Guía

¿Qué es la dark web?Cómo funciona, quién la usa y qué significa para sus datos.

La dark web es la parte de internet a la que solo se llega a través de redes de anonimato como Tor. Es más pequeña y menos misteriosa de lo que sugiere su fama, y es uno de los lugares donde se comercia con datos robados. Esta guía explica cómo funciona, qué hay realmente y qué puede y qué no puede hacer la monitorización.

  • Unos 15 minutos
  • 13 capítulos
  • Fuentes enlazadas
Compruebe su exposición Cómo funciona la monitorización

Web superficial, deep web y dark web

En resumenTres capas, definidas por cómo se accede a ellas, no por lo peligrosas que sean. La dark web es una parte pequeña de internet.

La web superficial es todo lo que un buscador puede encontrar: sitios de noticias, páginas de tiendas, sitios web públicos de empresas y blogs. Google afirma que solo su índice abarca cientos de miles de millones de páginas web.

La deep web es todo lo que los motores de búsqueda no pueden o no deben indexar: su correo web y su banca en línea, las intranets de empresa y los paneles en la nube, los artículos de pago, los portales de pacientes y los resultados dentro de bases de datos. La usa a diario con un navegador normal y un inicio de sesión, y casi toda es legítima.

La dark web está formada por sitios en redes anónimas que requieren software especial. En Tor se llaman servicios onion y sus direcciones terminan en .onion. El DNS normal no puede resolver estas direcciones, así que un navegador sin Tor no puede abrirlas. Un darknet es la propia red (Tor, I2P, Hyphanet); la dark web es lo que funciona sobre ella. La mayoría de las personas usan ambas palabras para lo mismo.

Figura 1 · Las tres capas
Dark webTor y similaresDeep webUn inicio de sesión o un formularioWeb superficialBuscadores

  1. Cómo se accede: con cualquier navegador, mediante buscadores

    • Sitios de noticias y blogs
    • Páginas de tiendas y de productos
    • Sitios web públicos de empresas

    Google afirma que su índice abarca cientos de miles de millones de páginas web.

Desplácese para bajar por las capas o elija una. La web superficial es lo que encuentran los buscadores, la deep web está tras inicios de sesión y formularios, y la dark web requiere software especial. Sin escala: la deep web no se puede medir con precisión.

¿Y el iceberg?

La imagen habitual de una pequeña punta sobre una enorme masa oscura procede de una estimación temprana según la cual la deep web era entre 400 y 550 veces mayor que la web superficial. Esa cifra describía bases de datos consultables, no la dark web, y es anterior a los servicios onion de Tor. Hoy nadie puede medir con precisión la deep web.

Lo que se puede medir es poco. Las propias métricas del Tor Project estiman entre unos cientos de miles y cerca de un millón de direcciones onion únicas observadas al día, muchas de ellas efímeras. Cuando Tor publicó por última vez una medición, solo unos pocos puntos porcentuales de su tráfico iban a servicios onion: la mayoría usa Tor para visitar sitios web corrientes de forma privada.

Cómo funcionan Tor y el onion routing

En resumenTor envuelve su tráfico en tres capas de cifrado y lo envía a través de tres relays. Cada relay retira una capa y solo conoce a sus vecinos, de modo que ningún relay ve a la vez quién es usted y adónde va.

El enrutamiento cebolla se prototipó por primera vez en el U.S. Naval Research Laboratory. Hoy Tor es software libre mantenido por la organización sin ánimo de lucro Tor Project, y la red funciona con unos nueve mil relays operados por voluntarios. Tor Browser es una versión muy modificada de Firefox que envía todo a través de Tor.

Relay de entrada

El primer salto y el único que ve su dirección IP. No sabe adónde se dirige usted. Tor mantiene el mismo guard durante unos dos o tres meses, lo que protege frente a un ataque conocido.

Relay intermedio

Se elige al azar, ponderado por ancho de banda. Solo conoce el relay de entrada anterior y el de salida posterior.

Relay de salida

Envía su solicitud al sitio web. Ve el destino, pero no a usted. Si el sitio no usa HTTPS, el nodo de salida puede leer el contenido.

Su cliente Tor acuerda una clave distinta con cada relay y cifra la petición tres veces, con la capa más interna para la salida. Cada relay retira su propia capa, como la piel de una cebolla, y pasa el resto. La respuesta vuelve por el mismo camino y gana una capa en cada relay. El guard se mantiene igual durante semanas; el resto del circuito cambia a medida que visita sitios nuevos.

Figura 2 · Onion routing
Dentro de la red TorUstedposee las tres clavesGuardle conoce a usted, no al sitioIntermediono conoce ninguno de los dosSalidaconoce el sitio, no a ustedSitio webve la salida, no a ustedHTTPS
  • Clave de entrada
  • Clave intermedia
  • Clave de salida
  1. 1Su cliente Tor elige tres relés y cifra la solicitud tres veces, una con la clave de cada relé.
  2. 2El relay de entrada retira la capa exterior. Ve su dirección IP, pero no adónde va la solicitud.
  3. 3El relay intermedio retira la segunda capa. Solo conoce el relay de entrada y el de salida.
  4. 4La salida retira la última capa y reenvía la petición. Ve el destino, no a usted. HTTPS sigue protegiendo el contenido.
  5. 5En el camino de vuelta, cada relay añade de nuevo su capa. Solo su cliente tiene las tres claves y puede leer la respuesta.
La petición viaja envuelta en tres capas de cifrado, una por relay. Cada relay solo puede retirar su propia capa, de modo que ninguno ve a la vez quién es usted y adónde va. En el camino de vuelta se añaden de nuevo las capas, y solo su cliente Tor puede retirar las tres.

Servicios onion y direcciones .onion

Al abrir un sitio .onion, su tráfico no sale nunca de la red Tor. El servicio mantiene circuitos abiertos hacia unos pocos puntos de introducción; su cliente elige un punto de encuentro y ambas partes se reúnen allí. La conexión completa utiliza seis nodos, tres elegidos por usted y tres por el servicio, y está cifrada de extremo a extremo. Ninguna de las partes conoce la dirección IP de la otra, y el servicio no necesita ningún puerto abierto, por lo que puede funcionar detrás de un cortafuegos.

Las direcciones onion actuales (versión 3) tienen 56 caracteres, seguidos de .onion. La dirección se construye a partir de la clave pública del servicio, más una suma de comprobación y un número de versión, de modo que la propia dirección demuestra que ha llegado al servidor correcto, sin una autoridad de certificación. Las direcciones de la versión 2, más antiguas y cortas, se han retirado.

Lo que Tor no hace

  • No le oculta si inicia sesión o escribe su nombre: el sitio sabe quién es usted.
  • No enruta otras aplicaciones de su dispositivo, y los archivos abiertos fuera de Tor Browser pueden revelar su dirección IP.
  • Su proveedor de internet puede ver que usted usa Tor, salvo que se conecte mediante un bridge.
  • El relay de salida puede ver el tráfico que no está protegido por HTTPS. Y ninguna herramienta ofrece un anonimato perfecto.

I2P, Hyphanet y otras redes

En resumenTor es la red de anonimato más conocida, no la única. Las demás están pensadas para otros usos.

I2P

Una red anónima pensada sobre todo para los servicios que alberga, con sitios que terminan en .i2p. El tráfico usa túneles unidireccionales, uno de ida y otro distinto de vuelta, y el cifrado «garlic» agrupa varios mensajes. No está diseñada como puerta de acceso a la web normal.

Hyphanet (antes Freenet)

Un almacén de datos peer-to-peer: los usuarios ceden espacio en disco que guarda fragmentos cifrados de contenido. En su modo friend-to-friend, que llamaba «darknet» mucho antes de que la palabra se popularizara, solo se conecta con personas de confianza. El nombre Freenet pertenece ahora a otro proyecto.

Los grupos y servidores de chat privados, solo por invitación, no son «dark web» en sentido técnico. Aun así, gran parte del comercio clandestino ocurre allí, por lo que el capítulo 7 trata Telegram y los foros ordinarios.

Quién usa la dark web

En resumenMuchos usuarios de Tor son personas corrientes que protegen su privacidad. Los delincuentes también lo usan, porque la misma protección les ayuda a ocultarse.

Usos legítimos

  • Periodistas y fuentes. SecureDrop, el sistema de código abierto para denunciantes de la Freedom of the Press Foundation, funciona como servicio onion; redacciones como Financial Times, Der Spiegel, Bloomberg News y CBC publican direcciones de SecureDrop.
  • Lectores bajo censura. La BBC lanzó una versión onion de su sitio de noticias para lectores de países que lo bloquean, y Facebook tiene una desde hace años. Los bridges y Snowflake ayudan a conectarse donde el propio Tor está bloqueado.
  • Activistas e investigadores que necesitan comunicarse o estudiar temas sensibles sin ser rastreados.
  • Equipos de seguridad que visitan sitios delictivos para investigar amenazas sin exponer la red de su empresa.

Usos delictivos

  • Mercados de drogas, datos robados y herramientas de fraude. Europol los describe como cada vez más fragmentados, especializados y efímeros: tras un takedown (retirada), los usuarios migran rápido y los sucesores suelen aparecer en pocas semanas.
  • Foros donde los atacantes comercian con datos, venden malware y reclutan.
  • Grupos de ransomware, que gestionan sitios de filtración y portales de negociación como servicios onion.
  • Delito como servicio: malware, alojamiento y blanqueo de capitales en alquiler.

¿Qué parte de la dark web es delictiva? Un rastreo académico de unos miles de sitios onion concluyó que algo más de la mitad de los sitios que pudo clasificar alojaba material ilícito. Los autores subrayaron que esto no dice nada sobre Tor en su conjunto, y que la mayor parte del tráfico de Tor se dirige a sitios web corrientes.

Qué se comercia

En resumenSobre todo datos y accesos: credenciales, equipos infectados completos, listas de contraseñas, una vía de entrada a redes corporativas y las herramientas para robar más.

  • Credenciales robadas

    Nombres de usuario y contraseñas de brechas de datos, reempaquetados, vendidos y a menudo compartidos gratis.

  • Stealer logs

    Todo lo que un infostealer sustrajo de un equipo: contraseñas, cookies de sesión, datos de autocompletado, detalles del sistema y, a veces, archivos.

  • Combo lists y listas ULP

    Enormes listas de pares correo:contraseña, o líneas URL:login:password extraídas de stealer logs. Datos antiguos y nuevos mezclados.

  • Acceso inicial

    Un punto de apoyo en una empresa, como una VPN, un escritorio remoto o un acceso a la nube, vendido por brokers de acceso.

  • Malware como servicio

    Infostealers alquilados por suscripción, loaders, botnets y alojamiento que ignora las denuncias de abuso.

  • Kits de phishing

    Páginas de inicio de sesión falsas, listas para usar, de marcas conocidas; algunas están diseñadas para capturar la sesión tras la MFA.

  • Sitios de filtraciones de ransomware

    Los grupos nombran a sus víctimas y publican los archivos robados cuando no se paga el rescate.

  • Bases de datos y documentos

    Bases de datos de clientes y archivos internos, ofrecidos completos o como muestras para probar el robo.

  • Tarjetas e identidades

    Datos de tarjetas de pago y documentos de identidad escaneados, utilizados para fraudes y cuentas falsas.

Los stealer logs merecen una mirada más atenta. Una cookie de sesión robada puede permitir a un atacante entrar en una cuenta sin la contraseña, y la autenticación multifactor no lo impide. El ransomware también ha cambiado: Europol señala que muchas víctimas pagan ahora para que no se publiquen sus datos, más que para recuperarlos.

Lo describimos a grandes rasgos a propósito. Esta guía no nombra mercados ni foros activos y no explica nada sobre cómo comprar.

Cómo llegan allí los datos

En resumenLa mayoría de los datos de la dark web no se robaron en la dark web. Proceden de ataques corrientes a sistemas y personas corrientes.

Brechas
Un atacante explota un sistema sin parchear o usa un acceso robado y copia una base de datos. Estudios de brechas como el DBIR de Verizon sitúan las vulnerabilidades explotadas, las credenciales robadas y el phishing entre las vías de entrada más habituales.
Infostealers
Malware que copia contraseñas guardadas, cookies de sesión, datos de autocompletado y archivos de un equipo. Llega mediante correos de phishing, descargas de software falso, anuncios de búsqueda maliciosos, software pirata y páginas CAPTCHA falsas que piden pegar un comando. Europol califica a los infostealers de factor clave para todo el espectro de ciberataques.
Phishing
Las páginas de inicio de sesión falsas recogen contraseñas. Los kits adversary-in-the-middle van más allá: retransmiten el inicio de sesión real, de modo que la víctima completa la MFA y el kit conserva la sesión.
Personal interno
Empleados o contratistas que venden datos o accesos. Europol incluye a los infiltrados internos entre las vías de entrada de los actores de ransomware.
Almacenamiento abierto
Buckets en la nube y bases de datos mal configurados que cualquiera puede descargar. Después los datos se vuelven a publicar.

Una vez fuera, los datos se copian, se combinan y se revenden. Europol describe cómo los datos robados se venden de nuevo «en un círculo vicioso» en el que las mismas víctimas vuelven a ser atacadas. Un portátil personal usado para trabajar puede exponer credenciales de la empresa aunque los sistemas de esta nunca hayan sido vulnerados.

Figura 3 · El recorrido de un inicio de sesión robado
  1. 1

    Equipo infectado

    Una descarga falsa o un CAPTCHA falso instala un infostealer.

  2. 2

    Stealer log

    Las contraseñas guardadas, las cookies de sesión y los datos de autocompletado se empaquetan en un único log.

  3. 3

    Mercado o Telegram

    El log se vende en una tienda o se publica en un canal.

  4. 4

    Comprador

    Alguien filtra los logs en busca de credenciales de empresa: VPN, correo, nube.

  5. 5

    Toma de control de cuentas

    Login fails: password reset, sessions revoked.

La monitorización encuentra el log

El log se recopila, se asocia a su dominio y usted recibe una alerta.

Usted restablece la contraseña, revoca las sesiones y limpia el dispositivo.

Con la monitorización, la alerta puede llegar mientras el log aún se comercia, antes de que nadie lo utilice.

Un solo equipo infectado basta. El log del infostealer se vende o se publica, un comprador lo filtra en busca de accesos de empresas e inicia sesión. La monitorización no puede evitar la infección, pero sí puede encontrar el log mientras se comercia con él, de modo que la contraseña se restablece y las sesiones se revocan antes de que nadie las use.

Más allá de Tor: Telegram y foros de la web superficial

En resumenEl underground actual es híbrido. Gran parte del comercio se realiza en aplicaciones de mensajería y en sitios web corrientes, no solo en sitios .onion.

Europol observa que la línea entre los canales de la web superficial y de la dark web es cada vez más difusa: los foros delictivos mantienen a la vez un sitio web normal y un sitio Tor, y los mercados se entremezclan con plataformas de mensajería.

  • Telegram. Canales y grupos anuncian y comparten credenciales robadas, stealer logs, combo lists y herramientas de hacking. Un estudio académico de 339 canales de Telegram dedicados al cibercrimen, con más de 23 millones de seguidores entre todos, encontró credenciales, malware y estafas, y canales que pasaban rápidamente a otros nuevos tras ser cerrados. Algunos datos se publican gratis; buena parte solo circula en grupos privados, solo por invitación.
  • Foros de la clear web. Varios foros de hacking son accesibles con un navegador normal, a menudo con un espejo en Tor como respaldo.
  • Discord y sitios de paste. Servidores donde se comparten herramientas, logs y filtraciones, y sitios de paste donde los archivos de configuración y las muestras suelen aparecer primero.

La consecuencia para quienes defienden: una monitorización que solo rastrea sitios .onion pasa por alto una gran parte de lo que importa.

Riesgos para empresas y particulares

En resumenLos datos filtrados rara vez son el final de un ataque. Suelen ser el comienzo del siguiente.

Para empresas

Apropiación de cuentas
Cuentas de correo, VPN, nube y SaaS abiertas con una contraseña filtrada o una sesión robada.
Ransomware
El acceso robado se revende a grupos de ransomware; los archivos robados acaban en un sitio de filtraciones.
Fraude en pagos
Un buzón de correo controlado por el atacante se usa para cambiar los datos bancarios en facturas reales.
Exposición de proveedores
La brecha de un socio expone sus datos o los accesos que comparte con él.
Abuso de marca
Los dominios similares y las páginas de phishing usan su nombre contra sus clientes.

Para particulares

Credential stuffing
Una contraseña reutilizada en otro sitio se prueba automáticamente en cientos de sitios más.
Phishing dirigido
Los datos personales filtrados hacen que los correos y las llamadas fraudulentas resulten mucho más convincentes.
Fraude de identidad y de tarjetas
Los datos de tarjetas y los documentos de identidad se usan para compras, préstamos o nuevas cuentas.

Cómo funciona la monitorización de la dark web

En resumenLa monitorización recopila datos de los lugares donde se comercia con ellos, contrasta cada nuevo registro con sus dominios y personas, y le avisa. Encuentra la exposición; no puede eliminarla.

Ningún servicio puede simplemente «buscar en la dark web». La monitorización de la dark web es un trabajo de recopilación: personas y máquinas visitan las fuentes, recogen lo que se publica, convierten volcados desordenados en registros y los conservan, de modo que un registro nuevo pueda contrastarse en cuanto llega y uno antiguo pueda encontrarse más adelante.

Figura 4 · Cómo funciona la monitorización
Foros onionMercados e intermediariosSitios de filtración de ransomwareTelegram y DiscordSitios de paste, forosBrechas, stealer logsTodo lo demás sigue siendo consultableRecopilaciónTratamientoCorrelaciónnorthwind-example.com
  1. 1

    Fuentes

    Foros onion y de la web superficial, mercados, sitios de filtraciones, Telegram, sitios de paste, brechas y stealer logs.

  2. 2

    Recopilación

    Analistas con sus propias cuentas en foros, scrapers y collectors de Telegram, las 24 horas.

  3. 3

    Procesamiento

    Los volcados se convierten en campos, se eliminan los duplicados y cada filtración se describe y se data.

  4. 4

    Correlación

    Cada nuevo registro se contrasta con sus dominios, buzones, rangos de IP, marcas y palabras clave.

  5. 5

    Alerta

    Correo electrónico o webhook con el registro original, para que pueda restablecer, revocar e investigar.

Cada día llegan nuevos registros desde muchas fuentes. Tras la recopilación y el tratamiento, cada uno se contrasta con lo que usted vigila. La mayoría de los registros no le conciernen y siguen siendo consultables; los que coinciden generan una alerta con el registro original. El dominio y el registro son ficticios.

Qué puede hacer la monitorización

  • Mostrar qué cuentas, equipos y registros están expuestos y dónde se encontraron
  • Avisarle mientras se comercia con los datos, a menudo antes de que se usen
  • Entregarle el registro original como evidencia, con su fuente y antigüedad
  • Vigilar proveedores, marcas y rangos de IP, no solo su propio dominio

Lo que no puede hacer

  • Eliminar datos de la dark web: una vez que han salido, se copian
  • Ver todos los chats privados, grupos solo por invitación o ventas individuales
  • Garantizar todas las fuentes cada día: las fuentes cerradas cambian
  • Demostrar lo que afirma un vendedor, ni sustituir los parches, la MFA y la seguridad de los endpoints

La antigüedad y el origen importan tanto como la coincidencia. Las credenciales filtradas suelen ser antiguas: según nuestra propia experiencia, algo más del 1 % de las credenciales filtradas comprobadas en entornos de clientes seguía siendo válido. Una sola cuenta válida puede bastar para un compromiso, así que un buen servicio muestra cuándo y dónde se encontró cada registro y le permite actuar sobre los que cuentan.

Cómo lo hace DarknetSearch

Una sola búsqueda abarca nuestra colección de brechas, stealer logs completos, más de 2.200 canales de Telegram (la mayoría privados), foros, data brokers y sitios de filtración de ransomware, y muestra el registro original y por qué coincidió. Los analistas visitan cada día foros, Telegram, Discord y sitios de paste; los scrapers y los collectors funcionan las 24 horas. Las alertas llegan por correo electrónico o webhook, y la API y los webhooks están incluidos en todas las funciones. No conservamos historial de búsquedas y los datos de los clientes se alojan en Alemania.

Cómo protegerse

En resumenLa mayoría de las defensas son poco vistosas: contraseñas únicas, MFA resistente al phishing, dispositivos limpios y una reacción rápida cuando algo se filtra.

Para todos

  • Utilice un gestor de contraseñas y una contraseña distinta para cada sitio.
  • Active MFA en todas partes; prefiera passkeys o llaves de seguridad, que resisten el phishing.
  • No instale nunca software pirata ni pegue nunca un comando que un sitio web le pida ejecutar.
  • Si un servicio le comunica que sus datos se han filtrado: cambie esa contraseña y todas las que repitan la misma, cierre todas las sesiones y revise sus movimientos bancarios.

Para empresas

  • Compruebe las contraseñas con listas de contraseñas comprometidas y fuerce un cambio ante evidencia de compromiso, no según un calendario fijo.
  • Implante MFA resistente al phishing, empezando por el correo, la VPN y las cuentas de administración.
  • En el caso de un stealer log: revocar sesiones y tokens, restablecer la credencial, investigar el dispositivo y volver a registrar la MFA si es necesario.
  • Aplique rápidamente los parches a los sistemas expuestos a internet y mantenga copias de seguridad cifradas y sin conexión.
  • Monitorice sus dominios, proveedores y marca, y decida de antemano quién actúa ante una alerta.

Estas medidas siguen la guía sobre contraseñas del Instituto Nacional de Estándares y Tecnología de EE. UU. y los consejos de CISA sobre MFA resistente al phishing y sobre ransomware.

Preguntas frecuentes

En la mayoría de los países, no. Tor es un software gratuito y legal que usan periodistas, empresas y personas corrientes. Algunos Estados lo bloquean o restringen. Lo que se haga allí puede ser ilegal, igual que en la web normal: comprar datos robados, drogas, armas, malware o accesos es un delito, y también lo es poseer cierto material.

Términos clave

Tor
Software libre y una red de voluntarios que oculta quién es usted al enrutar el tráfico a través de tres relays.
Servicio onion
Un sitio o servicio accesible solo dentro de Tor, en una dirección que termina en .onion.
Guard, middle, exit
Los tres relays de un circuito Tor: el primer salto, el segundo salto y el que se comunica con el sitio web.
Bridge
Un relay de entrada de Tor no listado que ayuda a conectarse donde Tor está bloqueado.
I2P
Una red anónima creada sobre todo para servicios internos, que utiliza túneles unidireccionales.
Infostealer
Malware que copia contraseñas guardadas, cookies y otros datos de un ordenador.
Stealer log
El paquete de datos que un infostealer extrae de un equipo infectado.
Combo list
Una lista de pares correo:contraseña o usuario:contraseña, a menudo procedentes de muchas brechas antiguas.
Lista ULP
Líneas URL:login:password, normalmente extraídas de stealer logs.
Initial access broker
Un delincuente que vende a terceros un punto de acceso a la red de una empresa.
Credential stuffing
Probar automáticamente pares filtrados de usuario y contraseña en muchos otros sitios.
Doble extorsión
Cifrar los sistemas de la víctima y amenazar con publicar los datos robados.

Más términos en el glosario de ciberseguridad

Su exposición

Descubra qué hay ya publicado sobre su empresa.

Una sola búsqueda en nuestra colección de brechas, stealer logs completos, Telegram, foros, brokers de datos y sitios de filtraciones de ransomware, con el registro original y una alerta cuando aparece algo nuevo.

Empezar la prueba gratuita Hablar con nosotrosVer precios