Tus credenciales ya están fuera. La pregunta es si lo sabes.
CAVRIX coteja de forma continua tus dominios, buzones y cuentas con bases de filtraciones, combolists y registros de infostealers. Si hay coincidencia, no recibes una alerta: recibes el hallazgo ya resuelto.
Una filtración en un proveedor ajeno no es un problema ajeno. Si tu gente reutilizó allí la misma dirección y la misma contraseña que en una cuenta corporativa, la filtración es tuya.
Por qué esto te afecta
de las empresas alemanas sufrieron robo, espionaje o sabotaje en el último año.
de las filtraciones conocidas por el BSI alemán contenían también contraseñas.
de los ataques notificados al BSI alemán se dirigieron contra pequeñas y medianas empresas.
de las filtraciones en el mundo implican a un tercero, no a tu propia red.
Fuentes: Bitkom Wirtschaftsschutz 2025 (1.002 empresas de 10 o más empleados encuestadas), informe de situación del BSI 2025 (461 filtraciones registradas), Verizon Data Breach Investigations Report 2026. Datos sectoriales, sin garantía para casos individuales.
El ataque no empieza en tu casa. Empieza en un proveedor que no conoces.
La filtración de otro se convierte en tu acceso.
A un proveedor se le escapa la base de datos y millones de direcciones entran en circulación. Quien allí usó la misma combinación que en una cuenta corporativa ya ha abierto la puerta. Los intentos de acceso automatizados lo prueban todo en minutos, en cada servicio conocido.
Un equipo privado, un acceso corporativo, una venta.
El malware en un ordenador personal recoge credenciales guardadas, cookies de sesión y perfiles de navegador. Lo que encuentra se vende como paquete listo para usar, con sesiones activas incluidas que esquivan la autenticación multifactor. Un acceso corporativo desde casa vale exactamente lo mismo que uno desde la oficina.
Tu proveedor se convierte en la vía de entrada.
Casi la mitad de las filtraciones implican a un tercero. Los accesos a portales compartidos, espacios de proyecto comunes y cuentas de proveedores circulan igual que los tuyos. Bajo NIS2, la cadena de suministro sigue siendo tu responsabilidad.
Encontrar. Valorar. Cerrar.
Una alerta sin medida es solo otro punto abierto en tu lista. CAVRIX trabaja el hallazgo en vez de reenviártelo.
Vigilamos lo que es tuyo.
- Todos los dominios corporativos, subdominios incluidos
- Buzones de empleados y direcciones funcionales compartidas
- Dirección y otros perfiles expuestos
- Accesos de proveedores y colaboradores
- Uso indebido de marca y dominio
Valoramos cada hallazgo.
- ¿La coincidencia es real, reciente y explotable?
- ¿Qué sistemas dependen de ese acceso?
- ¿Se reutilizó la contraseña en otro sitio?
- ¿Ya ha habido intentos de acceso con ella?
- Una prioridad clara en lugar de un listado
Cerramos la brecha.
- Contraseña restablecida, sesiones cerradas
- Autenticación multifactor obligatoria
- Cuenta vigilada, anomalías bajo control
- Personas afectadas informadas y asesoradas
- Hallazgo y medida documentados con fecha
Del primer análisis a la vigilancia continua. En días, no en meses.
Inventario
Recogemos tus dominios, buzones y perfiles expuestos y hacemos el primer cotejo con el corpus de filtraciones conocido.
Primera evaluación
Recibes un informe claro: qué accesos están afectados, qué antigüedad tienen los hallazgos y cuáles siguen siendo peligrosos hoy.
Limpieza
Se restablecen los accesos afectados, se cierran sesiones, se implanta la autenticación multifactor y se eliminan las reutilizaciones.
Vigilancia
Los nuevos hallazgos nos llegan a cualquier hora. Los casos críticos se atienden de inmediato y te decimos qué ya está resuelto.
Lo que supervisores y auditores piden de verdad.
Otros afirman en bloque que la monitorización de la dark web es obligatoria. Nosotros te enseñamos los textos literales y decimos abiertamente dónde no existe una obligación explícita.
Gestión de incidentes, cadena de suministro, MFA
La directiva exige gestión de incidentes en la letra b, seguridad de la cadena de suministro en la letra d y autenticación multifactor en la letra j. Transpuesta en Alemania en el artículo 30 de la BSIG. Unas credenciales filtradas son un riesgo verificable desde fuera y muestran dónde funcionan o faltan esas medidas.
Demostrar eficacia, cumplir el plazo
El art. 32 ap. 1 letra d exige un procedimiento de verificación y evaluación regular de la eficacia de las medidas técnicas. El art. 33 ap. 1 fija la notificación en 72 horas desde que se tiene conocimiento. Sin vigilancia, el conocimiento llega más tarde, aunque el daño se produjo antes.
Inteligencia de amenazas
El control incorporado en la revisión de 2022 exige recopilar y analizar información sobre amenazas e incorporarla a la evaluación de riesgos. Vigilar credenciales filtradas es una implementación estándar. En paralelo aplica A.5.17 sobre información de autenticación.
Evaluación de información de fuentes externas
El requisito nombra el método casi literalmente: para obtener nueva información sobre eventos relevantes para la seguridad deben consultarse fuentes externas, valorarse y, si son pertinentes, escalarse a la gestión de incidentes. En paralelo aplican ORP.4 sobre gestión de autorizaciones y DER.2.1 sobre tratamiento de incidentes.
Ni NIS2 ni el RGPD mencionan la monitorización de la dark web por su nombre. Por eso no afirmamos que sea obligatoria: mostramos qué requisitos respalda de forma medible. El método sí aparece nombrado de forma explícita en ISO 27001 A.5.7 y en BSI DER.1.A12. Este resumen es una valoración técnica, no asesoramiento jurídico.
Empieza por la contraseña. Son 10 segundos.
Comprueba sin registro si una contraseña aparece en filtraciones conocidas y mira qué filtraciones se han hecho públicas últimamente. La comprobación ocurre en tu navegador, la contraseña no sale de tu dispositivo.
de vigilancia de tus dominios, buzones y perfiles expuestos.
de respuesta ante hallazgos críticos, de forma proactiva en tus canales.
esfuerzo para ti: nosotros trabajamos el hallazgo y lo documentamos.
Preguntas sobre monitorización dark web
¿De verdad rastreáis la dark web en directo?
No, y nadie serio lo afirma. La vigilancia se apoya en corpus actualizados de forma continua: bases de filtraciones, combolists, sitios de pegado, registros de infostealers y canales especializados. El rastreo en directo de toda la dark web no existe, ni aquí ni en la competencia.
¿No basta con un escaneo puntual?
Un escaneo es una foto fija. El hallazgo de hoy viene de una filtración antigua y el próximo llega la semana que viene. Esto solo funciona como proceso continuo con una respuesta clara asociada.
¿Qué pasa si encontráis algo?
Comprobamos si la coincidencia es real y explotable, restablecemos los accesos afectados, cerramos sesiones abiertas, implantamos la autenticación multifactor e informamos a las personas afectadas. Después el caso queda fechado en tu evidencia.
¿Vemos contraseñas en texto claro?
No. Trabajamos con la prueba de exposición y con el restablecimiento. Difundir credenciales de terceros en claro no sería ni necesario ni lícito.
¿Es obligatoria bajo NIS2?
No por su nombre. NIS2 exige análisis de riesgos, gestión de incidentes y seguridad efectiva de los accesos. La monitorización es una de las pocas medidas que genera evidencia verificable desde fuera para las tres. Así es exactamente como la argumentamos en auditoría.
Pero si ya tenemos autenticación multifactor.
Es correcto e importante, pero no basta. Según Sophos State of Ransomware 2026 (2.158 responsables encuestados en empresas de 100 a 5.000 empleados), la autenticación multifactor estaba activa de alguna forma en el 97 por ciento de los casos con credenciales comprometidas. Las sesiones activas robadas la esquivan, por eso cerrar las sesiones abiertas forma siempre parte de la respuesta.
¿Y los dispositivos privados de nuestros empleados?
De ahí procede la mayoría de los hallazgos. Vigilamos la identidad corporativa con independencia del dispositivo en que se comprometió y de ahí derivamos las medidas para tus sistemas.
¿Cómo encaja esto con la protección de datos?
Vigilamos identidades corporativas sobre la base del interés legítimo en la seguridad del tratamiento, con contrato de encargo y medidas documentadas. El tratamiento ocurre en la UE y no se almacenan contraseñas en claro.
¿Qué hay ya circulando sobre tu empresa?
Análisis de exposición gratuito, resultado claro, sin compromiso.