas gratuitas y accesibles que permiten a cualquier empresa hacer una primera capa de CTI básica sin contratar una consultora ni tener conocimientos técnicos avanzados. No sustituyen a un servicio de monitorización continua, pero sí responden a la pregunta más urgente: "¿hay algo ahí fuera de lo que debería preocuparme ahora mismo?"

Cómo empezar a hacer CTI básica hoy mismo, gratis

Esto es lo que puedes hacer en los próximos cinco minutos, sin registrarte en nada y sin saber programar:

1. Comprueba si tu dominio o tu email corporativo ha aparecido en una filtración. En la página de inicio de TheWatcher hay un buscador gratuito: escribe el dominio de tu empresa (por ejemplo tuempresa.es) o un email corporativo y en segundos verás si aparece en filtraciones conocidas. Si el resultado es positivo, no entres en pánico: significa que ese dato está circulando y toca revisar contraseñas y accesos relacionados, no que te estén atacando en ese instante.

2. Revisa el feed de ciberamenazas en España. Es una lista en tiempo real de incidentes públicos —filtraciones, ransomware, phishing, vulnerabilidades— filtrable por tipo y severidad. No hace falta entenderlo todo: basta con echar un vistazo cada semana y fijarte si aparece tu sector (por ejemplo, "sanidad" o "servicios profesionales") o algún proveedor que uses.

3. Explora el mapa de geointeligencia. Es una representación visual de esas mismas señales, geolocalizadas. Es útil para hacerse una idea rápida de dónde se concentra la actividad —qué regiones o países están más activos en según qué tipo de ataque— sin tener que leer decenas de informes.

Estas tres herramientas son, en esencia, una puerta de entrada práctica a la ciberinteligencia: no requieren presupuesto, no requieren instalar nada y no dan por hecho que sabes lo que es un IOC o un hash. Si después de usarlas ves que tu empresa aparece en algo concreto, o simplemente quieres que alguien lo vigile de forma continua en lugar de tener que acordarte de comprobarlo cada semana, ese es el momento de plantearse una monitorización activa — puedes escribirnos y lo revisamos contigo sin compromiso.

Lo que la CTI no es

Vale la pena cerrar con una aclaración, porque el término se ha popularizado y a veces se usa mal. La ciberinteligencia no es adivinar el futuro, no es "hackear a los hackers" y no es sustituir las medidas de seguridad básicas —MFA, copias de seguridad, parches— que siguen siendo imprescindibles. Es, simplemente, tener ojos puestos fuera de tu perímetro para que las decisiones de seguridad que tomas dentro estén informadas por lo que realmente está pasando, y no solo por la intuición.

Si quieres ver cómo se traduce todo esto en la práctica, en el artículo Panorama de la ciberinteligencia y la ciberseguridad en España repasamos el estado actual del sector en España: qué grupos de amenaza están activos, qué exige la regulación y cómo está evolucionando la adopción de CTI entre empresas españolas.