Ciclo de las credenciales robadas en la dark web

Las credenciales robadas son uno de los productos más cotizados en la Dark Web, y frecuentemente se utilizan para llevar a cabo ataques de ransomware, una de las formas más extendidas y dañinas del cibercrimen. Solo en 2023, estos ataques aumentaron drásticamente, con grupos conocidos como LockBit y PLAY encabezando las operaciones.

Para que te hagas una idea, se estima que los costos relacionados con ataques de ransomware podrían llegar a los 265 mil millones de dólares para 2031. Con cifras así, está claro que las empresas y organizaciones deben tomarse muy en serio el fortalecer sus medidas de seguridad digital.

Basta con un solo incidente para causar estragos enormes. Por ejemplo, el ataque del grupo CL0P a MOVEit Transfer afectó la información de millones de personas. Este tipo de operaciones no solo deja pérdidas económicas considerables, sino que también provoca interrupciones en servicios esenciales y daños en la vida diaria y laboral de las víctimas. Por eso es tan importante entender la gravedad del problema y darle la importancia que merece proteger nuestros activos digitales.

¿Qué es exactamente la Dark Web?

Imagina la Dark Web como un cuarto escondido de internet al que no puedes acceder con los navegadores normales ni encontrar en Google. Para entrar necesitas herramientas específicas que ofrecen anonimato a los usuarios. En este lado oscuro de la red conviven todo tipo de actividades: algunas legales, otras definitivamente ilegales. Es importante no confundir la Dark Web con la Deep Web, que son todas aquellas páginas y contenidos no indexados por buscadores, pero que no necesariamente se usan con fines ilícitos.

¿Por qué es tan difícil combatir el crimen en la Dark Web?

El anonimato que ofrece la Dark Web es justamente lo que más complica la lucha contra el cibercrimen. Por eso es importante que existan medidas avanzadas de seguridad digital y, especialmente, colaboración internacional para enfrentar esta amenaza.

El papel de la Dark Web en el cibercrimen

La Dark Web es vital para los ciberdelincuentes porque ahí pueden vender y comprar datos robados, como credenciales, información financiera o vulnerabilidades de software. Es un mercado negro digital que funciona principalmente por el anonimato, convirtiéndose en el punto ideal para todo tipo de transacciones ilegales.

Allí, los criminales pueden distribuir malware, vender información comprometida y hasta coordinar ataques cibernéticos sin dejar rastros. Algunas de las actividades más comunes incluyen:

• Venta de datos robados: Intercambio de credenciales, información personal y financiera robada, que luego se usa en fraudes y ataques basados en credenciales.
• Distribución de malware y vulnerabilidades: Se ofrecen vulnerabilidades de software y herramientas listas para lanzar ataques cibernéticos.
• Canales seguros de comunicación: Foros y servicios de mensajería cifrados donde los delincuentes planean, intercambian conocimiento y coordinan sus operaciones sin ser detectados.
• Ransomware como servicio: Plataformas donde se puede comprar o alquilar ransomware para realizar ataques, incluso sin ser expertos técnicos.
• Kits de phishing y servicios de fraude: Venta de herramientas y servicios especializados para lanzar ataques de phishing o cometer fraudes financieros.

El recorrido de las credenciales robadas en la Dark Web

¿Cómo es el proceso de robo y manejo de datos?

Los ciberdelincuentes tienen muchos métodos distintos para robar credenciales, así que ninguna medida de seguridad es suficiente por sí sola. Por eso, lo ideal es tener una estrategia integral con múltiples capas de protección.

Algunos de los métodos más comunes son:

• Phishing: Esta técnica consiste en engañar a la gente usando correos electrónicos o mensajes falsos que parecen legítimos. Los atacantes crean un ambiente de urgencia para que la víctima haga clic en enlaces o descargue archivos maliciosos, entregando así sus credenciales sin darse cuenta.
• Malware: Es un tipo de software malicioso que se instala en dispositivos sin que el usuario lo sepa. Esto sucede a menudo al abrir archivos adjuntos infectados, descargar contenido de páginas comprometidas o aprovechar vulnerabilidades del software. Una vez instalado, el malware puede registrar todo lo que escribes, capturar información de la pantalla y robar datos sensibles guardados en tu dispositivo.
• Brechas de datos (Data Breaches): Ocurren cuando un ciberdelincuente aprovecha vulnerabilidades en los sistemas de seguridad de una empresa, accediendo sin autorización para extraer grandes cantidades de información personal, incluyendo contraseñas, usuarios y datos confidenciales. Estas brechas suelen suceder debido a contraseñas débiles o programas desactualizados.
• Credential Stuffing: Este ataque consiste en usar combinaciones de nombres de usuario y contraseñas obtenidas previamente en otras brechas, para intentar entrar en diferentes plataformas. Como mucha gente repite contraseñas en varios sitios, los delincuentes usan herramientas automatizadas para probar accesos en masa, aprovechándose precisamente de la falta de contraseñas únicas.
• Ataques Man-in-the-Middle (MitM): En estos ataques, los criminales interceptan la comunicación entre un usuario y un servicio, habitualmente aprovechando redes Wi-Fi públicas o inseguras. De esta manera, logran captar credenciales mientras estas viajan por la red, y lo peor es que tanto el usuario como el servicio atacado no suelen darse cuenta del robo hasta que es demasiado tarde.

El mercado negro de credenciales robadas

En la Dark Web, la información robada se convierte en una mercancía muy cotizada que se compra y vende con total impunidad. Las credenciales y datos personales suelen venderse en lo que se conoce como combo lists: listas enormes que reúnen nombres de usuario, direcciones, números de identificación, contraseñas y otros datos recopilados en múltiples brechas de seguridad.

Cada nueva brecha de datos incrementa el valor y utilidad de estas listas, haciéndolas más atractivas para los delincuentes. Además, gracias al anonimato y al cifrado de estas transacciones, las autoridades tienen muchas dificultades para seguir y desmantelar estas redes criminales.

¿Para qué se usan las credenciales robadas?

Las credenciales robadas tienen una gran cantidad de aplicaciones, pues sirven de llave maestra para distintos tipos de ciberdelitos: desde ataques masivos tipo credential stuffing y campañas de phishing hasta tomas directas de cuentas personales o empresariales.

Estas tácticas, muchas veces, son solo el primer paso hacia consecuencias mucho más graves, como ataques de ransomware contra empresas. El uso indebido de estos datos no solo afecta la privacidad individual, sino también la seguridad de empresas enteras, causando daños financieros enormes y pérdida de reputación.

Espionaje corporativo y sabotaje

Cuando los hackers tienen acceso a credenciales robadas, pueden lanzar ataques avanzados conocidos como amenazas persistentes avanzadas (Advanced Persistent Threats o APTs). En estos ataques, los delincuentes permanecen ocultos dentro de la red corporativa durante largos períodos, robando lentamente información sensible sin ser detectados.

Los efectos de estas infiltraciones son muy graves. Una empresa puede perder desde patentes e información confidencial sobre proyectos en desarrollo hasta información estratégica que luego pueden usar competidores o terceros para hacer daño. Estos ataques no solo afectan la ventaja competitiva de las compañías, sino también ponen en riesgo la estabilidad operativa y la confianza de clientes, inversores y empleados.

Credenciales robadas: el combustible para más ataques

Las credenciales robadas también son utilizadas como punto de partida para nuevos ataques. Por ejemplo, con las credenciales de un empleado, los delincuentes podrían instalar ransomware en la red o incluso engañar a otros empleados para que entreguen más información confidencial. Este círculo vicioso puede escalar rápidamente dentro de una organización, aumentando considerablemente el daño causado.

Robo financiero directo

Cuando los ciberdelincuentes se apoderan de credenciales robadas, una de las primeras cosas que hacen es atacar directamente las cuentas financieras. La operación es alarmantemente sencilla pero increíblemente efectiva, lo que demuestra la importancia de tener medidas estrictas de seguridad.

Entre los objetivos preferidos están:

• Cuentas bancarias y PayPal: Una vez que entran, pueden transferir dinero a cuentas propias, hacer compras no autorizadas o aprovechar los créditos asociados a esas cuentas.
• Billeteras de criptomonedas: Debido al anonimato de las criptomonedas, estas billeteras son muy atractivas para los criminales. Basta con acceder para transferir los fondos directamente a sus propias cuentas digitales.
• Cuentas de videojuegos: Aunque parezca sorprendente, las cuentas de plataformas de videojuegos suelen contener objetos digitales valiosos, que luego pueden ser vendidos por dinero real o usados para hacer compras con métodos de pago vinculados a esas cuentas.

Robo de identidad y fraudes

Las credenciales robadas también se usan en delitos más complejos y a largo plazo, como el robo de identidad y otros fraudes. Estos delitos pueden complicar gravemente la vida de las víctimas, provocando consecuencias legales y afectando tanto su historial financiero como su reputación personal.

Algunos ejemplos comunes son:

• Solicitud fraudulenta de créditos: Los delincuentes usan identidades robadas para abrir líneas de crédito, pedir préstamos o solicitar tarjetas de crédito, dejando a las víctimas con enormes deudas a su nombre.
• Fraudes con beneficios del gobierno: Utilizando identidades robadas, los criminales pueden desviar ayudas públicas, devoluciones de impuestos o subsidios de desempleo hacia sus propias cuentas.
• Alquiler de propiedades: Con los datos de otra persona, pueden alquilar viviendas o propiedades, generando problemas legales y posibles demandas contra la víctima.

¿Cuánto valen tus datos en la Dark Web?

Tal vez nunca te has preguntado qué valor podrían tener tus datos personales si terminan en manos equivocadas. En la Dark Web, esta información robada se vende constantemente, y cada tipo de dato tiene un precio específico dependiendo de qué tan útil pueda ser para cometer fraudes o robos de identidad.

A continuación, algunos ejemplos de lo que tus datos podrían costar según fuentes como Privacy Affairs:

• Número de Seguridad Social (EE.UU.): desde $1
• Datos de tarjeta de crédito (número, CVV y fecha de expiración): entre $5 y $110
• Carnet de conducir (EE.UU.): alrededor de $100
• Cuentas bancarias o acceso a banca online: desde $50 hasta más de $200, dependiendo del saldo disponible
• Pasaporte estadounidense: hasta $2.000
• Datos completos de identidad personal ("Fullz") (nombre, dirección, teléfono, número de identificación): Hasta más de $1000 dependiendo de la persona y los datos
• Cuentas de plataformas de streaming o servicios digitales: entre $4 y $25
• Acceso a billeteras digitales (Paypal, Cashapp): Entre $150 a $800

¿Qué factores determinan el precio de la información robada?

En la Dark Web, como en cualquier mercado, el precio depende de la oferta y la demanda, además de otros factores clave que influyen en su valor:

• Oferta y demanda: Mientras más únicos o más solicitados sean ciertos datos, más caros se vuelven.
• Tipo de información: Algunos datos específicos, como cuentas bancarias o registros médicos, son especialmente valiosos porque permiten fraudes más lucrativos o robos de identidad más complejos.
• Antigüedad de la información: Los datos recién robados valen más que la información antigua, que ya podría haber sido utilizada o modificada por sus dueños legítimos.
• Ventas al por mayor o individuales: Cuando se venden grandes cantidades de datos juntos (por ejemplo, listas enormes de tarjetas de crédito), el precio unitario suele bajar en comparación a la venta individual, algo parecido a la diferencia entre comprar al por mayor o en pequeñas cantidades.
• Saldo y límites de las cuentas: El valor de la información financiera aumenta si las cuentas tienen un saldo alto o límites de crédito amplios, lo que les permite a los delincuentes obtener mayores ganancias.
• Datos completos (Fullz): La información conocida como "Fullz", que contiene datos completos de la identidad de la víctima (nombre, dirección, números de identificación, entre otros), es más costosa porque permite fraudes más elaborados y lucrativos.

Cómo detectar y prevenir brechas de datos

Detectar y prevenir brechas de seguridad es importante para proteger los activos digitales de cualquier organización. La detección temprana, combinada con medidas efectivas de prevención, puede reducir muchísimo el impacto de estas filtraciones. Por ejemplo, implementar sistemas biométricos o aumentar la inversión en seguridad digital son pasos clave.

Para ponerlo en perspectiva: solo en 2023, el gasto global en ciberseguridad llegó a los 219 mil millones de dólares. Y tiene mucho sentido que así sea, considerando que el número de brechas aumenta cada año de forma alarmante.

¿Cómo puedes saber si tus credenciales han sido robadas?

Aquí entran en juego las soluciones de monitoreo de la Dark Web, que son fundamentales para detectar si tus credenciales han caído en manos equivocadas. Estas plataformas escanean continuamente mercados ilegales, foros clandestinos y otras webs ocultas para identificar cualquier dato comprometido. Cuando encuentran credenciales robadas, envían una alerta inmediata.

Gracias a estos avisos, tanto personas como empresas pueden reaccionar rápidamente tomando medidas concretas, como cambiar contraseñas o bloquear cuentas afectadas, evitando así que los delincuentes hagan daño adicional.

Buenas prácticas para evitar el robo de credenciales

Prevenir el robo de credenciales no depende solo de una herramienta o medida específica. La clave está en usar un enfoque integral que combine tecnología, políticas claras y educación constante. Aquí tienes algunas buenas prácticas recomendadas:

• Utilizar herramientas de monitoreo: Estas herramientas revisan constantemente la Dark Web para identificar credenciales robadas y permiten actuar antes de que los delincuentes puedan usarlas.
• Activar la autenticación en dos pasos (2FA): Esta medida añade una capa adicional de seguridad, haciendo más difícil que los ciberdelincuentes accedan a las cuentas, incluso aunque hayan robado las credenciales.
• Aplicar políticas estrictas de contraseñas: Esto significa usar contraseñas más complejas, cambiarlas periódicamente y evitar repetirlas en diferentes plataformas para disminuir riesgos.
• Fomentar hábitos digitales seguros: Educar a los empleados sobre cómo identificar correos sospechosos, evitar reutilizar contraseñas y mantener actualizado todo el software ayuda a reducir considerablemente la exposición a estos ataques.

Conclusión

El aumento del cibercrimen, especialmente a través del robo de credenciales que terminan en la Dark Web, es uno de los desafíos más grandes para empresas y personas en la actualidad. Muchas veces, no darse cuenta a tiempo de una brecha de seguridad puede tener consecuencias devastadoras, desde pérdidas económicas hasta daños severos a la reputación.

Por esta razón, monitorear constantemente la Dark Web se vuelve esencial para adelantarse a los delincuentes. Si las credenciales comprometidas se detectan rápido, se pueden tomar acciones inmediatas para limitar los daños, proteger nuestra identidad digital y evitar que esa información se convierta en un arma utilizada en nuestra contra.

‍