Tiempo de lectura: 14 minutos
TL;DR
Un superyate es una de las cosas más privadas que el dinero puede comprar, y una de las más fáciles de encontrar del mundo. Todo buque grande emite su identidad, posición, rumbo y destino en abierto por radio VHF, porque un sistema de seguridad para evitar colisiones —el AIS— lo exige. Cuatro webs gratuitas —MarineTraffic, VesselFinder, ShipFinder y Maritime Database— convierten esa manguera de datos en un mapa consultable donde un solo fondeadero frente a Mallorca se vuelve una lista de invitados etiquetada de los más ricos del planeta, cada casco marcado con su estela pasada, su próximo puerto y un botón de previsión de ruta. Los directorios de propietarios cierran el último salto, del casco a la persona. Y ni siquiera necesitas las webs: un PortaPack de ~200 € decodifica el AIS directamente del aire, lo que significa que ocultar tu barco online no hace nada contra la radio que lo sigue transmitiendo. Ahora añade IA y el problema cambia de forma: un agente fusiona el AIS con registros de propiedad, noticias y publicaciones sociales en un dosier vivo, aprende el patrón de vida de un objetivo, predice el próximo fondeadero y te avisa en cuanto el barco aparece — sin supervisión. Esto es un artículo de seguridad, no un manual. Está escrito para quienes poseen, tripulan y protegen estos buques, porque un fondeadero predicho es la ubicación de una persona. Método a nivel de vector de amenaza, defensas al final, sin nombrar objetivos.
Descargo de responsabilidad. Esto es defensivo y se mantiene a nivel de vector de amenaza. Usa solo datos públicos y herramientas públicas, no nombra a ninguna persona objetivo, y empareja cada capacidad con una contramedida. El objetivo es la concienciación en OPSEC y protección ejecutiva para quienes poseen, tripulan o protegen estos buques — no un manual para quien tenga peores intenciones. Como en el resto de la serie SRF-IWS, me apoyo en la IA para construir escenarios realistas y orientados a la defensa, y todo nombre de buque que se muestra aquí ya es público en las plataformas de las capturas.
Me he pasado este blog rastreando redes, hardware y ahora agentes de IA buscando el punto donde un sistema filtra más de lo que su dueño cree. El mar resultó ser una de las filtraciones más generosas que he mirado nunca — y, a diferencia de un servidor mal configurado, esta filtra por ley.
Deja que te enseñe lo que una tarde, un navegador, una radio barata y un agente de IA pueden reconstruir sobre dónde están de verdad los ricos.
El puerto deportivo es una lista de invitados
Apunta cualquiera de estas herramientas a Puerto Portals o a la bahía de Palmanova una tarde de verano y el mapa hace algo un poco obsceno: etiqueta el fondeadero. No «yate». Los nombres. Una pantalla llena de ellos, cada uno un casco que vale decenas o cientos de millones, cada uno clicable.
Figura 1. Una web gratuita convierte un fondeadero de verano frente a Mallorca en una lista de invitados etiquetada.
Eso no es una filtración en el sentido del hacking. Nadie rompió nada. Es el sistema funcionando exactamente como se diseñó — que es justo el quid, y justo el problema.
Por qué el mar no tiene privacidad: el AIS
El Automatic Identification System existe por una buena razón: que los barcos choquen entre sí a oscuras es malo, así que desde el convenio SOLAS los buques por encima de cierto tamaño (y en la práctica todo yate serio) llevan un transpondedor AIS que emite continuamente, por VHF marino, quiénes son y dónde están. Identidad (nombre, indicativo, MMSI, número IMO), posición, rumbo, velocidad, estado de navegación y a menudo el destino que tecleó el capitán — todo en abierto, tan a menudo como cada pocos segundos cuando el buque navega, para cualquiera que escuche.
Hay una línea de tamaño que conviene conocer, porque decide quién no puede excluirse. Bajo el SOLAS, un transpondedor Clase A es obligatorio para buques de más de 300 toneladas de arqueo bruto y todos los buques de pasaje; las embarcaciones de recreo más pequeñas usan la Clase B, más ligera y en gran medida voluntaria, que se puede apagar legalmente. Fíjate en qué lado de esa línea caen los barcos interesantes: prácticamente todo superyate de estas capturas supera con creces las 300 GT, así que los cascos más grandes y protegidos del agua son justo los que la ley prohíbe apagar.
Es una baliza de seguridad. También es una baliza de rastreo. Son la misma señal. Una tecnología construida para que un petrolero no arrolle a un pesquero es, desde la silla del OSINT, una flota de la gente más rica del mundo anunciando voluntariamente sus coordenadas en un canal abierto.
Figura 2. La manguera bruta del AIS por el Mediterráneo — miles de buques, todos auto-reportándose.
A este zoom es solo ruido. Las herramientas existen para convertir el ruido en una dirección.
Las herramientas: convertir la manguera en un mapa
Los agregadores hacen todos lo mismo en esencia —ingerir el AIS global (de receptores terrestres y satélites) y renderizarlo como un mapa vivo y consultable— y usas varios precisamente porque discrepan en los márgenes, que es como se verifica de forma cruzada. MarineTraffic, VesselFinder y ShipFinder son los tres grandes; Maritime Database es la capa de referencia que te da las bases sobre puertos y tipos de buque. Todos freemium: el mapa es gratis, el histórico profundo y las coordenadas exactas en vivo están tras una suscripción. Y como los feeds vienen de satélites además de receptores en tierra, la cobertura no es solo costera — fondear mar adentro, fuera del alcance VHF de cualquiera, no saca a un buque de estos mapas.
El método es un embudo. Empieza global, baja a una región conocida por el dinero, luego a un puerto deportivo concreto.
Figura 3. Al bajar a Baleares, la capa de embarcaciones de recreo (morado) se separa del tráfico comercial.
Figura 4. Tres clics de «algún sitio de Europa» a un atraque concreto en Puerto Portals.
Tres clics de «algún sitio de Europa» a «este atraque concreto». Contrasta el mismo punto en VesselFinder y ShipFinder y la imagen se afianza.
Figura 5. VesselFinder — un segundo agregador con el que contrastar.
Figura 6. ShipFinder — un tercero, porque donde las herramientas discrepan es donde aprendes algo.
De un punto a un dosier
Haz clic en un solo casco y el mapa deja de ser un mapa y se vuelve un expediente. Este es un buque que saqué al azar del fondeadero de Mallorca — un yate de 124 metros con bandera de Catar, de nombre KATARA, fondeado tras un salto nocturno de Barcelona a Palma.
Figura 7. Un clic en un casco: tipo, bandera, Barcelona→Palma, ETA reportada, «At Anchor» (fondeado), y botones de estela pasada y previsión de ruta.
La ficha por sí sola te da la travesía: de dónde salió, cuándo, adónde va, cuándo espera llegar y si se mueve o está parado. Abre la página completa y se profundiza en algo más cercano a un producto de inteligencia.
Figura 8. El expediente completo: IMO 9562805, MMSI 466066000, 124 m, y pestañas de historial de escalas, Propiedad y «En las noticias». La latitud/longitud exacta está tras «upgrade to unlock» — un muro de pago, no un control de privacidad.
Lee esa página de detalle como un atacante y es un regalo: un identificador permanente (el número IMO no cambia nunca, aunque el buque se renombre o se reabandere), un historial completo de cada puerto en el que ha escalado, una pestaña de Propiedad y una previsión de ruta. Lo único oculto es la latitud/longitud exacta — y está oculta para venderte una suscripción, no para proteger a nadie. VesselFinder muestra el mismo casco con sus propias particularidades y, significativamente, sus vecinos.
Figura 9. No solo un buque — su vecindario. Quién fondea junto a quién es su propia clase de inteligencia.
Esa última captura es la que debería preocupar a un equipo de protección. No solo encontraste un buque. Encontraste su vecindario — quién fondea junto a quién, que es su propia clase de inteligencia.
Figura 10. Y aquí está. Los rastreadores decían que un yate de 124 metros estaba frente a Mallorca; un paseo hasta la orilla y la cámara del móvil lo confirmaron. El dato nunca fue abstracto — era un casco que podías quedarte mirando.
Un segundo casco, el mismo resultado
Nada de esto está escogido a dedo. Apunta las mismas tres herramientas al siguiente casco oscuro de la bahía y el expediente se arma solo otra vez. Este es KISMET — un yate de 122 metros con bandera de las Islas Marshall, construido en 2024, fondeado frente a Portals tras una singladura desde Port Vendres.
Figura 11. Otro casco, el mismo dosier: IMO 9881627, MMSI 538071476, indicativo V7A2834, bandera de las Islas Marshall, 122×17 m — travesía, calado y estado de fondeo, todo desde una sola página.
Figura 12. Y su vecindario — KISMET fondeado en una bahía que el mapa ha etiquetado con el nombre de casi todo lo que la rodea.
Figura 13. El mismo final de antes: el dato decía que un yate de 122 metros estaba frente a Mallorca, y ahí estaba desde la orilla. Al método le da igual a qué casco lo apuntes.
Del buque a la persona
Rastrear un casco es fácil. El verdadero trabajo de OSINT es el último salto: del casco al humano. Es una cadena, y cada eslabón es público.
El número IMO te da un asidero permanente sobre el casco — sobrevive a renombrados y reabanderamientos — mientras que el MMSI sigue la matrícula actual, así que si cambia, eso mismo es una pista. De ahí caminas la bandera y el registro hasta un propietario registrado, que para cualquier yate serio es una empresa de gestión o una sociedad holding en una jurisdicción amiga — una cortina deliberada. Pero la cortina tiene agujeros: los directorios de propietarios de yates como SuperYachtFan existen justo para mapear cascos a las personas detrás y hacen la desanonimización por ti; la prensa nombra a los propietarios cada vez que un yate se compra, se vende o se ve envuelto en cualquier cosa; y la propia pestaña En las noticias del buque a menudo te entrega la conexión directamente. Cruza tres fuentes públicas y la sociedad holding deja de esconder a nadie.
A propósito no voy a cerrar ese círculo sobre una persona concreta aquí. El punto es que el círculo se cierra, barato, y que quienes más necesitan entenderlo son los que van a bordo.
La parte que derrota al «pues apágalo»: la radio
Aquí es donde mi viejo mundo — el wardriving y la RF, lo que llevo haciendo desde antes de que se pusiera de moda — vuelve a entrar en la historia.
Todo lo anterior usó webs. No las necesitas. El AIS es solo radio VHF en dos canales (161,975 MHz y 162,025 MHz), y un PortaPack con el firmware open source Mayhem lo decodifica de forma pasiva, directo del aire — AIS Boats muestra el MMSI, el nombre y la última posición que cada buque transmite, sin cuenta, sin suscripción y sin conexión a internet alguna. Un dispositivo de bolsillo y una antena, sentados en silencio en el aparcamiento de un puerto deportivo.
Figura 14. Un HackRF One + PortaPack H2 con el firmware open source Mayhem. AIS Boats es una app de recepción integrada — sin PC, sin internet.
Figura 15. Los mismos cascos, recibidos de forma pasiva por VHF — y ahí, resaltado, está KATARA (MMSI 466066000): justo el yate que sacamos de MarineTraffic hace un momento, ahora oído directamente del aire. Sin cuenta, sin suscripción.
Figura 16. KATARA decodificado directamente por VHF: nombre, bandera de Catar, MMSI 466066000, fondeado — y su posición exacta, 39,51°N 2,57°E, justo la latitud/longitud que MarineTraffic cobraba una suscripción por ocultar.
Y no es un truco de un solo casco. Deja el receptor encendido y la bahía se rellena sola. Ahí, en la lista en vivo de todo lo que la antena está oyendo, está KISMET — el mismo casco de 122 metros que sacamos de VesselFinder unas secciones atrás, llegando ahora directamente del aire, entre un aparcamiento entero de vecinos.
Figura 17. La lista de recepción en vivo en el canal 87B — y ahí, resaltado, está KISMET (MMSI 538071476), oído de forma pasiva junto a QATAR 2, CALLISTO III y una docena de cascos más que la antena arrancó del aire.
Figura 18. KISMET decodificado directamente por VHF: MMSI 538071476, indicativo V7A2834, Islas Marshall, destino ESPMI (Palma), fondeado — y la posición exacta, 39,52°N 2,59°E, que coincide con la página de VesselFinder hasta el decimal.
Figura 19. Sin ninguna web en el circuito: el PortaPack toma la posición que acaba de decodificar y sitúa a KISMET en su propio mapa. RF de entrada, un punto en una carta de salida — sin conexión, desde un aparato que cabe en un bolsillo.
Este es el punto que más importa para la defensa, así que lo diré claro: ocultar tu buque online no es silencio de radio. Los agregadores ofrecen exclusiones y filtros de privacidad, y los propietarios pagan por ellos — pero eso solo afecta a lo que las webs muestran. El SOLAS sigue exigiendo que el transpondedor transmita. Cualquiera dentro del alcance VHF — unas millas, más desde una colina o un dron — sigue recibiendo la emisión que la web oculta educadamente. Puedes pagar a MarineTraffic para que deje de mostrarte. No puedes pagar a la física para que deje de propagarte. Y fíjate en el giro de la Figura 16: la posición exacta que MarineTraffic puso tras un muro de pago, la radio la regala. Muro de pago no es privacidad, y exclusión no es silencio.
Una advertencia honesta, porque corta por los dos lados: el AIS no tiene autenticación. La misma apertura que te deja recibirlo deja a cualquiera falsificarlo — MMSI suplantados, posiciones fantasma y buques que simplemente se apagan y van a oscuras son una característica rutinaria de las «flotas en la sombra» para evadir sanciones. Para quien rastrea, significa que la señal puede mentir. Para quien defiende, significa que el engaño también está sobre la mesa: donde la ley de tu bandera y tus aguas lo permita, una traza señuelo es una opción de protección legítima.
Donde la IA cambia la forma del problema
Todo lo anterior es OSINT de 2016 con una capa de pintura de 2026. Esto es lo que de verdad lo convierte en un problema nuevo, y es el hilo que recorre todo lo que escribo en este blog: la parte difícil del OSINT nunca fue encontrar el dato. Fue correlacionarlo. Y ese es justo el trabajo que la IA colapsa.
Fusión en un dosier vivo. La versión manual de este artículo es un analista pasando una semana cosiendo posiciones AIS a un directorio de propietarios, a hemerotecas, a la inscripción de una empresa de gestión, al Instagram público de un tripulante. Un agente lo hace en un prompt: le das un nombre de buque y consulta los rastreadores, saca el directorio de propietarios, raspa la pestaña de noticias, correlaciona las publicaciones sociales y te devuelve un único perfil. La semana se vuelve un minuto.
Patrón de vida y predicción. Los rastreadores ya traen un botón de previsión de ruta para una sola travesía. Dale a un modelo una temporada de AIS histórico y generaliza: este buque veranea en Baleares y el Tirreno, prefiere estos tres fondeaderos, se mueve los fines de semana y —dada la estela actual— lo más probable es que vaya aquí después. El rastreo que antes informaba ahora predice. Un fondeadero predicho, con cuarenta y ocho horas de antelación, es un sitio donde colocar una cámara, un barco o algo peor.
Desanonimización a escala. La cadena casco-a-humano que recorrí a mano es una tarea de referencias cruzadas, que es en lo que estos modelos son irrazonablemente buenos: apunta uno a los registros, las filtraciones, los directorios y las noticias, y tiende el puente de la sociedad al propietario más rápido de lo que se puede recolocar la cortina.
Geolocalización por visión. Un invitado publica un atardecer desde la cubierta de popa. Un modelo de visión sitúa la costa, el puerto, el perfil de la montaña — y cruza con el AIS para confirmar que el buque estaba allí. El barco puede estar «a oscuras» online y aun así lo pone en el mapa la foto de vacaciones de un desconocido.
Correlación entre dominios. Los ricos rara vez llegan por mar. Llegan volando — jet privado a la isla, helicóptero a la cubierta — y las aeronaves emiten su primo del AIS, el ADS-B, en 1090 MHz, que el mismo PortaPack de la Figura 14 también decodifica. Correlaciona la traza ADS-B de una matrícula conocida con la traza AIS de un casco y dejas de rastrear un barco para rastrear a una persona: el jet aterriza, el helicóptero salta al fondeadero, el propietario está a bordo. Mar más cielo es la diferencia entre «el yate está aquí» y «el principal está aquí, ahora mismo.»
El agente autónomo. Conecta lo anterior en un bucle que corre sin supervisión: vigila a que un MMSI objetivo reaparezca en cualquier punto del feed global, enriquécelo y avisa. Es el mismo cambio del que escribí en Cuando el Modelo es el Atacante y en Cómo Convertir en Arma las Skills de Agentes de IA, apuntado al mar: el adversario ya no es una persona mirando una pantalla. Es un agente que nunca duerme y que solo avisa a un humano cuando el objetivo asoma.
Y la versión que borra el último rastro: el PortaPack captura AIS del aire, un modelo abierto local corriendo en tu propio hardware enriquece el MMSI bruto hasta una identidad, y nada de lo que hiciste tocó jamás una web ni dejó un registro de consulta. RF de entrada, dosier de salida, del todo sin conexión.
A quién le importa de verdad
Figura 20. Toda la cadena en una imagen — recolectar AIS (web o radio), resolver casco a persona, enriquecer y predecir con IA, actuar sobre la ubicación. Cada paso usa datos y herramientas públicas; ningún paso es «hacking».
Nombra el modelo de amenaza sin rodeos, porque «alguien puede ver el barco» solo cala cuando le pones intención detrás. Los secuestradores por rescate y la piratería moderna planifican en torno a una ubicación conocida. A los acosadores y obsesivos no les hace falta mucho. Los activistas y los paparazzi quieren la foto y la historia. Los rivales de negocios quieren la reunión que nadie anunció — dos yates fondeados juntos un fin de semana son una señal. Los rastreadores de sanciones y estados-nación ya hacen esto a escala industrial. En todos los casos la salida es la misma: un lugar, una hora y una persona que creía que el mar la volvía inalcanzable.
El manual defensivo
Nada de esto es un argumento para el pánico. Es un argumento para planificar según la realidad, y la realidad es que la presencia es conocible. Esto es lo que le diría a un principal o a un equipo de protección.
Trata el AIS como una decisión de OPSEC, con una compensación de seguridad real. Puedes reducir la transmisión (modos silencioso/solo recepción, o apagar legalmente en circunstancias concretas), pero el AIS existe para evitar colisiones — irte a oscuras cambia un riesgo de rastreo por un riesgo de seguridad, y en aguas concurridas ese no es un cambio para hacer a la ligera. Conoce las reglas de tu bandera y tus aguas, y que sea una decisión deliberada, no un descuido.
Entiende que la ofuscación solo funciona a medias. Renombrar, reabanderar y tener el buque a través de una empresa de gestión suben todos el coste de la atribución — pero el número IMO es permanente, los directorios acaban alcanzándote y la prensa hace el resto. La ofuscación compra tiempo y fricción, no invisibilidad. Presupuesta en consecuencia.
La filtración suele ser una persona, no el transpondedor. Las redes sociales de tripulación e invitados geolocalizan tu buque de forma más fiable de lo que el AIS lo hará jamás. Una lista de tripulación publicada, un atardecer etiquetado, un selfie en el puerto — ese es el exploit. La formación en OPSEC para todos a bordo vale más que cualquier suscripción de privacidad.
Vuelve las herramientas contra ti mismo, primero. Todo lo que un adversario puede construir, lo puedes construir en defensa. Corre el agente de fusión contra tu propio buque, geovalla su posición y avísate a ti mismo cuando tu huella se vuelva rastreable o cuando el patrón de vida se ponga demasiado predecible. Varía la rutina que el modelo intenta aprender. Monitoriza tu propia exposición como la monitoriza el otro lado.
Acepta la física y protege a su alrededor. Puedes ocultar la web; no puedes ocultar la VHF. Planifica la protección asumiendo que una parte motivada puede saber cuándo y aproximadamente dónde está el buque — porque con una radio barata y un agente de IA, puede.
En resumen
El mar parecía privado porque estaba vacío. Ya no lo está. Una baliza de seguridad que los buques están obligados por ley a transmitir, cuatro webs gratuitas, una radio de doscientos euros y un agente de IA que nunca duerme convierten un océano en una agenda de direcciones — y las entradas son algunas de las personas más protegidas de la tierra, publicando sus coordenadas en un canal abierto cada treinta segundos.
Lo incómodo es que aquí no hay una vulnerabilidad que parchear. Nada está roto. El AIS debe hacer esto; las herramientas son legales; el dato es público; la IA solo vuelve instantánea la correlación. Por eso justo pertenece a un blog de seguridad y no a un titular sobre un hackeo. La exposición es estructural, la mitigación es operativa, y quienes necesitan entenderla son los que dan por hecho que el dinero y un casco entre ellos y la costa suman privacidad.
Figura 21. Por qué es estructural, no un fallo — una emisión que la ley exige, una exclusión que no es silencio de radio y una cadena casco-a-humano pública alimentan un único pipeline, de una señal de seguridad obligatoria a una persona, un lugar y una hora.
No lo hacen. Asume que estás emitiendo — porque lo estás.
Mantente paranoico. Vigila tu propia señal. Varía la rutina.
- X (Twitter): @SimonRoses
Lecturas adicionales:
- SpecialEurasia — OSINT Tools for Maritime Intelligence
- Firmware PortaPack Mayhem — AIS Boats (wiki)
- MarineTraffic · VesselFinder · ShipFinder · Maritime Database
- IMO — Visión general del AIS
¿Preguntas o comentarios? Contacta a través de:
- Web: vulnex.com
- Estrategia de Seguridad en IA: vulnex.ai
- Twitter/X: @SimonRoses
- LinkedIn: linkedin.com/in/simonroses
- GitHub: github.com/vulnex
Contacto: info@vulnex.com
