Puede que cuando pienses en un ciberataque imagines a un hacker entrando directamente en una empresa, rompiendo defensas y desplegando malware. Pero la realidad actual es mucho más fragmentada y profesionalizada. Hoy, en muchos casos, el ataque no empieza con ransomware ni con espionaje, sino con alguien que ya hizo el trabajo previo: conseguir el acceso y venderlo.
Eso es exactamente lo que ha salido a la luz con el caso de Feras Khalil Ahmad Albashiti, un ciudadano jordano que se ha declarado culpable en Estados Unidos por actuar como “broker de acceso inicial”, vendiendo accesos a las redes de al menos 50 empresas. Un caso que sirve para entender mejor cómo funciona el ecosistema real del cibercrimen y por qué este tipo de actores son tan peligrosos para organizaciones de cualquier tamaño.
Desde TecnetOne, te explicamos qué ha pasado, cómo operan estos intermediarios y qué lecciones deberías sacar si quieres proteger tu empresa.
Feras Khalil Ahmad Albashiti, de 40 años, también conocido en foros clandestinos como r1z, Feras Bashiti o Firas Bashiti, fue extraditado a Estados Unidos desde Georgia en julio de 2024. Allí se había establecido y fue arrestado tras una investigación internacional.
En enero de 2026 se declaró culpable de fraude relacionado con credenciales de acceso, y su sentencia está prevista para mayo. Se enfrenta a:
Su error fue uno muy común: vender acceso directamente a un agente encubierto de las fuerzas del orden a cambio de criptomonedas, en mayo de 2023. Ese movimiento permitió identificarlo, vincularlo a su alias en foros de malware y cerrar el círculo.
Para entender por qué este caso es tan relevante, necesitas conocer el concepto de initial access broker (IAB). No son necesariamente quienes despliegan ransomware ni quienes roban datos. Su especialidad es otra: Conseguir acceso válido a redes corporativas y venderlo al mejor postor.
Estos accesos pueden incluir:
Una vez dentro, el broker no siempre hace nada más. Simplemente documenta el acceso, valora la “calidad” de la víctima (tamaño, sector, ubicación) y lo ofrece en foros clandestinos.
Conoce más: Interpol Asesta Un Duro Golpe al Cibercrimen Global
Desde el punto de vista del cibercrimen, este modelo tiene muchas ventajas:
Un grupo de ransomware, por ejemplo, no necesita perder semanas buscando una brecha. Compra un acceso ya validado y pasa directamente a la fase destructiva.
En el caso de Albashiti, se ha confirmado la venta de accesos a al menos 50 empresas, pero es razonable pensar que el número real podría ser mayor.
Este caso deja clara una realidad incómoda: el cibercrimen funciona como una cadena de suministro. Cada actor cumple un rol:
Eso significa que, aunque bloquees un tipo de amenaza, otra puede entrar por una vía distinta. Y aquí es donde muchas organizaciones fallan: siguen pensando en ataques “directos”, cuando en realidad el peligro puede venir de un acceso legítimo vendido en un foro.
El de Albashiti no es un incidente puntual. En los últimos meses:
El patrón se repite: acceso primero, ataque después.
Si eres responsable de TI, seguridad o dirección, este tipo de casos te afectan directamente. Porque:
Además, una vez que ese acceso se vende, puede circular. No siempre hay un solo comprador. El mismo acceso puede acabar en manos de varios actores maliciosos, aumentando exponencialmente el riesgo.
Muchas empresas creen que solo los grandes objetivos interesan a estos brokers. Nada más lejos de la realidad. Para un IAB, lo importante es:
Eso incluye pymes, proveedores, empresas regionales y organizaciones que actúan como eslabones de una cadena mayor.
Desde TecnetOne, vemos con frecuencia entornos donde:
Ese es el caldo de cultivo perfecto para un broker de acceso.
Aunque cada caso es distinto, los métodos más habituales incluyen:
Lo preocupante es que muchos de estos accesos no generan alertas inmediatas. Pueden permanecer meses activos antes de ser vendidos o explotados.
Títulos similares: Detención de Hacker y Liberación del Desencriptador Babuk
No existe una solución única, pero sí buenas prácticas claras:
Y, sobre todo, asumir que el acceso es el nuevo perímetro. No basta con proteger el borde de la red si alguien puede entrar con usuario y contraseña válidos.
Este caso demuestra algo fundamental: el cibercrimen ya no es improvisado, es industrial. Hay roles, mercados, precios y especialización. Y mientras existan compradores dispuestos a pagar por accesos, habrá actores dedicados a venderlos.
Para las empresas, el reto no es solo bloquear ataques visibles, sino evitar convertirse en producto dentro de ese mercado clandestino.
El caso de Albashiti no trata solo de un individuo condenado. Es el reflejo de un problema estructural: la venta de accesos como servicio. Un modelo silencioso, rentable y extremadamente peligroso.
Desde TecnetOne, insistimos en una idea clave: Si no controlas quién entra, cuándo y desde dónde, ya no importa qué malware venga después.
La seguridad moderna empieza mucho antes del ransomware. Empieza en el acceso. Y hoy, ese acceso es la mercancía más valiosa del cibercrimen.