Shodan escanea sin que lo notes

Artículo de Nacata Security, 22/09/2026

¿Sabías que alguien puede mapear tu red sin enviarte ni un solo paquete?

Shodan lleva años haciéndolo, y ahora hay una guía completa para entenderlo.

La mayoría cree que sus sistemas están a salvo si no han hecho nada raro. Pero Shodan indexa banners de todo internet sin que el objetivo lo note.

Grupos como APT41 y Volt Typhoon ya lo usan para seleccionar víctimas antes de lanzar cualquier ataque. MITRE ATT&CK lo documenta como técnica T1596.005, activa y real.

Shodan no hackea nada: solo escucha lo que los dispositivos gritan.

Cuando un servidor arranca, anuncia quién es: su software, su versión, a veces el dominio de la empresa. Shodan recorre toda la dirección IP del planeta, recoge esos anuncios y los hace buscables. Escribes un filtro como port:3389 y en segundos ves qué servicios tiene expuestos una organización. Sin tocar nada, sin que nadie lo note. El resultado es una fotografía reciente, suficiente para construir un mapa de ataque.

Un resultado en Shodan es una pista, no un fallo.

Aquí está la trampa que hace caer a los analistas novatos: ver una lista de CVEs y tratarla como un hallazgo real. Shodan avisa de que sus vulnerabilidades asociadas no están verificadas y pueden tener falsos positivos. Debian y Red Hat parchean sin cambiar el número de versión anunciado, así que un servidor actualizado puede llevar años mostrando un banner que parece vulnerable. Cada CVE es una tarea pendiente.

Escribir un informe sobre un vuln: sin verificar puede costarte un cliente.

Shodan ya sabe lo que tú no miraste.

Si hay servicios expuestos en tu infraestructura que no deberían estar ahí, Shodan los tiene indexados antes de que tú los descubras. La guía publicada este año explica exactamente cómo usar la herramienta para encontrarlos primero, antes de que lo haga otro.

La línea legal es más clara de lo que parece.

Buscar en Shodan es pasivo y legal: consultas el índice de un tercero y el objetivo nunca ve tu petición. Lo que cambia es cuando conectas con lo que encuentras. Acceder a un panel expuesto sin autorización o ejecutar shodan scan contra infraestructura ajena es acceso activo no autorizado, delito en la mayoría de países. En Estados Unidos cae bajo la Computer Fraud and Abuse Act.

La cuenta académica gratuita incluye lo que muchos estudiantes pagan sin saberlo.

Con un correo universitario obtienes la actualización académica sin coste: 100 query credits al mes, 100 scan credits, acceso a Maps, Images y el filtro vuln en la web. La mayoría de estudiantes paga una suscripción sin saber que esta opción existe.

El CLI convierte Shodan en un flujo de trabajo real.

Instalar el cliente por pip y autenticarse una vez abre comandos esenciales: count para dimensionar una búsqueda, host para un IP concreto, download para guardar resultados en disco y parse para extraer campos como CSV. Usar download en lugar de paginar evita gastar query credits dos veces por la misma búsqueda.

Aprende a leer banners antes de memorizar filtros.

Diez filtros bien entendidos y el hábito de verificar cada banner antes de concluir nada valen más que cualquier lista de queries descargada de internet.

¿Qué encontrarías si buscaras tu propia infraestructura en Shodan ahora mismo?

La seguridad no se improvisa, se audita. En Nacata Security detectamos vulnerabilidades y protegemos tu empresa, porque un solo fallo puede costarte todo lo que has construido.

Artículos relacionados

Nacata Security, contáctanos cuando quieras