Credenciales de empresa en la dark web: cómo detectarlo

El punto ciego: Cuando el ataque no llega por la red

Muchos directores generales y responsables de TI en pequeñas y medianas empresas imaginan un ciberataque como un asalto violento a sus infraestructuras. Esperan que las alarmas suenen, los cortafuegos bloqueen accesos sospechosos o que un código malicioso destruya servidores. Sin embargo, la realidad de la ciberdelincuencia moderna es diferente: los atacantes ya no necesitan vulnerar fallos técnicos complejos, sino que simplemente inician sesión utilizando credenciales válidas. Para los sistemas de seguridad tradicionales, este proceso resulta totalmente imperceptible, ya que el acceso parece el de un empleado legítimo desde su domicilio.

Este modo de operar convierte a las credenciales comprometidas en una de las amenazas más graves para el tejido empresarial. Según el informe Cost of a Data Breach Report de IBM, las credenciales robadas o vulneradas representaron el 16 % de todas las brechas de datos analizadas, consolidándose como el vector de ataque inicial más frecuente^[1]. El mayor riesgo radica en la prolongada permanencia de los delincuentes dentro de las redes corporativas sin ser detectados.

Dado que los inicios de sesión con datos correctos no generan alertas automáticas, transcurren en promedio 292 días hasta que una intrusión de este tipo se identifica y contiene^[2]. Durante casi diez meses, los atacantes disponen de tiempo suficiente para elevar privilegios, analizar documentos internos, manipular copias de seguridad y preparar ataques masivos como el ransomware. Incluso las soluciones de software antivirus habituales encuentran aquí sus límites al clasificar las autenticaciones como legítimas.

• Inicio de sesión inadvertido: El uso de contraseñas válidas no genera alertas automáticas en los registros estándar de actividad.
• Permanencia prolongada: Los atacantes permanecen meses dentro del sistema para mapear datos confidenciales de forma sistemática.
• Evasión de barreras perimetrales: El acceso se realiza directamente a través de entradas externas regulares como VPN, Microsoft 365 o portales en la nube.

Malware infostealer: El ladrón de datos silencioso

Para comprender cómo terminan las credenciales de una pyme en la dark web, es necesario analizar el origen de la filtración. Una de las fuentes primarias es el malware especializado conocido como infostealer. Programas dañinos como RedLine, Lumma o Raccoon están diseñados para extraer información confidencial de los dispositivos sin levantar sospechas. Este tipo de código suele infectar los equipos mediante anuncios engañosos en motores de búsqueda (malvertising), adjuntos maliciosos en correos electrónicos o descargas de software no autorizado.

Una vez ejecutado, el infostealer requiere apenas unos segundos para inspeccionar el almacenamiento local del navegador web, gestores de contraseñas y archivos del sistema. El programa recolecta nombres de usuario, claves, datos de tarjetas bancarias, monederos de criptomonedas y datos de autocompletado. Estas herramientas empaquetan lo robado en registros estructurados que otros delincuentes emplean para acceder con rapidez a redes empresariales, omitiendo los pasos técnicos más complejos como la búsqueda de vulnerabilidades o los ataques de fuerza bruta^[3].

El peligro se multiplica cuando los empleados acceden a recursos corporativos (como Microsoft 365, servidores de correo o almacenamiento en la nube) desde sus dispositivos personales. Si un ordenador privado se encuentra infectado por un infostealer, las credenciales profesionales son transmitidas directamente a los atacantes. De este modo, los accesos a la empresa quedan expuestos en internet sin que la red corporativa haya sufrido una infección directa en sus propios servidores.

Tokens de sesión: El peligro a pesar de la autenticación multifactor

Muchos directivos asumen que sus sistemas están protegidos porque han implantado la autenticación multifactor (MFA) para el acceso de sus usuarios. Si bien la MFA es una medida defensiva básica indispensable, no ofrece una barrera impenetrable frente al malware de sustracción de información moderno: estos programas no rompen la MFA, sino que roban las cookies de sesión emitidas después de completarla con éxito^[4]. Los ciberdelincuentes han evolucionado sus tácticas y ahora orientan sus ataques hacia los tokens de sesión y las cookies de autenticación del navegador.

Cuando un empleado inicia sesión correctamente introduciendo su nombre de usuario, contraseña y el segundo factor en un servicio en la nube, el proveedor de identidad genera un token de sesión. Este token se almacena como una cookie en el navegador para evitar que el usuario deba reintroducir sus credenciales continuamente. Un infostealer copia esta cookie de sesión activa y autenticada directamente desde el dispositivo y la envía a los servidores del atacante.

1. El empleado inicia sesión de forma habitual con su contraseña y código MFA en una aplicación en la nube.
2. El proveedor de identidad valida la entrada y emite un token de sesión legítimo almacenado en el navegador.
3. El malware infostealer sustrae la cookie de sesión activa desde el dispositivo sin ser detectado.
4. El atacante importa la cookie robada en su propio navegador web.
5. El delincuente obtiene acceso inmediato a la aplicación sin necesidad de ingresar contraseñas ni validar el segundo factor.

Dado que el token contiene la confirmación de que la autenticación multifactor ya fue completada con éxito, el sistema no solicita ninguna verificación adicional al atacante. Esta técnica, conocida como secuestro de sesión (session hijacking), permite a los criminales revisar correos electrónicos, acceder a carpetas compartidas y consultar bases de datos de clientes de forma inmediata.

Filtraciones de terceros y el riesgo de reciclar contraseñas

El malware en los dispositivos finales no es la única vía por la cual las credenciales corporativas llegan a la dark web. Otra causa recurrente radica en los incidentes de seguridad sufridos por plataformas y servicios externos utilizados por los empleados, ya sea con fines personales o profesionales. Cuando un proveedor externo sufre una brecha de datos, millones de combinaciones de correo electrónico y contraseña quedan expuestas en foros clandestinos.

El riesgo real para la pyme surge por la costumbre generalizada de reutilizar contraseñas. Si un colaborador utiliza la misma clave corporativa para registrarse en tiendas online, foros o portales sectoriales privados, cualquier filtración en esas plataformas se convierte de forma automática en una vulnerabilidad directa para la red de la empresa.

• Filtración en un proveedor externo: Los ciberdelincuentes obtienen bases de datos de servicios ajenos a la empresa.
• Publicación de la información: Los paquetes de credenciales se distribuyen en comunidades privadas y canales de mensajería.
• Ataques automatizados (Credential Stuffing): Redes de bots prueban las claves robadas de manera masiva en portales corporativos^[5].
• Compromiso de la cuenta corporativa: Si las contraseñas coinciden, el atacante accede directamente a los recursos empresariales.

En los ataques de credential stuffing, los ciberdelincuentes emplean bots automatizados para probar listas masivas de credenciales cada minuto en los portales de acceso de Microsoft 365, redes VPN o herramientas en la nube. OWASP define esta amenaza automatizada como el ensayo masivo de pares de usuario y contraseña robados para verificar su validez en otros sistemas^[5]. Ni siquiera las contraseñas complejas protegen a la organización si la clave exacta ha sido filtrada en otro sitio web.

Telegram y la dark web: El comercio industrial de identidades

Una vez que las credenciales han sido sustraídas mediante infostealers o brechas de terceros, se integran en un mercado clandestino altamente estructurado. Los ciberdelincuentes ya no actúan únicamente en foros tradicionales de la dark web que requieren navegadores específicos como Tor; en los últimos años, la aplicación Telegram se ha consolidado como un canal central para la distribución y venta de accesos corporativos.

En estos canales se comercian paquetes organizados conocidos como "logs de infostealers", que contienen credenciales organizadas por dominio, IP de origen y tipo de servicio infectado. El volumen de datos comercializados alcanza dimensiones masivas. En julio de 2024, un conjunto de datos recopilado en canales de Telegram expuso 26,1 millones de direcciones de correo electrónico únicas junto con sus claves y los sitios web asociados^[6].

• Empaquetado estructurado: Las credenciales no se venden sueltas, sino agrupadas por carpetas que incluyen cookies, contraseñas y datos del sistema.
• Fácil acceso en Telegram: El uso de bots de mensajería permite a los compradores adquirir paquetes de registros en cuestión de segundos.
• Extorsión y uso fraudulento: Grupos criminales utilizan estos registros para acceder a la infraestructura o extorsionar a las empresas amenazando con publicar la información^[7]

Este nivel de industrialización permite que actores de amenazas sin profundos conocimientos técnicos adquieran accesos válidos a pymes por sumas muy reducidas. Para la alta dirección, esto implica que las credenciales de su empresa pueden estar siendo comercializadas activamente en canales públicos o semi-privados sin que exista ninguna sospecha interna.

Las consecuencias financieras para las pymes

El uso no autorizado de credenciales de la empresa desencadena consecuencias económicas severas que van mucho más allá de los costes inmediatos de remediación técnica. Un acceso no detectado suele ser la fase previa a incidentes destructivos como el despliegue de ransomware, el sabotaje de copias de seguridad o el robo masivo de propiedad intelectual y datos de clientes.

El impacto financiero principal para una pyme suele provenir de la interrupción operativa. El tiempo de parada involuntaria de los sistemas impide la producción, la facturación y el servicio al cliente, generando pérdidas diarias elevadas. El informe de IBM evidencia que la interrupción del negocio y los costes asociados a brechas de datos elevan la factura global de los incidentes de ciberseguridad a niveles críticos^[1]. A esto se suman posibles sanciones regulatorias por incumplimiento en la protección de datos personales y la pérdida irreparable de reputación ante socios comerciales.

• Costes por parálisis operativa: La imposibilidad de acceder a los sistemas paraliza la actividad comercial y genera pérdidas de ingresos inmediatas.
• Riesgo de extorsión por ransomware: Los atacantes utilizan el acceso inicial para cifrar archivos estratégicos y exigir rescates.
• Daño reputacional y pérdida de clientes: La filtración de datos confidenciales deteriora la confianza del mercado y puede conllevar demandas legales.

Garantizar la continuidad del negocio y reducir los tiempos de recuperación frente a un incidente exige priorizar la resiliencia cibernética desde la gerencia, asumiendo que los intentos de intrusión mediante credenciales comprometidas son inevitables y requieren contención proactiva.

Detección temprana mediante monitorización continua de la dark web

Frente a una amenaza que elude los perfiles de seguridad tradicionales, la estrategia no puede limitar sus esfuerzos a la defensa perimetral. Dado que las credenciales suelen ser sustraídas fuera de la red corporativa, las empresas necesitan visibilidad sobre lo que ocurre en los mercados clandestinos, foros de hacking y canales de Telegram.

La monitorización de darknet continua rastrea foros, mercados clandestinos y registros de infostealers para detectar credenciales expuestas antes de que sean explotadas^[8], comparando de forma automatizada los dominios y cuentas de correo de la pyme con las filtraciones conocidas. Al identificar una coincidencia en el momento en que se publica la información, el equipo de TI puede invalidar las claves expuestas, revocar los tokens de sesión activos e imponer el restablecimiento de contraseñas antes de que los atacantes utilicen el acceso para infiltrarse en los sistemas.

• Detección proactiva: Localización de claves y cookies expuestas en mercados subterráneos antes de su uso malicioso.
• Reducción drástica del tiempo de exposición: Recorte de la ventana de oportunidad del atacante de meses a pocas horas.
• Respuesta automatizada: Revocación inmediata de accesos comprometidos y forzado de cambio de credenciales.

Plataformas avanzadas e integradas como CAVRIX combinan servicios gestionados como Cybersecurity y Managed IT con inteligencia de riesgos para proteger la identidad digital del tejido empresarial. De este modo, las pymes consiguen neutralizar el riesgo de los accesos robados de forma autónoma y mantener sus operaciones seguras frente a la ciberdelincuencia moderna.