Una sola contraseña robada no desencadena el caos de inmediato. Puede acabar almacenada en una base de datos filtrada o junto a miles de otros registros. A veces se trafica con ella, se revende, se prueba en otros servicios o se utiliza semanas después en una campaña de suplantación que parece no tener relación con la vulneración original.

Cuando una empresa se da cuenta de que una de sus cuentas está expuesta, es posible que la credencial ya haya pasado por varias manos. Por eso las credenciales empresariales de la dark web son tan difíciles de administrar. La vulneración puede ocurrir en un lugar, los datos pueden aparecer en otro y el ataque posterior puede dirigirse a un sistema completamente distinto.

Cuando esas credenciales aparecen en la dark web, la vulneración ya se ha producido en algún lugar. Lo que se vuelve visible allí es el siguiente riesgo: quién puede encontrar los datos, quién puede reutilizarlos y con qué rapidez puede responder la empresa. Las credenciales empresariales de la dark web son un recurso valioso para los ciberdelincuentes, así que tu empresa debe estar preparada en caso de que se vea afectada por una vulneración de datos.

Cómo se roban las credenciales empresariales

Pueden pasar días, semanas o incluso meses antes de que una empresa detecte que sus credenciales se han filtrado. Pueden capturarse a través de una página de inicio de sesión falsa, extraerse de un dispositivo infectado, quedar expuestas en una vulneración de un proveedor o reutilizarse de una antigua cuenta personal, y a menudo acaban en mercados de la dark web donde los datos robados se compran al por mayor.

Phishing

Los correos de suplantación siguen siendo una vía habitual para el robo de credenciales. Es posible que un empleado acabe en una página que parece una plataforma SaaS conocida, abra una solicitud de documento que le pide iniciar sesión o siga un mensaje que parece proceder de un servicio de confianza. Una vez que se ingresa la credencial, el atacante puede intentar usarla de inmediato o guardarla para más adelante. Un solo ataque de suplantación exitoso puede exponer todos los sistemas a los que puede acceder la cuenta comprometida.

Ransomware

Otras filtraciones son menos visibles. Durante los incidentes de ransomware, los atacantes pueden robar archivos antes de cifrar los sistemas, como listas de cuentas, archivos de configuración, contraseñas y registros de acceso. Una vulneración en la cadena de suministro puede exponer credenciales a través de un proveedor, un contratista, un proveedor de software o un socio de servicios gestionados, incluso cuando los propios sistemas de la empresa no fueron el primer punto comprometido.

Contraseñas reusadas

Cuando los empleados usan la misma contraseña en cuentas personales y de trabajo, una vulneración externa a la empresa puede seguir convirtiéndose en un problema para el negocio. Los atacantes no necesitan entrar primero en el sistema de trabajo. Pueden probar credenciales ya filtradas en decenas de servicios y ver en cuáles siguen funcionando, un ataque conocido como relleno de credenciales.

Malware infostealer

Los dispositivos de los empleados también pueden convertirse en una fuente de exposición. El malware infostealer está diseñado para recopilar contraseñas guardadas, sesiones de navegador, cookies, datos de relleno automático y otra información confidencial de un dispositivo. Si ese dispositivo se usa para trabajar, aunque sea de forma ocasional, un compromiso personal puede dar a los atacantes acceso a cuentas, herramientas o canales de comunicación de la empresa.

Cuando la credencial aparece en un conjunto de datos delictivo o en una fuente de la dark web, es posible que el robo original ya tenga días, semanas o meses. La empresa no solo se enfrenta a una contraseña filtrada. Se enfrenta a la incertidumbre: de dónde salió la credencial, quién la ha visto, si se ha probado y qué más puede haberse expuesto junto a ella.

Qué ocurre después de que se roben las credenciales

Una vez robadas, las credenciales rara vez se quedan en un solo lugar. Pueden añadirse a un conjunto de datos de vulneración más amplio, compartirse en privado, venderse al por mayor o ser utilizadas por distintos grupos con fines diferentes. Algunos atacantes buscan acceso directo a cuentas. Otros quieren listas de correos empresariales válidos, contraseñas, datos de sesión o cuentas de administrador que puedan revender.

El valor depende de lo que desbloquea la credencial:

  • Un inicio de sesión básico de empleado puede ayudar en la suplantación o el reconocimiento interno.
  • Una contraseña reutilizada puede abrir varias cuentas.
  • Una credencial de administrador puede dar acceso a ajustes, datos de clientes, información de facturación o gestión de usuarios.
  • Un inicio de sesión en una cuenta financiera puede facilitar el fraude en los pagos.
  • Las credenciales de SaaS pueden exponer documentos, mensajes, datos de proyectos o registros de clientes.

Los datos empresariales en la dark web se vuelven peligrosos porque pueden utilizarse para llevar a cabo acciones destructivas. Una credencial puede desbloquear una cuenta, pero incluso los registros parciales pueden ayudar a los atacantes a entender a quién suplantar, a qué clientes dirigirse, qué procesos financieros imitar o a qué empleados presionar después. Lo que para la empresa parece una base de datos filtrada puede parecer un conjunto de oportunidades para quien prepara un fraude, una suplantación, un vishing o una toma de control de cuentas.

En nuestro artículo de presentación del Data Breach Observatory⁠ de Proton, señalamos que muchas vulneraciones no aparecen en las noticias, lo que oculta la verdadera magnitud del problema. Proton creó el Observatorio para mostrar dónde se están filtrando los datos empresariales hacia la dark web y ayudar a las organizaciones a entender los riesgos emergentes de la exposición en el mundo real.

Qué datos empresariales son más valiosos en la dark web

Los datos empresariales más valiosos en la dark web no se limitan a contraseñas o detalles de pago. Los atacantes suelen buscar cualquier información que les ayude a acceder a cuentas, suplantar a empleados, dirigirse a clientes o entender cómo funciona una empresa.

El Data Breach Observatory⁠ de Proton muestra lo variados que pueden ser los datos empresariales expuestos, desde nombres y direcciones de correo electrónico hasta detalles de contacto, contraseñas y otros registros que pueden facilitar más ataques. Incluso la información parcial puede resultar útil cuando se combina con datos de otras filtraciones.

Los datos empresariales más valiosos para los atacantes suelen incluir:

  • Credenciales de inicio de sesión: las direcciones de correo electrónico, las contraseñas, las cookies de sesión y los tokens de autenticación pueden dar a los atacantes una vía directa hacia las cuentas empresariales. Este riesgo es mayor cuando los empleados reutilizan contraseñas en distintas herramientas o cuando no se ha activado la MFA.
  • Información de los empleados: los nombres, los puestos de trabajo, los correos de trabajo, los números de teléfono y los detalles organizativos pueden ayudar a los atacantes a identificar a quién dirigirse y cómo hacer que un mensaje parezca legítimo. Estos datos pueden facilitar intentos de suplantación, usurpación de identidad y compromiso de correo empresarial.
  • Datos de clientes: los nombres, los detalles de contacto, las direcciones, la información de cuentas y el historial de compras pueden utilizarse para el fraude, el robo de identidad, la suplantación o la ingeniería social. Aunque estos datos no incluyan contraseñas, pueden ayudar a los atacantes a hacer que las estafas resulten más personales y convincentes.
  • Información financiera y de pago: las facturas, los datos bancarios, los registros de facturación, los documentos fiscales y los datos de pago pueden facilitar el fraude de facturas, las estafas de redirección de pagos o los intentos de suplantar a proveedores y socios.
  • Documentos internos de la empresa: los contratos, las listas de proveedores, los archivos de proyectos, los documentos de estrategia y los registros operativos pueden no dar acceso inmediato a las cuentas, pero pueden revelar cómo funciona la empresa, de quién depende y dónde pueden encontrar debilidades los atacantes.

Las contraseñas reutilizadas, las credenciales filtradas y las combinaciones predecibles son las formas más fáciles de entrar en una cuenta empresarial: no se necesita ningún exploit, solo una lista y paciencia. Pero otros datos expuestos siguen ayudando a los atacantes a construir ataques más dirigidos. Una vez que la información empresarial aparece en la dark web, el riesgo no es solo que una cuenta pueda verse comprometida. Esos mismos datos pueden reutilizarse, combinarse y explotarse mucho después de la vulneración original.

Qué hacer si encuentras las credenciales de tu empresa en la dark web

Aunque no existe una estimación precisa de las pérdidas causadas específicamente por la actividad en la dark web, esta desempeña un papel en una economía del cibercrimen mucho más amplia. Una revisión académica, Global Cybercrime Damages: A Baseline for Frontier AI Risk Assessment(ventana nueva), estima que las pérdidas totales mundiales por cibercrimen ascienden a aproximadamente 500 000 millones de dólares al año, con un rango probable de entre 100 000 millones y 1 billón de dólares. Los foros y mercados de la dark web contribuyen a este ecosistema al facilitar el comercio, la combinación y la reutilización de credenciales robadas, datos personales e información empresarial.

Si se encuentran credenciales empresariales en la dark web, tu primera prioridad debe ser reducir la probabilidad de que los atacantes aún puedan usarlas. Una credencial que se expuso hace meses puede seguir siendo válida si no se ha cambiado la contraseña, falta la autenticación multifactor (MFA) o se reutilizó la misma contraseña en otras herramientas.

1. Identifica qué cuentas, empleados y sistemas pueden verse afectados

Restablece las contraseñas expuestas, revoca las sesiones activas y comprueba si se usaron las mismas contraseñas o similares en otros lugares. Si la cuenta está conectada al correo electrónico, al almacenamiento de archivos, a sistemas financieros, a datos de clientes o a paneles de administración, considérala de mayor riesgo y revisa la actividad reciente en busca de inicios de sesión sospechosos, reglas de reenvío, cambios de permisos o descargas inusuales.

Si las credenciales expuestas incluyen datos personales, evalúa si el incidente debe notificarse a la autoridad de control correspondiente, la ICO(ventana nueva) en el Reino Unido, o la autoridad nacional de protección de datos de cada Estado miembro de la UE. En virtud del GDPR del Reino Unido y de la UE, no todas las vulneraciones de datos personales son notificables, pero las organizaciones deben notificarlas cuando sea probable que la vulneración suponga un riesgo para los derechos y libertades de las personas. La guía de la ICO para notificar una vulneración(ventana nueva)⁠ puede ayudar a las empresas a evaluar el incidente y entender el proceso de notificación.

2. Aplica la MFA siempre que sea posible

Asegúrate de centrarte en las herramientas que contienen datos empresariales confidenciales, como el correo electrónico, las cuentas de administrador y las plataformas en la nube. Si la MFA ya estaba activada, revisa el método de autenticación y las opciones de recuperación para asegurarte de que los atacantes no puedan eludirla mediante códigos de copia de seguridad comprometidos, cuentas de correo electrónico de recuperación poco seguras o ingeniería social.

3. Notifica a los usuarios internos afectados

A continuación, debes informar a los miembros del equipo que se hayan visto afectados y dar instrucciones claras sobre qué cambiar y a qué estar atentos. Una vez que las credenciales aparecen en la dark web, los atacantes pueden usarlas para el relleno de credenciales, la suplantación, la usurpación de identidad o intentos de pasar de una cuenta comprometida a otros sistemas empresariales.

4. Revisa tus controles de acceso

Elimina las cuentas sin usar, actualiza los permisos, revisa las credenciales compartidas y asegúrate de que los empleados utilicen contraseñas únicas para cada servicio empresarial. Un gestor de contraseñas puede ayudar a los equipos a generar contraseñas más seguras, guardarlas de forma segura, compartir el acceso sin exponer la contraseña en sí y dar a los administradores mejor visibilidad sobre los comportamientos de riesgo con las contraseñas.

5. Sigue monitorizando posibles exposiciones

Por último, sigue monitorizando posibles exposiciones futuras. Los datos de la dark web pueden reaparecer, reempaquetarse o combinarse con otras filtraciones mucho después de la vulneración original. Detectar credenciales expuestas a tiempo da a la empresa más posibilidades de restablecer el acceso antes de que los atacantes conviertan los datos filtrados en una toma de control de cuentas, un fraude o un incidente de seguridad mayor. Un gestor de contraseñas empresarial como Proton Pass for Business lo facilita al identificar cuentas vulnerables y enviar alertas de vulneración de datos en un solo lugar, de modo que la exposición salga a la superficie sin que nadie tenga que ir a buscarla.

Cómo ayuda Pass Monitor a detectar la exposición de credenciales

La exposición en la dark web suele ser tardía y fragmentada. Una dirección de correo electrónico filtrada puede aparecer en un conjunto de datos, una contraseña en otro y la información personal relacionada en un tercero. La monitorización ayuda a detectar esas señales con antelación, antes de que las credenciales expuestas se reutilicen en silencio en tomas de control de cuentas, suplantaciones o fraudes.

Con un gestor de contraseñas empresarial como Proton Pass for Business⁠, los equipos pueden guardar credenciales en cajas fuertes de contraseñas cifradas, generar contraseñas únicas, rellenar automáticamente los inicios de sesión, compartir el acceso de forma segura, gestionar llaves de acceso y utilizar la autenticación de dos factores integrada. Funciones de administración como las políticas, los informes, los registros, la gestión de grupos, el aprovisionamiento SCIM y la integración con SSO ayudan a mantener el acceso controlado a medida que la empresa crece.

Nuestra herramienta de monitoreo de la dark web es una función de Proton Pass for Business que te ayuda a identificar cuentas empresariales vulnerables y a recibir alertas de vulneraciones de datos en un solo lugar. Incluye monitoreo de la dark web, comprobaciones del estado de las contraseñas y alertas de 2FA inactivas.

Pass Monitor puede alertar a los usuarios cuando su información personal se ve comprometida en una filtración de datos e identificar contraseñas reutilizadas o débiles. El estado de las contraseñas calcula cuánto tardaría en descifrarse una contraseña, para que un equipo pueda ver la diferencia entre una contraseña que cae en segundos y otra que tardaría años.

También destaca las cuentas en las que el 2FA está inactivo, una capa adicional de seguridad importante y, a menudo, la diferencia entre que una contraseña filtrada sea un inconveniente o una vulneración. En lugar de esperar a enterarte de una vulneración de datos cuando ya es demasiado tarde, dale a tu empresa las herramientas que necesita para protegerse.

Monitorea las credenciales de tu empresa en la dark web con un gestor de contraseñas para empresas.