qué le pasó a quién, contado sin rodeos: takedowns, desapariciones y despedidas ordenadas en la escena de los hidden services.
LockBit 5.0 amenaza con publicar documentos de identidad de más de 100.000 candidatos del grupo francés de personal Actua, repartidos en diez ubicaciones de almacenamiento a la vez. Cómo se ve la brecha entre la afirmación y la realidad, y por qué las fugas dispersas cambian el cálculo del takedown.
Un hacker con el alias ZeroBytes anunció una base de datos de DGFiP robada en PwnForums, afirmando acceso en vivo a los sistemas fiscales franceses. El ministerio de Economía confirmó acceso ilegítimo que afecta a unas 678.000 personas y organizaciones; las afirmaciones mayores del vendedor siguen sin verificar.
Después de que Abacus se cayera en julio de 2025 en medio de fallos de retiros y sospechas de exit scam, sus compradores se dispersaron hacia Torzon y Black Ops Market - mientras las plataformas más nuevas reconstruían la pila de pago en torno al intercambio de monedas integrado.
Tras el derrumbe de BreachForums en abril de 2025, Darkforums absorbió su base de usuarios desplazada y creció un 600 por ciento en dos meses, contando ahora con más de 12.700 miembros bajo los admins AnonOne y Knox.
Las perturbaciones de Lumma y Rhadamanthys en 2025 apenas frenaron la economía de los infostealers. Russian Market lista ahora más de 180.000 logs por semestre, y los datos dentro de ellos alimentan intrusiones en cuestión de días.
Analistas de SOCRadar detectaron una publicación clandestina que vendía una supuesta base de datos de SCHUFA con 70 millones de alemanes, con IBANs y puntuaciones de crédito, semanas después de las revelaciones de una base sombra secreta en la agencia de crédito. La venta sigue sin verificar.
Un vendedor ciber criminal en solitario conocido como TheHatman listó unos 3,64 millones de registros de directorio Azure y Entra de McDonald's, TCS, Vodafone y otras seis grandes empresas entre el 31 de julio y el 16 de agosto de 2026. Hudson Rock considera los dumps muy probablemente auténticos, mientras TCS niega cualquier brecha creíble.
Mandiant rastrea a UNC6671, una operación de vishing y extorsión ligada a The Com que ha manejado al menos cuatro marcas orientadas a víctimas sobre infraestructura compartida desde enero de 2026, golpeando a firmas financieras como Apollo y Moody's con exigencias que parten de unos 3 millones de dólares.
El sitio de filtraciones de Silent Ransom Group pasó de 38 bufetes listados en abril a 64 al 21 de agosto de 2026; los datos de clientes de Troutman Pepper Locke, incluidas decenas de miles de números de Seguro Social, ya están publicados después de que el bufete, según reportes, guardara silencio.
ShinyHunters listó a la firma de threat intelligence ReliaQuest en su sitio de filtraciones el 23 de agosto con capturas de pantalla pero sin pruebas verificables, días después de que la firma publicara investigación sobre las campañas del grupo. La afirmación sigue sin confirmar.
Los brokers de acceso inicial ya anuncian credenciales de VPN, RDP y admin corporativos junto con un reclutamiento activo de empleados en apps de mensajería. Los últimos datos de amenaza interna de Flashpoint muestran un mercado que se profesionalizó más rápido que la mayoría de las defensas.
CISA, el FBI y HHS ya cuentan más de 500 víctimas de Medusa, más de 200 solo en el último año. Un vistazo a cómo funciona el sitio de filtraciones alojado en Tor del grupo y qué dice sobre el ecosistema de extorsión de 2026.
