En GrayHats trabajamos a diario con herramientas de monitorización de la deep y dark web. No para generar alarmismo, sino para entender algo clave: cómo ven realmente los ciberdelincuentes a sus víctimas.
Y aquí viene lo inquietante.
La cantidad de credenciales corporativas que aparecen expuestas —usuarios, contraseñas, accesos a servicios críticos— es mucho mayor de lo que la mayoría de empresas imagina. En muchos casos, el origen es el mismo: malware tipo info stealer, silencioso, masivo y tremendamente eficaz.
Este escenario me ha llevado a una reflexión clara. El ciberdelito ya no es cosa de perfiles aislados ni de ataques improvisados. Se ha convertido en una industria perfectamente organizada, con roles definidos, procesos optimizados y una cadena de valor que funciona con precisión quirúrgica. Tan estructurada que, probablemente, hasta Adam Smith asentiría orgulloso.
En este artículo vamos a analizar cómo se ha industrializado el cibercrimen, qué actores intervienen y por qué entender esta lógica es clave para proteger de verdad a las organizaciones.
Vamos a ello.
¿Qué es un Info Stealer?
Un info stealer es un tipo de malware diseñado con el propósito de recopilar de forma rápida y sigilosa, datos sensibles del dispositivo de una persona y enviarlos a un atacante remoto.
¿Cómo actúa un info stealer? Su procedimiento de actuación es el siguiente:
1. Infección
Llega al sistema a través de vectores muy comunes y, por eso, tan peligrosos:
- Archivos adjuntos maliciosos en correos de phishing
- Enlaces engañosos que simulan servicios legítimos
- Descargas de software pirata o cracks
- Anuncios aparentemente legítimos comprometidos (malvertising)
En muchos casos, el usuario no percibe ningún comportamiento extraño.
2. Recolección
Una vez ejecutado, el info stealer analiza el sistema en busca de información de alto valor, entre la que suele encontrarse:
- Credenciales de acceso (usuarios y contraseñas).
- Cookies de sesión del navegador, que permiten suplantar sesiones activas y eludir la autenticación multifactor.
- Datos de tarjetas de crédito.
- Historiales de navegación.
- Documentos locales y otra información sensible.
No roba “todo”. Roba lo que sabe que se puede monetizar. Y lo hace muy bien.
3. Exfiltración
Toda la información recopilada se estructura en un formato estandarizado conocido como Stealer Logs.
Estos paquetes de datos se venden posteriormente en foros clandestinos y canales de Telegram, en muchos casos por menos de 10 €.
Aquí es donde el impacto real se dispara. Con un solo log, un atacante no solo puede acceder a servicios corporativos o personales. También puede construir perfiles extremadamente precisos:
- Qué compras y dónde
- Qué opinas y a quién sigues en redes sociales
- Qué tipo de contenido consumes
- Si utilizas plataformas de citas o servicios sensibles
El potencial de perfilado, fraude y extorsión es enorme.
4. Autoeliminación
Muchos info stealers están diseñados para desaparecer tras completar su objetivo.
Se ejecutan, roban la información y se autoeliminan, dificultando enormemente su detección posterior.
Todo el proceso suele completarse en cuestión de segundos o pocos minutos, dependiendo del volumen de datos a exfiltrar.
Y cuando el usuario reacciona, normalmente ya es demasiado tarde.
El Ecosistema
La sofisticación del ecosistema criminal no está solo en cómo se roba una credencial, sino en qué se hace con ella después.
Hoy, quien obtiene una “llave” de acceso a un sistema rara vez la utiliza directamente. En la mayoría de los casos, la pone en circulación dentro de la comunidad criminal, multiplicando de forma exponencial el impacto de una única intrusión.
Aquí es donde el modelo se vuelve realmente peligroso. El valor no está en el acceso puntual, sino en su capacidad de escalar, reutilizarse y monetizarse por distintos actores.
Dentro de este ecosistema destacan tres figuras muy claras:
- Desarrolladores de malware, que crean herramientas —como los info stealers— y las ofrecen como servicio.
- Intermediarios, que utilizan ese malware para generar “productos” listos para usar: paquetes de credenciales robadas o accesos iniciales ya validados, conocidos como Initial Access Brokers (IABs).
- Afiliados, perfiles con pocos conocimientos técnicos pero con ambición económica, que compran o alquilan estos accesos para ejecutar ataques a cambio de un porcentaje del beneficio.
Vamos a analizar este engranaje con más detalle, centrándonos en el papel de los info stealersy el acceso inicial como punto de partida de casi todo lo que viene después.
1. Malware-as-a-Service (MaaS)
El desarrollo de info stealers ya se ha industrializado. Ciberdelincuentes con habilidades técnicas crean malware sofisticado como RedLine o Lumma Stealer y los ofrecen a través de un modelo de suscripción, cuyo precio comienza por unos 90€ al mes.
Estas plataformas MaaS ofrecen dashboards intuitivos, soporte técnico y actualizaciones constantes, permitiendo que actores con pocos conocimientos ejecuten campañas de infección a gran escala.
2. Los Initial Access Brokers (IABs)
Aquí es donde entra el eslabón crucial. Los IABs (Initial Access Brokers) son intermediarios que compran los paquetes de datos robados (stealer logs) generados por los info stealers. Su trabajo es filtrar esta información bruta, validar las credenciales y, lo más importante, "traducir" un simple nombre de usuario y contraseña en un acceso persistente y estable a la red corporativa de la víctima.
Este acceso puede consistir en conexiones a VPN corporativas, escritorios remotos (RDP) o permisos de administrador. Los IABs luego venden este acceso "curado" en foros de la dark web al mejor postor, a menudo con información sobre el tamaño, industria y facturación de la empresa comprometida.
3. Los Afiliados
Aquí es donde entran los afiliados, que son perfiles menos técnicos, pero que saben más de ingeniería social, y están más orientados al “trabajo de campo”. Estos son los que, ya con un acceso, se encargan de sacar el máximo beneficio trabajándose a víctimas con nombre y apellidos.
La sofisticación aquí se vuelve arte. Se orquestan engaños con narrativas y tramas que ya quisieran guionistas de Hollywood, los cuales algunos se automatizan, y otros, de mayor recompensa, se hacen de manera más “manual”. Fundamentalmente se buscan extorsiones por ransomware, y transferencias bancarias fraudulentas mediante BEC y EAC (ataques de phishing).
Mientras que los actores técnicos que producen el malware se encuentran más en países como Rusia, China o EEUU. Los afiliados, vienen más de países como Filipinas, Vietnam, Venezuela y sí, España. Una víctima de phishing me comentaba recientemente que le sorprendió que el que le llamó para obtener su clave de transferencia recibida por SMS decía ser de su banco habitual, sabía información de sus cuentas, y tenía un acento “claramente de Madrid”.
Para qué se usan
El peligro de un info stealer no es el robo inicial, sino los ataques catastróficos que posibilita. Las puertas que abren los IABs son utilizadas principalmente para dos fines de alto impacto económico:
1. Ataques de ransomware
El comprador más común del acceso vendido por un IAB son grupos de ransomware. Con la entrada a la red ya garantizada, pueden moverse lateralmente, escalar privilegios y desplegar su cifrado en cuestión de horas, evitando la fase más lenta del ataque.
Coste económico del ransomware:
- Costes directos: El rescate exigido, que puede oscilar entre miles y decenas de millones de euros, representando a menudo solo el 15% del coste total.
- Costes indirectos: Incluyen el tiempo de inactividad (22 días de media), pérdida de productividad, costes de recuperación técnica y forense, y daño reputacional. El coste del tiempo de inactividad puede ser 50 veces superior a la demanda del rescate.
- Daño existencial: El 60% de las pequeñas empresas víctimas de un ciberataque severo cierran en seis meses.
2. Business Email Compromise (BEC)
Otro tipo comprador es el estafador especializado en BEC. Con acceso al correo corporativo, estudia patrones de comunicación, suplanta la identidad de ejecutivos o proveedores y dirige transferencias bancarias fraudulentas. El FBI reportó que en 2023 en EEUU, las pérdidas por BEC ascendieron a $2,900 millones, con una pérdida media por incidente de $134,953.
Sanciones de GDPR y NIS2
Para empresas reguladas, un incidente derivado de un info stealer no solo genera pérdidas operativas, sino que también desencadena sanciones regulatorias paralelas y acumulativas.
Reglamento General de Protección de Datos (RGPD)
Si se roban datos personales, se activa el GDPR. Las multas pueden llegar a 20 millones de euros o el 4% de la facturación global anual.
Directiva NIS2
Si el incidente afecta significativamente a un servicio esencial (energía, salud, banca, etc.) o importante (fabricación, alimentación, digital), se aplica la NIS2. Las sanciones son proporcionales:
- Entidades esenciales: Hasta 10 millones de euros o el 2% de la facturación global.
- Entidades importantes: Hasta 7 millones de euros o el 1.4% de la facturación global.
Además, la NIS2 introduce plazos de notificación ultrarápidos (24/72 horas) y puede acarrear responsabilidad personal para los directivos por negligencia grave en la gestión del riesgo.
Cómo protegerse
Los info stealers han dejado de ser una amenaza aislada para convertirse en la pieza fundamental de la cadena de suministro del cibercrimen moderno.
Han profesionalizado y democratizado el acceso inicial a las redes corporativas, alimentando las amenazas más costosas que enfrentan las empresas hoy.
La defensa ya no puede centrarse únicamente en prevenir la infección, sino que debe asumir que algunas credenciales serán robadas.
La estrategia debe pasar por implementar una seguridad en capas que incluya:
- Uso de autenticación multifactor (MFA). Para todo, y a ser posible SSO.
- Uso de gestores de contraseñas como ProtonPass o KeePass.
- Limitar el tiempo de las sesiones y el uso del "recordar contraseña".
- Prohibir a los usuarios, acceder a recursos corporativos desde PCs personales o de familiares.
- Monitorización proactiva en fuentes de inteligencia de amenazas y la dark web para detectar si los accesos de la empresa están en venta.
- Implementar un plan de respuesta a incidentes integrado que cumpla con los exigentes plazos de reporte de la GDPR y NIS2 simultáneamente.
- Contratar los servicios de una empresa de ciberseguridad gestionada como GrayHats 😉.
Nosotros nos encargaremos de todo.
Esto ya empieza a sonar a clásico pero la pregunta ya no es si las credenciales corporativas circularán por los mercados clandestinos, sino cuándo lo harán y si tu organización estará preparada para responder.
Javier Jiménez.
Director General y CISO de GrayHats.
© Grayhats | 2025-12-21
¿Sabes si las credenciales de tu empresa están circulando por la dark web?
Lo comprobamos contigo: qué credenciales y sesiones de tu organización aparecen hoy en filtraciones y stealer logs, y qué hay que invalidar primero.