Una sola contraseña robada no causa el caos de inmediato. Puede estar almacenada en una base de datos filtrada o incluida en un paquete con miles de otros registros. A veces se comercializa, se revende, se prueba en otros servicios o se usa semanas después en una campaña de suplantación que parece no tener relación con la vulneración original.

Para cuando una empresa se da cuenta de que una de sus cuentas está expuesta, es posible que la credencial ya haya pasado por varias manos. Eso es lo que hace que las credenciales empresariales de la dark web sean tan difíciles de gestionar. La vulneración puede ocurrir en un lugar, los datos pueden aparecer en otro y el ataque que sigue puede dirigirse a un sistema completamente distinto.

Para cuando esas credenciales aparecen en la dark web, la vulneración ya ocurrió en algún lugar. Lo que se vuelve visible allí es el siguiente riesgo: quién puede encontrar los datos, quién puede reutilizarlos y con qué rapidez puede responder la empresa. Las credenciales empresariales de la dark web son un recurso valioso para los ciberdelincuentes, así que su empresa debe estar preparada en caso de que se vea afectada por una vulneración de datos.

Cómo se roban las credenciales empresariales

Pueden pasar días, semanas o incluso meses antes de que una empresa note que las credenciales se filtraron. Pueden capturarse a través de una página de inicio de sesión falsa, extraerse de un dispositivo infectado, quedar expuestas en la vulneración de un proveedor o reutilizarse de una cuenta personal antigua, y a menudo terminan en mercados de la dark web donde los datos robados se compran al por mayor.

Suplantación

Los correos electrónicos de suplantación siguen siendo una vía común para el robo de credenciales. Es posible que un empleado llegue a una página que parece una plataforma SaaS conocida, abra una solicitud de documento que le pide iniciar sesión o siga un mensaje que parece provenir de un servicio de confianza. Una vez que se ingresa la credencial, el atacante puede intentar usarla de inmediato o guardarla para más adelante. Un solo ataque de suplantación exitoso puede exponer todos los sistemas a los que puede acceder la cuenta comprometida.

Ransomware

Otras filtraciones son menos visibles. Durante los incidentes de ransomware, los atacantes pueden robar archivos antes de cifrar los sistemas, incluidas listas de cuentas, archivos de configuración, contraseñas y registros de acceso. Una vulneración en la cadena de suministro puede exponer credenciales a través de un proveedor, un contratista, un proveedor de software o un socio de servicios gestionados, incluso cuando los sistemas de la propia empresa no fueron el primer punto de compromiso.

Contraseñas reusadas

Cuando los empleados usan la misma contraseña en cuentas personales y de trabajo, una vulneración fuera de la empresa aún puede convertirse en un problema para el negocio. Los atacantes no necesitan entrar primero en el sistema de trabajo. Pueden probar credenciales ya filtradas en decenas de servicios y ver dónde siguen funcionando, un ataque conocido como relleno de credenciales.

Malware infostealer

Los dispositivos de los empleados también pueden convertirse en una fuente de exposición. El malware infostealer está diseñado para recopilar contraseñas guardadas, sesiones del navegador, cookies, datos de completado automático y otra información confidencial de un dispositivo. Si ese dispositivo se usa para el trabajo, aunque sea de forma ocasional, un compromiso personal puede dar a los atacantes acceso a cuentas, herramientas o canales de comunicación de la empresa.

Para cuando la credencial aparece en un conjunto de datos delictivo o en una fuente de la dark web, es posible que el robo original ya tenga días, semanas o meses. La empresa no solo se enfrenta a una contraseña filtrada. Se enfrenta a la incertidumbre: de dónde provino la credencial, quién la ha visto, si se probó y qué más pudo quedar expuesto junto con ella.

Qué sucede después de que se roban las credenciales

Una vez que se roban las credenciales, rara vez permanecen en un solo lugar. Pueden agregarse a un conjunto de datos de vulneración más grande, compartirse de forma privada, venderse al por mayor o ser utilizadas por distintos grupos con fines distintos. Algunos atacantes buscan acceso directo a cuentas. Otros quieren listas de correos electrónicos empresariales válidos, contraseñas, datos de sesión o cuentas de administrador que puedan revender.

El valor depende de lo que la credencial permita desbloquear:

  • Un inicio de sesión básico de empleado puede ayudar con la suplantación o el reconocimiento interno
  • Una contraseña reusada puede abrir varias cuentas
  • Una credencial de administrador puede dar acceso a los ajustes, los datos de los clientes, la información de facturación o la gestión de usuarios
  • Un inicio de sesión en una cuenta financiera puede facilitar el fraude de pagos
  • Las credenciales de SaaS pueden exponer documentos, mensajes, datos de proyectos o registros de clientes

Los datos empresariales en la dark web se vuelven peligrosos porque pueden usarse para tomar medidas destructivas. Una credencial puede desbloquear una cuenta, pero incluso los registros parciales pueden ayudar a los atacantes a entender a quién suplantar, a qué clientes dirigirse, qué procesos financieros imitar o a qué empleados presionar después. Lo que para la empresa parece una base de datos filtrada, para quien prepara un fraude, suplantación, vishing o toma de control de cuentas puede parecerle un conjunto de oportunidades.

En nuestro artículo de presentación del Observatorio de vulneraciones de datos⁠ de Proton, señalamos que muchas vulneraciones no aparecen en las noticias, lo que oculta la verdadera magnitud del problema. Proton creó el Observatorio para mostrar dónde se filtran los datos empresariales hacia la dark web y ayudar a las organizaciones a entender los riesgos emergentes de una exposición real.

Qué datos empresariales son más valiosos en la dark web

Los datos empresariales más valiosos en la dark web no se limitan a las contraseñas ni a los detalles de pago. Los atacantes suelen buscar cualquier información que les ayude a acceder a cuentas, suplantar a empleados, dirigirse a clientes o entender cómo funciona una empresa.

El Observatorio de vulneraciones de datos⁠ de Proton muestra lo variados que pueden ser los datos empresariales expuestos, desde nombres y direcciones de correo electrónico hasta detalles de contacto, contraseñas y otros registros que pueden facilitar más ataques. Incluso la información parcial puede volverse útil cuando se combina con datos de otras filtraciones.

Los datos empresariales más valiosos para los atacantes suelen incluir:

  • Credenciales de inicio de sesión: las direcciones de correo electrónico, las contraseñas, las cookies de sesión y los tokens de autenticación pueden dar a los atacantes una ruta directa hacia las cuentas empresariales. Este riesgo es mayor cuando los empleados reutilizan contraseñas en distintas herramientas o cuando la MFA no está activada.
  • Información de los empleados: los nombres, los puestos de trabajo, los correos electrónicos laborales, los números de teléfono y los detalles de la organización pueden ayudar a los atacantes a identificar a quién dirigirse y cómo hacer que un mensaje parezca legítimo. Estos datos pueden facilitar intentos de suplantación, suplantación de identidad y compromiso de correo electrónico empresarial.
  • Datos de los clientes: los nombres, los detalles de contacto, las direcciones, la información de la cuenta y el historial de compras pueden usarse para fraudes, robo de identidad, suplantación o ingeniería social. Incluso cuando estos datos no incluyen contraseñas, pueden ayudar a los atacantes a que las estafas sean más personales y convincentes.
  • Información financiera y de pago: las facturas, los datos bancarios, los registros de facturación, los documentos fiscales y los datos de pago pueden facilitar fraudes con facturas, estafas de redirección de pagos o intentos de suplantar a proveedores y socios.
  • Documentos internos de la empresa: los contratos, las listas de proveedores, los archivos de proyectos, los documentos de estrategia y los registros operativos pueden no dar acceso inmediato a las cuentas, pero pueden revelar cómo funciona la empresa, de quién depende y dónde pueden encontrar debilidades los atacantes.

Las contraseñas reusadas, las credenciales filtradas y las combinaciones predecibles son las formas más fáciles de entrar en una cuenta empresarial: no se necesita ningún exploit, solo una lista y paciencia. Pero otros datos expuestos también ayudan a los atacantes a crear ataques más dirigidos. Una vez que la información empresarial aparece en la dark web, el riesgo no es solo que una cuenta pueda quedar comprometida. Los mismos datos pueden reutilizarse, combinarse y explotarse mucho después de la vulneración original.

Qué hacer si encuentra las credenciales de su empresa en la dark web

Aunque no existe una estimación precisa de las pérdidas causadas específicamente por la actividad en la dark web, esta desempeña un papel en una economía del ciberdelito mucho más amplia. Una revisión académica, Global Cybercrime Damages: A Baseline for Frontier AI Risk Assessment(nueva ventana), estima las pérdidas totales del ciberdelito mundial en aproximadamente $500 000 millones al año, con un rango probable de entre $100 000 millones y $1 billón. Los foros y mercados de la dark web contribuyen a este ecosistema al facilitar el comercio, la combinación y la reutilización de credenciales robadas, datos personales e información empresarial.

Si se encuentran credenciales empresariales en la dark web, su primera prioridad debe ser reducir la posibilidad de que los atacantes aún puedan usarlas. Una credencial que se expuso hace meses puede seguir siendo válida si no se ha cambiado la contraseña, no hay autenticación de varios factores (MFA) o se reutilizó la misma contraseña en otras herramientas.

1. Identifique qué cuentas, empleados y sistemas pueden verse afectados

Restablezca las contraseñas expuestas, revoque las sesiones activas y compruebe si se usaron las mismas contraseñas o similares en otros lugares. Si la cuenta está conectada al correo electrónico, al almacenamiento de archivos, a sistemas financieros, a datos de clientes o a paneles de administración, considérela de mayor riesgo y revise la actividad reciente en busca de inicios de sesión sospechosos, reglas de reenvío, cambios de permisos o descargas inusuales.

Si las credenciales expuestas incluyen datos personales, evalúe si el incidente debe notificarse a la autoridad de control correspondiente, la ICO(nueva ventana) en el Reino Unido, o la autoridad nacional de protección de datos de cada Estado miembro de la UE. Según el GDPR del Reino Unido y de la UE, no todas las vulneraciones de datos personales son notificables, pero las organizaciones deben notificar cuando es probable que la vulneración suponga un riesgo para los derechos y libertades de las personas. La guía de la ICO para notificar una vulneración(nueva ventana)⁠ puede ayudar a las empresas a evaluar el incidente y entender el proceso de notificación.

2. Aplique la MFA siempre que sea posible

Asegúrese de centrarse en las herramientas que contienen datos empresariales confidenciales, como el correo electrónico, las cuentas de administrador y las plataformas en la nube. Si la MFA ya estaba activada, revise el método de autenticación y las opciones de recuperación para asegurarse de que los atacantes no puedan eludirla mediante códigos de copia de seguridad comprometidos, cuentas de correo electrónico de recuperación débiles o ingeniería social.

3. Notifique a los usuarios internos afectados

A continuación, debe informar a los miembros del equipo que se hayan visto afectados y darles instrucciones claras sobre qué cambiar y qué observar. Una vez que las credenciales aparecen en la dark web, los atacantes pueden usarlas para el relleno de credenciales, la suplantación, la suplantación de identidad o intentos de pasar de una cuenta comprometida a otros sistemas empresariales.

4. Revise sus controles de acceso

Borre las cuentas sin usar, actualice los permisos, revise las credenciales compartidas y asegúrese de que los empleados usen contraseñas únicas para cada servicio empresarial. Un gestor de contraseñas puede ayudar a los equipos a generar contraseñas más seguras, almacenarlas de forma segura, compartir el acceso sin exponer la contraseña en sí y dar a los administradores una mejor visibilidad sobre los comportamientos de contraseña riesgosos.

5. Continúe el monitoreo en busca de nuevas exposiciones

Por último, mantenga el monitoreo para detectar exposiciones futuras. Los datos de la dark web pueden reaparecer, reempaquetarse o combinarse con otras filtraciones mucho después de la vulneración original. Detectar a tiempo las credenciales expuestas da a la empresa una mejor oportunidad de restablecer el acceso antes de que los atacantes conviertan los datos filtrados en una toma de control de cuentas, un fraude o un incidente de seguridad más amplio. Un gestor de contraseñas empresarial como Proton Pass for Business lo hace más fácil al identificar cuentas vulnerables y enviar alertas de vulneración de datos en un solo lugar, para que la exposición salga a la luz sin que nadie tenga que ir a buscarla.

Cómo ayuda Pass Monitor a detectar la exposición de credenciales

La exposición en la dark web suele ser tardía y fragmentada. Una dirección de correo electrónico filtrada puede aparecer en un conjunto de datos, una contraseña en otro y la información personal relacionada en un tercer lugar. El monitoreo ayuda a detectar esas señales más pronto, antes de que las credenciales expuestas se reutilicen en silencio en una toma de control de cuentas, una suplantación o un fraude.

Con un gestor de contraseñas empresarial como Proton Pass for Business⁠, los equipos pueden almacenar credenciales en bóvedas de contraseñas cifradas, generar contraseñas únicas, completar los inicios de sesión automáticamente, compartir el acceso de forma segura, gestionar claves de acceso y usar la autenticación de dos factores integrada. Las funciones para administradores, como las políticas, los informes, los registros, la gestión de grupos, el aprovisionamiento SCIM y la integración con SSO, ayudan a mantener el acceso bajo control a medida que la empresa crece.

Nuestra herramienta de monitoreo de la dark web es una función de Proton Pass for Business que ayuda a identificar cuentas empresariales vulnerables y a recibir alertas de vulneraciones de datos en un solo lugar. Incluye monitoreo de la dark web, comprobaciones del estado de las contraseñas y alertas de inactividad de 2FA.

Pass Monitor puede alertar a los usuarios cuando su información personal se ve comprometida en una filtración de datos e identificar contraseñas reutilizadas o débiles. El estado de la contraseña calcula cuánto tiempo tardaría en descifrarse una contraseña, de modo que un equipo puede ver la diferencia entre una contraseña que se descifra en segundos y otra que tardaría años.

También destaca las cuentas en las que el 2FA está inactivo, una importante capa adicional de seguridad y, a menudo, la diferencia entre que una contraseña filtrada sea un inconveniente o una vulneración. En lugar de esperar a enterarse de una vulneración de datos cuando ya es demasiado tarde, proporcione a su empresa las herramientas que necesita para protegerse.

Monitoree las credenciales de su empresa en la dark web con un gestor de contraseñas para empresas.