La darknet, de la que hemos hablado en los últimos días, está bastante entrelazada con el negocio convencional. Hoy no es solo un rincón para comunicación anónima, sino toda una industria subterránea con sus propias reglas, mercados y servicios.
En este artículo quiero, sin alarmismos innecesarios, explicar cómo las empresas comunes caen en la trampa de los hackers, qué técnicas usan los delincuentes digitales y, sobre todo, qué se puede hacer para proteger el negocio —ya sea una pequeña startup o una gran corporación. Considere este texto no como un compendio de consejos técnicos secos, sino como una guía por un territorio peligroso que toda empresa moderna debe recorrer.
Cómo funciona el crimen digital moderno
La internet oscura ya no se parece al conjunto original de sitios ocultos al que solo se accedía con navegadores especiales como Tor. Para defenderse con éxito, primero hay que entender con qué nos enfrentamos.
Lo principal que ha cambiado en los últimos años es el enfoque organizativo del cibercrimen. Si antes un hacker tenía que ser un "soldado universal" con habilidades desde la recopilación de inteligencia hasta la creación de código malicioso, hoy el crimen digital funciona bajo el principio de "divide y vencerás". Casi cualquier elemento de un ataque se puede comprar como un servicio ya hecho —y eso abrió las puertas del cibercrimen a personas que antes no tenían conocimientos técnicos.
Esto es lo que hoy se comercializa en los mercados digitales y que amenaza directamente a las startups:
- Claves de redes corporativas — los atacantes venden accesos a sistemas TI de empresas mediante VPN comprometidas, escritorios remotos o credenciales de empleados robadas. Ese "producto" puede costar desde unos pocos cientos hasta decenas de miles de dólares, según el tamaño de la empresa y el valor de sus datos.
- Ransomware llave en mano — kits completos para bloquear datos corporativos y exigir rescates. Los creadores suelen alquilar sus desarrollos y recibir una parte de cada rescate, similar a una franquicia.
- Bases de datos robadas — volúmenes de información sobre clientes, finanzas, planes de desarrollo o tecnologías. A menudo los vendedores publican pequeñas muestras para demostrar la autenticidad de su "mercancía" antes de cerrar la venta.
- Herramientas para falsificar sitios — soluciones listas para crear copias fieles de portales corporativos y sistemas de correo, con el objetivo de extraer contraseñas de empleados desprevenidos.
- Hacking por encargo — equipos profesionales que atacan específicamente a una empresa por solicitud de un cliente, generalmente para espionaje o para dañar la reputación de un competidor.
Preocupa que los grupos delictivos cada vez más forman alianzas temporales: cada uno aporta lo que mejor sabe hacer. Unos obtienen el acceso inicial mediante engaños, otros expanden el control dentro de las redes, y terceros se especializan en extraer la información más valiosa o en instalar el software extorsionador.
El año pasado los analistas detectaron un aumento del llamado "doble rescate", cuando los atacantes no solo cifran los datos, sino que primero los copian y amenazan con publicarlos, y además lanzan ataques DDoS a los sitios corporativos para aumentar la presión sobre la víctima.
La puerta de la casa ajena: cómo los hackers acceden a sistemas corporativos
Contrariamente a la creencia popular, la mayoría de los ataques exitosos a empresas no empiezan por vulnerar barreras técnicas, sino por manipular a las personas. Las estadísticas recientes muestran: más del 70% de las intrusiones exitosas a redes corporativas el año pasado comenzaron con un simple engaño humano. Los esquemas pueden presentarse así:
- Phishing dirigido — a diferencia del envío masivo de correos falsos, estos ataques se preparan para una empresa concreta e incluso para empleados específicos. Los atacantes estudian sitios corporativos, perfiles en redes sociales, comunicados de prensa e incluso ofertas de empleo. Con esos datos crean mensajes tan creíbles que es casi imposible distinguirlos de comunicaciones de colegas, jefes o socios.
- Robo de accesos a servicios en la nube — con la migración de los negocios a la nube, los accesos a Microsoft 365, Google Workspace o Dropbox se han convertido en un botín valioso para los atacantes. Los obtienen mediante phishing, fuerza bruta y otras técnicas. En foros clandestinos se comercia continuamente con lotes de cuentas corporativas robadas.
- Golpear la pieza débil — en lugar de asaltar una fortaleza bien protegida, los atacantes suelen atacar a los socios de una empresa: proveedores de software, servicios en la nube o soporte técnico. Al infectar una actualización o componente utilizado por la organización objetivo, entran por un canal de confianza. Un ejemplo claro es el ataque a SolarWinds en 2020, cuando una única actualización maliciosa afectó a miles de organizaciones, incluidas agencias gubernamentales de Estados Unidos.
- El enemigo interno — en foros cerrados se busca regularmente empleados dispuestos a compartir información interna o ayudar en un ataque. Los motivos varían: dinero, ideología o venganza. El riesgo aumenta especialmente en períodos de despidos masivos, cuando exempleados resentidos pueden cooperar con atacantes.
- Fugas por vulnerabilidades sin parchear — pese a las advertencias de los fabricantes, muchas empresas aplazan la instalación de actualizaciones críticas o configuran mal las defensas. En la internet clandestina prospera el comercio de bases de datos de sistemas vulnerables identificados mediante escaneos masivos.
A veces los atacantes instalan puertas traseras y no actúan durante meses o incluso años. Esta táctica de espera les permite recabar la mayor cantidad de información posible, estudiar en detalle la red interna y preparar un golpe verdaderamente destructivo.
Cómo defenderse de los ataques desde el subsuelo digital
No existe una protección del cien por cien contra las ciberamenazas, especialmente en el ámbito corporativo, que equilibra seguridad con usabilidad, costes de protección y posibles pérdidas. Pero un enfoque sensato puede reducir radicalmente el riesgo y limitar el daño. Qué conviene implementar primero:
- Inteligencia en la internet oscura — las empresas no pueden ignorar la existencia de la darknet. Es más prudente establecer una vigilancia regular de foros y mercados clandestinos en busca de menciones a su empresa, nombres de empleados, sistemas TI o productos. Ese monitoreo ayuda a detectar ataques en preparación y filtraciones ya ocurridas.
Este trabajo puede encomendarse a especialistas internos (si tienen las competencias) o a expertos externos en ciberinteligencia. Hay varias empresas que rastrean amenazas en la darknet y alertan a sus clientes sobre riesgos potenciales.
- Autenticación de múltiples capas — implemente autenticación de dos factores en todos los sistemas críticos. Aunque los atacantes obtengan la contraseña de un empleado por phishing, un segundo factor (por ejemplo, una llave física o un código de aplicación) dificulta mucho el acceso.
Además, aplique el principio de mínimos privilegios: los empleados deben tener acceso solo a los datos y sistemas estrictamente necesarios. Revise y revoque permisos innecesarios con regularidad para evitar puertas abiertas a los atacantes.
- Formación del personal y cultura de seguridad — dado que el factor humano sigue siendo la principal vía de entrada para la mayoría de los ataques, invertir en la capacitación del personal rinde excelentes resultados. Evite las aburridas charlas anuales con diapositivas; son poco efectivas.
El enfoque moderno incluye ejercicios prácticos, simulaciones de phishing y elementos lúdicos que ayudan a consolidar hábitos seguros. También es fundamental crear un ambiente en el que las personas no teman reportar incidentes sospechosos, incluso si fueron ellos quienes cometieron el error.
- Segmentación de la red en zonas aisladas — divida la red corporativa en zonas separadas con controles de tránsito entre ellas. La segmentación dificulta mucho el movimiento lateral de los atacantes tras un acceso inicial. Es especialmente importante aislar sistemas y datos críticos de los segmentos de acceso público.
Para proteger el perímetro combine soluciones clásicas (firewalls, sistemas de detección de intrusos) con herramientas modernas para prevención de filtraciones de datos y defensa contra ataques dirigidos complejos.
- Mantenimiento y actualización oportuna de sistemas — muchas empresas subestiman la importancia de aplicar parches, por temor a interrumpir servicios o generar tiempos de inactividad. Sin embargo, la falta de actualizaciones regulares convierte al negocio en un objetivo fácil.
Establezca un proceso claro de gestión de parches: detecte vulnerabilidades periódicamente, priorice su corrección según el riesgo real para el negocio e imponga plazos estrictos para implementar actualizaciones críticas.
Preste especial atención al desarrollo y la verificación regular del plan de respuesta a incidentes. Incluso con todas las medidas anteriores, el riesgo de una intrusión exitosa nunca será cero. La capacidad de reaccionar rápida y adecuadamente ante una intrusión puede ser el factor decisivo que determine la magnitud de las consecuencias.
Qué hacer si ya ocurrió un ataque
Detectar una intrusión en curso o una compromiso ya consumado es un escenario para el que toda empresa debe estar preparada. En situaciones de estrés e incertidumbre es crucial contar con un plan de acción claro que permita minimizar daños y restaurar procesos internos con rapidez.
Etapas que puede incluir un plan de respuesta:
- Detección y aislamiento — la tarea inicial es determinar el alcance del compromiso y aislar los sistemas afectados para prevenir la propagación. Esto puede requerir desconectar temporalmente servicios o segmentos de red, lo que afectará procesos de negocio. Es importante tener criterios y autorizaciones definidas para tomar esas decisiones.
- Recolección y preservación de evidencias — junto al aislamiento debe iniciarse la recolección de pruebas digitales que faciliten la investigación y la eventual acción legal. Esto incluye la captura de imágenes de disco, conservación de registros, tráfico de red y otros artefactos. Siga los principios de la informática forense para que las evidencias sean válidas en un procedimiento judicial.
- Análisis de vectores de ataque y eliminación de causas raíz — tras estabilizar la situación es crítico entender cómo ocurrió la intrusión y corregir las vulnerabilidades iniciales. Sin este paso, la recuperación puede ser inútil, ya que los atacantes podrían volver a entrar.
- Comunicación con las partes interesadas — muchas empresas cometen el error de ocultar la intrusión a clientes, socios y reguladores. Informar de forma oportuna y transparente no solo suele ser un requisito legal en muchas jurisdicciones, sino que también ayuda a mantener la confianza en la marca a largo plazo.
- Recuperación de datos y sistemas — según el tipo de ataque, esta etapa puede incluir restauración desde copias de seguridad, descifrado de datos (si es posible) o la reconstrucción de sistemas desde cero. Es esencial contar con procedimientos de recuperación probados y ensayarlos periódicamente.
- Análisis de consecuencias y lecciones aprendidas — la fase final, pero crucial, consiste en revisar en detalle el incidente, evaluar la eficacia de la respuesta y detectar áreas de mejora. Las conclusiones deben servir para ajustar la estrategia de ciberseguridad de la empresa.
Conviene tratar por separado la relación con los extorsionadores. Las autoridades de la mayoría de los países recomiendan no pagar rescates, ya que esto financia al crimen y no garantiza la recuperación de los datos. No obstante, la realidad es compleja: muchas empresas necesitan restaurar rápidamente sistemas críticos y este factor puede superar consideraciones éticas y riesgos a largo plazo.
Si su empresa contempla la posibilidad de pagar un rescate, planifique ese escenario con antelación. Defina en qué circunstancias estaría dispuesta a hacerlo, cómo se compraría la criptomoneda y quién negociaría con los delincuentes. Es recomendable contar de antemano con intermediarios especializados en negociación con hackers. Esos expertos suelen conocer las costumbres de grupos criminales concretos y pueden ayudar a evaluar si realmente existe posibilidad de recuperar los datos tras el pago.
Prepararse para la evolución de los ataques desde la darknet
El cibercrimen, como cualquier industria, evoluciona constantemente, adaptándose a nuevas tecnologías y defensas. El análisis de tendencias actuales permite identificar direcciones clave en que las amenazas desde la darknet evolucionarán en los próximos años:
- Uso de la inteligencia artificial para automatizar y personalizar ataques — ya se discuten y desarrollan en foros herramientas que emplean aprendizaje automático para generar contenido de phishing convincente, eludir defensas y buscar vulnerabilidades. A medida que la IA se democratice, su uso en el cibercrimen se expandirá.
- Ataques a la cadena de suministro de software — ante las crecientes inversiones en defensa perimetral, los atacantes recurrirán cada vez más a comprometer canales confiables de suministro y actualizaciones. Son especialmente peligrosos los ataques a bibliotecas y componentes abiertos utilizados en miles de productos.
- Explotación de vulnerabilidades en IoT y sistemas industriales — con la expansión del Internet de las cosas y sistemas industriales conectados, estos dispositivos, a menudo con poca protección, se volverán objetivos atractivos, especialmente para ataques contra infraestructuras críticas.
- Ampliación de las prácticas de doble y triple extorsión — además del cifrado y la amenaza de publicar datos, los atacantes emplearán palancas adicionales: ataques DDoS, contactos con clientes y socios de la empresa, e incluso amenazas de daño físico.
- Mayor focalización de ataques mediante inteligencia de la darknet — los atacantes usarán información de filtraciones y fuentes abiertas para crear ataques extremadamente personalizados contra empresas y tomadores de decisiones.
No basta con reforzar las medidas actuales; hace falta desarrollar nuevos enfoques, entre ellos:
- Implementación de tecnologías de desidentificación de datos — métodos como la tokenización y la privacidad diferencial permiten mantener el valor analítico de los datos reduciendo significativamente el riesgo en caso de compromiso.
- Transición a la arquitectura Zero Trust — un modelo que asume que no existe un perímetro de confianza dentro de la red, y que cada solicitud debe someterse a autenticación y autorización estrictas sin importar su origen.
- Refuerzo de la protección de cuentas privilegiadas — soluciones especializadas de gestión de accesos privilegiados (PAM) permiten controlar y auditar acciones de usuarios con altos niveles de acceso, quienes son objetivo prioritario para los atacantes.
- Desarrollo de programas de recompensas por errores y colaboración con investigadores éticos — involucrar a investigadores externos ayuda a identificar vulnerabilidades antes de que los atacantes las exploten.
- Formación de alianzas sectoriales para compartir información de amenazas — dado que los grupos atacan a menudo a empresas de un mismo sector, el intercambio de indicadores de compromiso y medidas defensivas entre competidores puede beneficiar a todos los participantes.
Es fundamental comprender que se trata de un proceso continuo que exige adaptación y aprendizaje constantes. Las empresas que logren integrar la ciberseguridad en la cultura organizacional y convertirla en parte inseparable de su estrategia empresarial obtendrán una ventaja competitiva considerable.
