Qué se filtra de tu empresa en la dark web

Tu empresa puede estar filtrada sin que nadie te haya atacado. Basta con que un empleado usara su correo corporativo para registrarse en un servicio de terceros, que ese servicio sufriera una brecha y que la contraseña fuera parecida a la que usa para entrar al correo de la empresa. A partir de ahí, esa combinación circula en listados que se compran, se venden y se intercambian en foros cerrados y canales privados. La inteligencia de amenazas sirve precisamente para enterarte de eso antes que el que va a usarlo.

Qué es realmente la dark web y qué se mueve ahí

Cuando se habla de dark web, la imagen habitual es un mercado oculto y sofisticado. La realidad operativa es más aburrida y más peligrosa: buena parte del material sensible circula en foros de acceso restringido, canales de mensajería privados y repositorios de datos que se recopilan a partir de brechas antiguas. No hace falta un ataque dirigido contra ti para que tu empresa aparezca ahí.

Lo que suele encontrarse referido a una pyme cabe en pocas categorías:

• Credenciales corporativas: pares de correo y contraseña procedentes de brechas de servicios externos donde alguien se registró con el dominio de la empresa.
• Registros de infostealers: volcados de un ordenador infectado con todo lo que el navegador tenía guardado, incluidas sesiones activas y accesos a paneles de administración.
• Datos de clientes o facturación filtrados a través de un proveedor tuyo, no de tus propios sistemas.
• Información de infraestructura: subdominios, servicios expuestos, direcciones de correo del equipo y tecnologías en uso, recopilados con técnicas OSINT que no requieren tocar tu red.
• Documentos internos que salieron en un adjunto, en un repositorio público mal configurado o en un servicio de almacenamiento abierto.

Por qué una contraseña vieja sigue siendo peligrosa

La mecánica que convierte una filtración antigua en un incidente actual se llama credential stuffing. Alguien coge un listado de correos y contraseñas ya publicado y lo prueba automáticamente contra decenas de servicios: correo corporativo, VPN, panel de la web, herramientas de gestión, almacenamiento en la nube. No adivina nada. Reutiliza lo que ya funcionaba en otro sitio.

Funciona porque las personas repiten contraseñas y porque las variaciones son predecibles: añadir un número al final, cambiar el año, sustituir una letra por un símbolo. Una contraseña filtrada hace tres años sigue siendo un punto de partida excelente para adivinar la de hoy.

El segundo camino es más directo. Con unas credenciales válidas de correo, un atacante no necesita malware: entra, lee la correspondencia con proveedores durante semanas y espera al momento adecuado para pedir un cambio de cuenta bancaria en un hilo que ya existía. Esa es la vía habitual del fraude del CEO, y ninguna herramienta perimetral la ve como un ataque porque técnicamente es un inicio de sesión legítimo.

La brecha que te afecta suele ser de otro

Para una empresa de 10 a 50 empleados, la exposición más frecuente no nace en sus propios servidores. Nace en el ecosistema alrededor: la herramienta de marketing que usó el equipo comercial, la plataforma de recursos humanos, el gestor de proyectos que se probó un par de meses, la asesoría que trata tus nóminas, el proveedor que aloja tu web.

Esa dependencia funciona en las dos direcciones. Si tu empresa presta servicio a clientes más grandes, tú eres el tercero de otro, y por eso llegan cuestionarios de seguridad preguntando cómo detectas una filtración de credenciales y qué haces cuando ocurre. Tener una respuesta concreta a esa pregunta se ha vuelto parte del proceso comercial.

Qué detecta la monitorización y qué no

Un servicio de threat intelligence monitoriza de forma continua tu dominio, tus marcas, los correos corporativos y la infraestructura visible, y avisa cuando algo aparece donde no debería. En la práctica es lo que te permite:

• Saber que credenciales con tu dominio han aparecido en un volcado, y de qué servicio proceden.
• Detectar dominios registrados que imitan el tuyo, el paso previo habitual a una campaña de phishing contra tus clientes.
• Ver qué servicios tuyos son visibles desde fuera y qué información técnica revelan sin que nadie los ataque.
• Recibir un aviso cuando aparecen datos atribuidos a tu empresa tras la brecha de un proveedor.

Y conviene ser igual de claro con lo que no hace. La monitorización no borra nada: una vez publicada, la información no se puede retirar de circulación. No cubre absolutamente todos los espacios cerrados, porque muchos son privados y de acceso restringido. No detecta a tiempo lo que nunca llega a publicarse. Y no impide el uso de una credencial filtrada; solo te da margen para invalidarla antes de que alguien la pruebe.

Ese margen es todo el valor. La diferencia entre enterarte por un aviso y enterarte por una transferencia rara se mide en semanas.

Qué hacer el día que salta un aviso

1. Cambia la credencial afectada y todas las que se le parezcan en otros servicios, empezando por el correo y la VPN.
2. Cierra las sesiones abiertas de esa cuenta. Cambiar la contraseña no siempre expulsa a quien ya está dentro.
3. Activa el segundo factor si aún no estaba, sobre todo en correo, acceso remoto y administración.
4. Revisa el registro de accesos de las últimas semanas: ubicaciones raras, horarios imposibles, reglas de reenvío automático creadas en el buzón.
5. Valora si hay datos personales implicados, porque entonces entra el RGPD y el plazo de notificación del artículo 33 corre desde que tienes conocimiento.

Los cuatro primeros pasos se hacen en una tarde si sabes de antemano quién los ejecuta. Improvisados el mismo día, se convierten en una semana.

Convertirlo en rutina, no en un susto

La vigilancia externa tiene sentido cuando es continua, porque la exposición aparece cuando le apetece: una brecha en un proveedor, un ordenador infectado en casa de alguien, un servicio nuevo dado de alta con el correo del equipo. Un servicio de threat intelligence mantiene esa vigilancia y traduce cada hallazgo en una acción concreta en lugar de en una alerta más.

Funciona mejor combinado con dos cosas: una gestión de vulnerabilidades que corrija lo que esa vigilancia detecta como expuesto, y una simulación de ciberataques que compruebe hasta dónde llegaría alguien usando precisamente esas credenciales filtradas. Saber qué hay de tu empresa fuera es el primer paso. El que cuenta es reducirlo.