Del volcado al kit de phishing: así funciona la reventa de datos filtrados
Cuando una empresa confirma una fuga de datos, los titulares se fijan sobre todo en cuántos registros se llevaron. La pregunta más importante es qué ocurre después, porque los datos robados casi nunca viajan directamente del servidor que los perdió al delincuente que finalmente los usa. Recorren una cadena de reventa con sus propios especialistas: intermediarios que se quedan las primeras copias, agregadores que fusionan volcados, enriquecedores que añaden valor a las filas en bruto, revendedores que reempaquetan el mismo material con nombres nuevos y, por último, los operadores de kits de phishing y herramientas de inicio de sesión automatizado que consumen el producto final.
La primera venta
Una base de datos recién robada vale más en sus primeros días. En los foros de ciberdelincuencia, un vendedor puede hacer una venta privada a uno o pocos compradores que pagan por exclusividad, o abrir un hilo público y vender copias una por una. El escenario importa menos de lo que suponen los recién llegados. Una cronología de Flashpoint sobre el comercio de datos filtrados muestra el patrón: Raid Forums cayó tras la detención de su fundador en enero de 2022, Breach Forums ocupó su lugar, su administrador fue detenido en marzo de 2023, y una fila de sucesores, incluidos Exposed, PwnedForums y un relanzamiento respaldado por ShinyHunters, se disputaron el mismo negocio, llegando en el proceso a filtrar una base de datos con 478.870 registros de usuarios de Raid Forums. Los derribos interrumpen la distribución, no el inventario. Los datos en sí sobreviven a cada colapso y migran a la siguiente plataforma; por eso un anuncio de incautación rara vez significa que el material haya desaparecido. Normalmente ya se ha copiado muchas veces antes de que se apaguen las luces.Agregación y luego enriquecimiento
Los volcados en bruto son difíciles de manejar: formatos inconsistentes, duplicados, hashes de contraseñas de distinta calidad. Los agregadores normalizan el material en pares de correo y contraseña, y SpyCloud señala que las combolists combinan típicamente datos de múltiples filtraciones corporativas. El enriquecimiento es donde se añade el margen. Un revendedor puede probar pares contra inicios de sesión reales para ver cuáles siguen funcionando, mapear las cuentas de una persona entre servicios emparejando direcciones, añadir números de teléfono o direcciones físicas de filtraciones no relacionadas, y combinar registros con registros de infostealers que llevan cookies y tokens de sesión. Cada paso convierte una fila en bruto en algo con lo que un comprador puede actuar directamente. Los precios reflejan ese procesamiento. El análisis de Securelist de unos doscientos mensajes de foros de la dark web encontró registros de infostealers comerciados a granel, con un vendedor ofreciendo dos terabytes de material de 2020 a 2021, mientras que un comprador en el mismo estudio ofrecía cincuenta centavos por cuenta válida con tarjeta de pago asociada, con un pedido mínimo de 150 líneas. Los datos sin clasificar son baratos; los datos validados se pagan por acierto."Los delincuentes suelen intentar ataques de credential stuffing años después de descargar sus combolists iniciales. Saben que los usuarios olvidan con frecuencia restablecer sus contraseñas". - SpyCloud Labs
Reetiquetado y reempaquetado
Las mismas filas pueden venderse muchas más de una vez. Un volcado antiguo reaparece dentro de una colección etiquetada como fresca, los archivos se renombran, se dividen por país o sector, se descifran a texto plano o se integran en feeds de actualización tipo suscripción. Los compradores rara vez ven la procedencia, y la etiqueta sobre todo significa: nuevo para este vendedor. El reempaquetado funciona porque la debilidad de fondo persiste: SpyCloud midió una tasa de reutilización de contraseñas del 70 por ciento entre usuarios expuestos en filtraciones durante 2021, y del 64 por ciento entre empleados de las Fortune 1000, así que los pares de incidentes de hace años siguen abriendo cuentas actuales.La curva de depreciación del precio
Los datos robados se comportan como una mercancía perecedera. Los precios arrancan altos mientras una filtración es exclusiva y caen a medida que las copias se difunden y la parte útil de los datos se encoge: las víctimas restablecen contraseñas, los sitios fuerzan rotaciones, las tarjetas de pago se cancelan. Securelist encontró la mayoría de las ofertas de acceso corporativo por debajo de 5.000 dólares, con acceso a grandes empresas típicamente entre 2.000 y 4.000, mientras que las credenciales de consumidores a granel cambian de manos por centavos por línea. Lo que mantiene comercialmente vivos los datos viejos es volumen más reutilización. Incluso una tasa de validez pequeña en una lista muy grande alimenta herramientas automatizadas durante años, así que nada en la cadena se desecha.Dónde se puede romper la cadena
Cada etapa de la cadena tiene su contraparte defensiva, y las intervenciones más baratas están en el punto de uso, no en el origen:- Validar y restablecer: contrastar los inicios de sesión contra bases de datos de exposiciones y forzar un restablecimiento cuando una contraseña aparece en volcados conocidos, para que las combolists viejas mueran en la puerta en lugar de esperar un derribo que solo cambia el escenario.
- Segundos factores y llaves de acceso: amortiguan los productos finales de la cadena, tanto si la entrada fue un registro fresco como un volcado de hace una década, porque una contraseña reutilizada sola deja de bastar.
- Fechar los datos, no el anuncio: mucho ruido sobre filtraciones reempaqueta incidentes de hace años; trate las etiquetas frescas con desconfianza y verifique fechas antes de reaccionar a una fuga.
- Vigilar la capa de intermediarios: monitorizar los dominios de su organización y las direcciones de sus empleados en bases agregadas avisa a tiempo de que el material circula aguas abajo.