01La economía clandestina: infostealers, access brokers y sitios de filtraciones
El mercado criminal está organizado con división del trabajo. El malware infostealer exfiltra de los dispositivos infectados credenciales, cookies de sesión y datos del navegador y los agrupa en los llamados stealer logs, que se comercian en mercados y canales de Telegram; las combolists agregan combinaciones de correo y contraseña procedentes de filtraciones antiguas y recientes, y en los sitios de filtraciones de los grupos de ransomware se publican los conjuntos de datos sustraídos. Los initial access brokers (IAB) convierten esos datos en bruto en accesos de red verificados y los revenden; según ENISA, con una tendencia hacia ofertas de bajo precio y gran volumen, en las que la mayoría de los accesos se negocia por debajo de unos 2.800 euros. El mercado es además notablemente resiliente: tras el desmantelamiento de los infostealers RedLine y META (operación Magnus, octubre de 2024), el uso del stealer Lumma aumentó más de un 350 por ciento entre el primer y el segundo semestre de 2024; ENISA sigue considerando los infostealers un eslabón fijo de la cadena de suministro cibercriminal.
02Por qué importa la detección temprana: la cadena hacia el ransomware
Entre la fuga de datos y el ataque transcurre un tiempo medible, y esa ventana es precisamente la que aborda la monitorización. Según el Verizon Data Breach Investigations Report 2026, el 73 por ciento de las víctimas de ransomware analizadas presentaba un evento de infostealer o de filtración de credenciales en el año anterior al ataque; en la mitad de esos afectados, el evento se produjo en los 95 días previos al ataque. El informe del BSI de 2025 sobre la situación de la seguridad informática en Alemania también subraya la relación: el 72 por ciento de los ataques de ransomware denunciados en Alemania estuvo acompañado de filtraciones de datos, y aumentaron tanto el número de afectados por filtraciones como el de robos de credenciales. Quien detecta credenciales comprometidas antes de que se exploten puede romper la cadena de ataque en su primer eslabón, con un esfuerzo muy inferior al de la respuesta a incidentes.
03Qué encuentra de forma realista la monitorización de la dark web
En la práctica, los servicios de monitorización aportan tres clases de hallazgos. Primero, credenciales comprometidas de empleados y clientes procedentes de stealer logs, bases de datos de brechas y combolists, a menudo junto con cookies de sesión, las URL de inicio de sesión afectadas (por ejemplo, portales VPN, SSO o interfaces de administración) y datos del dispositivo infectado. Segundo, menciones de la empresa en foros, mercados y canales de Telegram, por ejemplo ofertas de acceso de initial access brokers o discusiones sobre ataques planeados. Tercero, conjuntos de datos y documentos filtrados en sitios de filtraciones y de tipo paste, por ejemplo tras un incidente en un proveedor de servicios. Para ello se vigilan habitualmente los dominios propios con sus subdominios, direcciones de correo, rangos de IP y palabras clave de marca y de producto. Solo se hace visible lo que aparece en fuentes accesibles: las ventas directas exclusivas entre criminales permanecen, por naturaleza, ocultas.
04Proceso de reacción: del hallazgo a la medida
Un hallazgo es, en principio, solo un dato; se vuelve accionable mediante el triaje. Al comienzo están la verificación (¿afecta realmente el conjunto de datos a la propia empresa?, ¿sigue siendo válida la contraseña?) y la priorización según el tipo de cuenta y el servicio expuesto: cuentas privilegiadas y accesos VPN y SSO antes que inicios de sesión en portales no críticos. El playbook estándar incluye el restablecimiento de contraseñas, la invalidación de sesiones y tokens activos, la comprobación o imposición de la autenticación multifactor, el análisis de los sistemas afectados en busca de inicios de sesión sospechosos y la búsqueda del origen de la fuga, por ejemplo un dispositivo infectado o un proveedor externo. Si la evaluación revela un incidente de seguridad significativo o una violación de la seguridad de los datos personales, se aplican las obligaciones de notificación: según NIS2 Art. 23, la alerta temprana en 24 horas, la notificación en 72 horas y el informe final a más tardar un mes después de la notificación; según el RGPD Art. 33, la notificación a la autoridad de control sin dilación indebida y, de ser posible, en un plazo de 72 horas. Por eso, las alertas de monitorización deben integrarse firmemente en el proceso existente de respuesta a incidentes.
05Límites y falsos positivos
Sin contexto, la monitorización de la dark web genera mucho ruido. Las combolists reciclan filtraciones antiguas, de modo que muchos hallazgos se refieren a contraseñas cambiadas hace tiempo o a empleados que ya no están en la empresa; las cuentas privadas registradas con una dirección de correo corporativa dicen poco sobre la seguridad de la red de la empresa, y los dominios similares provocan atribuciones erróneas. Ningún proveedor puede garantizar la exhaustividad: los foros cerrados y las ventas privadas escapan a la observación. El enfoque es, además, esencialmente reactivo: lo que se encuentra ya se ha fugado, y no existe un «borrado» fiable de la circulación. Sin un proceso definido de triaje y reacción, los hallazgos en bruto producen sobre todo fatiga de alertas. La medida de éxito razonable no es el número de hallazgos, sino el tiempo entre la detección y la medida eficaz.
06Encaje: componente de threat intelligence bajo NIS2 y DORA
Ni NIS2 ni DORA exigen literalmente la monitorización de la dark web, pero contribuye a obligaciones concretas. NIS2 (Directiva (UE) 2022/2555) exige en el Art. 21(2), entre otras cosas, políticas de análisis de riesgos (letra a)) y la gestión de incidentes (letra b)); los datos de amenazas específicos de la empresa procedentes de fuentes clandestinas aportan para ello evidencia sólida. DORA (Reglamento (UE) 2022/2554, aplicable desde el 17 de enero de 2025) obliga expresamente a las entidades financieras, en el Art. 13(1), a mantener capacidades y personal para recopilar información sobre vulnerabilidades y ciberamenazas y analizar sus probables repercusiones; las pruebas de penetración basadas en amenazas (TLPT, Art. 26) también se apoyan en análisis de amenazas. La monitorización de la dark web es, por tanto, un componente operativo de la cyber threat intelligence, como complemento del external attack surface management, la gestión de vulnerabilidades y la detección del SOC, no como su sustituto.
