GitHub OSINT — Analizar perfiles y extraer inteligencia
GitHub contiene mucho más que código. Vestigo extrae direcciones de correo del historial de commits, mapea redes de colaboradores y descubre membresías en organizaciones — todo a través de la API pública de GitHub, sin autenticación.
Qué revela un perfil público de GitHub
Los desarrolladores dejan una dirección de correo electrónico en cada commit dentro de los metadatos del encabezado Git. Incluso si esa dirección no se muestra públicamente en GitHub, es accesible a través de la API de commits. Vestigo recorre todo el historial público de commits de un perfil y extrae todas las direcciones utilizadas — incluyendo direcciones privadas y profesionales que el usuario puede haber olvidado ocultar.
Además de las direcciones de correo, un perfil de GitHub proporciona: información geográfica de la descripción del perfil, pertenencia a empresas u organizaciones, patrones de actividad (cuándo hace commits, en qué horarios), stack tecnológico y lenguajes preferidos, y la red de seguidores y repositorios bifurcados.
Qué extrae Vestigo de un perfil de GitHub
Correos electrónicos
Todas las direcciones de email del historial de commits — a menudo varias por usuario (personal, profesional, antigua)
Mapeo de organizaciones
Membresía en organizaciones públicas de GitHub y rol como colaborador en repositorios corporativos
Análisis de red
Seguidores, siguiendo, colaboradores comunes y conexiones mutuas entre perfiles
Patrones de actividad
Horarios de commits, lenguajes, repositorios — revelan zonas horarias, área de especialización y actividad profesional
Casos de uso en la práctica
Los investigadores de seguridad utilizan GitHub OSINT para identificar desarrolladores de malware o proyectos de código abierto de origen dudoso. La extracción de correos de commits permite vincular un nombre de usuario de GitHub con una identidad real — incluso si el perfil se mantiene anónimo en todo lo demás.
Los equipos de reclutamiento y RRHH usan el módulo para due diligence técnico: ¿en qué empresas ha contribuido realmente un candidato? ¿Qué contribuciones de código abierto son verificables? Los periodistas utilizan el análisis de red para descubrir conexiones entre desarrolladores e instituciones gubernamentales o grupos privados.