Shodan - Guía esencial para ciberseguridad y hacking ético

Shodan es una herramienta de búsqueda pensada para identificar dispositivos expuestos en Internet, y eso la convierte en algo muy útil para auditorías, control de superficie de ataque y revisiones de seguridad. En una revisión de hacking ético, me interesa sobre todo porque enseña qué ve un atacante desde fuera: puertos abiertos, servicios, versiones y otros detalles públicos. En este artículo explico cómo funciona, qué tipo de información muestra, qué filtros merece la pena dominar y qué límites hay que tener presentes para no sacar conclusiones falsas.

Qué es Shodan y por qué interesa tanto en ciberseguridad

Yo lo explico de forma simple: Shodan es un buscador de dispositivos y servicios conectados a Internet. No está pensado para encontrar páginas, sino para localizar lo que hay detrás de ellas y de muchos otros servicios expuestos: cámaras, servidores, routers, bases de datos mal configuradas, paneles industriales o sistemas IoT. Esa diferencia cambia por completo la utilidad de la herramienta.

En el contexto de hacking ético, su valor está en que permite ver la superficie de exposición desde fuera, igual que lo haría un tercero con visibilidad pública. Eso ayuda a responder preguntas muy concretas: qué servicios están publicados, qué versiones anuncian, en qué país o red aparecen y si algo que debería estar cerrado sigue accesible. La documentación oficial de Shodan insiste precisamente en eso: la herramienta está orientada a dispositivos conectados a Internet y a la información pública que esos servicios devuelven.

La parte importante no es la curiosidad técnica, sino la decisión que permite tomar: priorizar riesgos, ordenar activos y detectar cosas que un inventario interno a veces no refleja. Y cuando ya entiendes ese ángulo, el siguiente paso es ver qué está leyendo realmente Shodan bajo el capó.

Cómo lee la red a través de banners

Shodan trabaja con banners, que son las respuestas públicas que devuelve un servicio cuando alguien se conecta. No “entra” en el sistema ni ve archivos privados por arte de magia; captura metadatos visibles, como encabezados HTTP, mensajes de bienvenida, versión del software, puerto, IP, organización o país. Eso es suficiente para dibujar un mapa bastante útil de exposición externa.

Un detalle que suele pasarse por alto es que el banner cambia mucho según el protocolo. Un servidor web, una cámara IP o un PLC industrial no contestan igual, así que el resultado también es distinto. Para mí, esta es la razón por la que Shodan resulta tan valioso y tan fácil de malinterpretar a la vez: ofrece contexto real, pero solo del lado visible.

La guía oficial también deja clara una idea útil: los filtros existen para evitar falsos positivos. Sin ellos, una búsqueda demasiado genérica puede mezclar software, nombres de organizaciones o resultados que no tienen nada que ver entre sí. Y ahí es donde entran los filtros, que son la parte más práctica para quien empieza.

Los filtros que conviene dominar desde el principio

Si solo vas a aprender unas pocas cosas, que sean estas. Los filtros convierten Shodan en una herramienta precisa y no en una simple lista de coincidencias sueltas. Yo suelo empezar por los que recortan el universo de resultados antes de mirar cualquier detalle técnico.

Mi recomendación es empezar con combinaciones sencillas: un país, un puerto y una organización. Por ejemplo, una búsqueda centrada en España y en SSH te da una visión mucho más limpia que un simple término suelto. Cuando el objetivo es auditoría, menos ruido significa menos errores de interpretación.

Lee también: Cursos de Ciberseguridad Ofensiva - ¿Cuál elegir?

Ejemplos de consultas que sí tienen sentido

• country:ES port:22 para localizar servicios SSH visibles desde España.
• org:"empresa" para revisar qué activos públicos aparecen asociados a una organización concreta.
• city:Valencia port:80 para acotar webs expuestas en una ciudad.
• has_screenshot:true port:3389 para explorar servicios con captura, útil cuando revisas accesos remotos.

La idea no es memorizar sintaxis por deporte, sino aprender a formular preguntas útiles. Y esa habilidad conecta directamente con los casos de uso reales en hacking ético, que es donde Shodan deja de ser “curioso” y pasa a ser valioso.

Usos reales en una auditoría ética

En una revisión autorizada, yo suelo usar Shodan como una capa de reconocimiento externo. No reemplaza a Nmap, a una validación autenticada ni a una revisión de configuración, pero sí me ayuda a priorizar. Si un activo aparece públicamente con una versión antigua, un puerto inesperado o una exposición que nadie había documentado, ya tengo una pista para profundizar.

• Inventario de exposición: comprobar qué servicios de una empresa están realmente visibles desde Internet.
• Validación de cambios: confirmar si un puerto cerrado sigue apareciendo o si una corrección ya no es visible.
• Detección de software antiguo: localizar banners que anuncian versiones desfasadas o productos fin de vida.
• Superficie de terceros: revisar proveedores, filiales o sedes externas que pueden introducir riesgo.
• IoT e industrial: encontrar dispositivos que suelen quedar olvidados, como cámaras, paneles o controladores.

En el terreno defensivo, esto ahorra tiempo. En vez de inspeccionar todo a ciegas, primero miras lo que ya está expuesto y luego confirmas con otras herramientas. Esa secuencia es más realista, más rápida y más fácil de justificar en un informe.

También es útil para ejercicios de exposición pública: verificar si una base de datos está accesible, si un panel de administración quedó publicado por error o si un servicio remoto mantiene banners demasiado descriptivos. La clave está en interpretar el hallazgo como una señal, no como una prueba definitiva de compromiso.

Los límites y errores que veo con más frecuencia

Shodan es potente, pero no es infalible. El primer error que veo es confundir exposición con vulnerabilidad. Que un servicio aparezca en Shodan no significa automáticamente que esté roto; significa que responde públicamente y que deja alguna pista visible. Hace falta verificar si de verdad hay un problema y en qué contexto ocurre.

El segundo error es fiarse demasiado de una única captura. Un banner puede estar desactualizado, puede reflejar una configuración temporal o puede no contar toda la historia del activo. Por eso yo nunca cierro una conclusión solo con Shodan: lo cruzo con el inventario interno, con una comprobación activa autorizada y con el dueño del sistema si hace falta.

El tercer problema es el uso indiscriminado. Buscar demasiado amplio, sin filtros, produce ruido. Buscar con demasiada confianza en un solo término también engaña: la misma palabra puede referirse a software, a marcas o a resultados ambiguos. El filtro existe precisamente para evitar ese tipo de falsos positivos.

Y hay un límite más importante que el técnico: solo tiene sentido usarlo sobre activos propios o con permiso explícito. En hacking ético eso no es un matiz legal menor, es la base de todo el trabajo. Si no hay autorización, no hay auditoría.

La forma más sensata de empezar en un entorno autorizado

Cuando alguien quiere usar Shodan por primera vez en un contexto profesional, yo le recomiendo un proceso muy simple. No hace falta empezar por consultas complejas ni por búsquedas masivas; hace falta empezar por el alcance correcto.

1. Define qué activos puedes revisar y qué permiso tienes por escrito.
2. Empieza por rangos, dominios o nombres de organización que ya pertenezcan a tu alcance.
3. Aplica filtros básicos como país, ciudad o puerto antes de mirar banners concretos.
4. Compara lo que ves con tu inventario interno y marca las diferencias.
5. Valida los hallazgos con herramientas complementarias y, si procede, con acceso autenticado.
6. Documenta solo hechos comprobados, no hipótesis vagas.

Si trabajas con CLI o API, conviene recordar que Shodan usa query credits para descargar resultados: un crédito permite obtener 100 resultados. No es un detalle trivial, porque obliga a afinar mejor las búsquedas y a pensar antes de lanzar consultas muy amplias. En la práctica, esa limitación ayuda a ordenar el trabajo.

También merece la pena aprender a pensar en capas: primero visibilidad externa, después validación técnica y, por último, remediación. Esa secuencia evita conclusiones precipitadas y hace que la herramienta se integre bien en una metodología de hacking ético madura.

Lo que de verdad aporta cuando pasas de la curiosidad a una revisión

Para mí, el valor de Shodan no está en “buscar cosas raras”, sino en convertir la exposición pública en decisiones concretas: cerrar servicios que sobran, documentar lo que sí debe estar abierto y priorizar lo que más riesgo introduce. Usado así, encaja muy bien en hacking ético y en monitorización continua.

Si lo combinas con inventario, validación y autorización clara, la herramienta deja de ser una curiosidad de internet y pasa a ser una pieza útil de defensa. Ese es el punto que más merece la pena recordar: no se trata de mirar más, sino de interpretar mejor lo que ya es visible desde fuera.