Índice de precios de la dark web 2026: lo que cuestan realmente los datos robados
Una Visa clonada con el PIN incluido figuraba por unos 20 dólares en los mercados de la dark web, mientras que inicios de sesión verificados de una cuenta bancaria europea importante se ofrecían por más de 4.000 dólares en el mismo índice de precios. Ambas cifras describen la misma economía subterránea y ambas llegan con una advertencia que importa más que los números: son precios de oferta, extraídos de listados públicos, no registros de operaciones cerradas.
Cómo se construye un índice de precios de bienes ilegales
Privacy Affairs publica su Dark Web Price Index desde 2020, escaneando mercados, foros y sitios web para promediar los precios de una cesta de bienes ilícitos; su edición de 2023 sigue siendo la referencia que citan otros proveedores del sector para estos niveles. SOCRadar publicó un índice comparable en julio de 2026 a partir de su propio informe anual sobre la dark web. El método es el mismo: observar los listados y anotar lo que piden los vendedores. Como lo formuló Privacy Affairs:Recopilamos datos escaneando mercados, foros y sitios web de la dark web. Esa información se procesa luego para generar un índice de precios medios de una amplia gama de productos concretos.Lo que ese método no puede ver importa. Un listado rastreado es un precio de oferta; no dice nada sobre descuentos, sobre la frecuencia con que un listado se vende de verdad ni sobre qué parte de los datos aún funciona. El índice es un termómetro, no un libro de cuentas: mide la temperatura de la oferta y la demanda sin medir el volumen de transacciones. Por la misma razón, SOCRadar presenta sus cifras de 2026 como rangos — los precios cambian con la frescura de los datos, su completitud y la reputación del vendedor.
Lo que costaban los datos robados en los listados
- Datos de tarjetas: los datos de una tarjeta con saldo de hasta 5.000 dólares figuraban a 110 dólares en las tablas de 2023 de Privacy Affairs, a la baja desde 120 dólares un año antes, y las tarjetas clonadas con PIN costaban 20 dólares. El índice 2026 de SOCRadar sitúa las tarjetas de EE. UU. con CVV entre 5 y 50 dólares, y las de saldo alto en torno a 110–120 dólares, erosionadas desde un pico cercano a 240 dólares en 2020–2021.
- Credenciales bancarias: los inicios de sesión simples con saldos modestos figuraban a 40–60 dólares; los precios máximos eran para cuentas verificadas con KYC completo — accesos de ING a 4.255 dólares, una cuenta empresarial de HSBC en Reino Unido a 4.200 dólares, banca en línea suiza a 2.200 dólares. El rango de 2026: 200–500 dólares para accesos de saldo bajo y 1.000 dólares o más para saldos altos.
- Documentos de identidad: los escaneos de identificaciones, pasaportes y licencias de conducir cuestan 30–60 dólares en 2026; las tablas de 2023 de Privacy Affairs mostraban escaneos de pasaporte de EE. UU. a 50 dólares, de pasaporte ruso a 80 dólares y una selfie con documento a 110 dólares, mientras que los pasaportes físicos falsificados de la UE figuraban a 3.000–4.000 dólares.
- Cuentas hackeadas: Gmail a 60 dólares, Facebook e Instagram a 25 dólares y Twitter a 20 dólares en 2023; las cuentas sociales oscilan entre 20 y 50 dólares en 2026. Las cuentas verificadas en exchanges de cripto se sitúan por encima — una cuenta verificada de Kraken se pedía a 1.170 dólares en 2023, con rangos de 2026 desde 100 hasta más de 1.000 dólares.
- Stealer logs y herramientas: el malware stealer parte de 15 dólares, los logs individuales se venden a 5–50 dólares y los paneles de phishing adversary-in-the-middle se alquilan a 120–350 dólares al mes. Un log de menos de 48 horas puede costar varias veces más que uno antiguo, porque sus cookies de sesión aún funcionan.
- Acceso corporativo: los brokers de acceso inicial listan puntos de apoyo desde los pocos miles de dólares, y el acceso de administrador de dominio o nube a grandes empresas llega a cifras de seis dígitos — el escalón mayorista del que compran los grupos de ransomware.
Qué mueve los precios
- Oferta: las filtraciones de datos suponen el 64,06 % de la actividad de la dark web según las mediciones de SOCRadar de 2026. Años de brechas más infostealers a escala industrial mantienen barato el suelo — registros personales a 1–4 dólares, números del Seguro Social a 1–6 dólares.
- Presión KYC: todo lo que implica una verificación de identidad completada se negocia con prima. La entrada de ING a 4.255 dólares es una cuenta verificada, no una credencial simple; cuanto más estrictas son las plataformas, más escasas —y caras— son las cuentas verificadas.
- Controles bancarios y región: las tarjetas de EE. UU. son las más baratas porque EE. UU. inunda el mercado; las tarjetas de países con menos oferta y detección de fraude más estricta cuestan más.
- Frescura y MFA: los datos recientes, válidos y completos se venden mejor que los obsoletos, y el acceso confirmado para sortear la autenticación multifactor lleva un recargo — el nicho que monetizan las suscripciones de phishing AiTM.