Las filtraciones de datos y las violaciones corporativas se han vuelto rutinarias. En muchos casos, las credenciales, bases de datos o herramientas de ataque robadas acaban apareciendo en la web oscura, donde se comercializan y se reutilizan en futuros ataques.
Esto plantea una pregunta para las empresas: si los datos corporativos robados terminan en la web oscura, ¿tiene sentido interactuar directamente con este entorno, comprando información, pagando servicios o negociando con atacantes?
La respuesta corta es no.
No porque la web oscura no importe, sino todo lo contrario: es una parte central de la infraestructura cibercriminal actual. El problema es que hacer negocios en la web oscura rara vez reduce el riesgo inmediato y fortalece sistemáticamente los mercados que crean amenazas.
La naturaleza de la web oscura
La web oscura (a menudo utilizada indistintamente con el término red oscura) se refiere a partes de Internet ocultas intencionalmente de los motores de búsqueda y accesibles solo a través de herramientas como Tor o I2P.
No es una red única, sino un conjunto de plataformas y comunidades controladas por cifrado, protocolos no estándar o acceso restringido. Si bien algunos activos son relativamente neutrales, otros están directamente relacionados con actividades delictivas. Desde una perspectiva de ciberseguridad, la web oscura es principalmente importante como mercado maduro de ciberdelincuencia.
Técnicamente, muchas plataformas se parecen a los primeros foros de Internet. Sin embargo, funcionalmente funcionan de manera muy similar a los mercados B2B: los productos incluyen datos robados, cuentas comprometidas, malware, kits de explotación y servicios de ataque.
La economía del cibercrimen
Una función clave de la web oscura es facilitar la monetización del ciberdelito. Más importante aún, permite la especialización y la formación de cadenas de suministro complejas.
En lugar de crear operaciones de extremo a extremo, los ciberdelincuentes ahora se centran en roles específicos: algunos identifican vulnerabilidades y obtienen acceso temprano, otros desarrollan y distribuyen malware, otros se especializan en monetizar la venta de datos, la extorsión o los ataques de alquiler.
Esta división del trabajo ha creado una economía de cibercrimen en toda regla. Los atacantes ya no necesitan habilidades avanzadas ni su propia infraestructura: pueden comprar las herramientas y servicios que necesitan, lo que reduce las barreras de entrada y aumenta el nivel de ataque.
Un ejemplo claro es el modelo Ransomware-as-a-Service (RaaS), donde los grupos centrales desarrollan el malware y llevan a cabo negociaciones, mientras que los colaboradores llevan a cabo ataques para obtener una parte del rescate. Este modelo permitió eventos a gran escala como el ataque al oleoducto Colonial de 2021, que interrumpió el suministro de combustible en la costa este de EE. UU. y resultó en un pago de 4,4 millones de dólares.
Inteligencia de la web oscura y señales falsas
A medida que la web oscura se ha convertido en un mercado de delitos cibernéticos, las empresas naturalmente se han interesado en monitorearla en busca de señales de alerta temprana.
En la práctica, este método sólo funciona parcialmente. El problema con la inteligencia de la web oscura es que proviene de un entorno donde prácticamente no existe un proceso de verificación confiable.
Como cualquier mercado anónimo y no regulado, la web oscura contiene una cantidad significativa de ruido, manipulación y fraude descarado. Las listas pueden ser antiguas, fabricadas o recicladas a partir de filtraciones antiguas, mientras que las señales de reputación pueden inflarse artificialmente.
El problema se vuelve más pronunciado cuando el monitoreo se subcontrata a proveedores externos. Las señales débiles o impredecibles pueden fácilmente exagerarse, malinterpretarse o presentarse como evidencia de una amenaza mayor.
Como resultado, el monitoreo de la web oscura rara vez proporciona el nivel de certeza que esperan las empresas. En el mejor de los casos, puede resaltar un problema potencial que aún necesita verificación.
No pagues a los ciberdelincuentes
La participación directa en la web oscura es aún más problemática: pagar rescates, comprar datos filtrados o reclutar actores anónimos para probar la infraestructura.
El problema más obvio es que no hay garantía de que los ciberdelincuentes paguen. Los atacantes pueden simplemente exigir otro pago o filtrar los datos de todos modos.
Uber se enteró de que pagó 100.000 dólares a atacantes en 2016 después de una infracción que afectó a 57 millones de usuarios, solo para que el incidente se hiciera público más tarde y desencadenara consecuencias regulatorias.
Se observó un patrón similar en la violación de HBO de 2017, cuando los atacantes robaron 1,5 TB de datos relacionados con Juego de Tronos, incluidos episodios inéditos y documentos internos. Según se informa, HBO transfirió 250.000 dólares, pero el material se filtró de todos modos.
El problema más amplio, sin embargo, es estructural: cada dinero que fluye hacia la economía de la red oscura financia directamente su mayor crecimiento. Cuantas más empresas participen en ese mercado, mayor será el incentivo para que los atacantes descubran vulnerabilidades, comprometan mecanismos y escale las operaciones.
Errores comunes al lidiar con la web oscura
Cuando se trata de la web oscura, las empresas, independientemente de su industria o tamaño, repiten los mismos errores.
Intente pagar para salir de los problemas. Las empresas suelen hablar del ransomware o las filtraciones como un problema. En realidad, pagar un rescate no garantiza la recuperación ni la seguridad. Según un estudio de Cybereason de 2021, el 80% de las organizaciones que pagaron un rescate fueron atacadas a menudo por el mismo grupo.
Tratar el monitoreo de la web oscura como un seguro. Los servicios de monitoreo a menudo se comercializan como protección proactiva. En realidad, si los datos de una empresa aparecen a la venta en la web oscura, el compromiso ya está hecho. El monitoreo puede proporcionar señales, pero no puede reemplazar los controles de seguridad reales.
Reclutar piratas informáticos de la web oscura para probar la infraestructura. A diferencia de las pruebas de penetración legítimas, las “auditorías” anónimas de la web oscura no ofrecen garantías de responsabilidad, verificación o cumplimiento. Peor aún, los piratas informáticos contratados pueden establecer un acceso no autorizado y luego revenderlo.
Horrorizado al ver el nombre de la empresa en la web oscura. Muchas filtraciones y listados están desactualizados, reciclados o completamente inventados. Sin una verificación adecuada, las decisiones rápidas pueden empeorar la situación.
Todo el problema se está delegando a “expertos en la web oscura”. Muchas empresas subcontratan el monitoreo de la web oscura a proveedores externos sin la capacidad de evaluar de forma independiente la calidad de los resultados. Esto crea una peligrosa asimetría de información y aumenta la dependencia de afirmaciones verificables.
¿Qué deberían hacer las empresas en su lugar?
La web oscura puede resultar útil como fuente adicional de señales de inteligencia, pero esto requiere una interpretación cuidadosa y una validación independiente. Tratarlo como una fuente confiable de verdad (o subcontratar toda la función sin supervisión) es arriesgado.
Más importante aún, las empresas deberían evitar financiar directamente el ecosistema criminal mediante pagos o participación en mercados clandestinos.
La ciberresiliencia se construye internamente. En lugar de intentar “comprar seguridad” en la web oscura, las organizaciones deberían invertir en defensas sistémicas: arquitectura resiliente, gestión de vulnerabilidades, monitoreo, respuesta a incidentes y tecnología capaz de mitigar los ataques manteniendo al mismo tiempo la continuidad de los servicios críticos.
Hemos presentado el mejor intercambio de archivos seguro.
Este artículo fue producido en parte Perspectiva profesional de TechRadarNuestro canal para mostrar las mejores y más brillantes mentes de la industria tecnológica actual.
Las opiniones expresadas aquí son las del autor y no necesariamente las de TechRadarPro o Future plc. Si está interesado en contribuir, obtenga más información aquí:
