El mercado clandestino de la dark web vuelve a encender las alarmas. En los últimos días, el equipo de inteligencia de SOCRadar detectó una actividad inusual: venta de enormes bases de datos robadas, servicios de verificación de identidad falsos (KYC), herramientas de malware para Android y la aparición de un nuevo ransomware modular. Además, se reportaron publicaciones de grupos criminales que buscan reclutar empleados de empresas de telecomunicaciones para ejecutar fraudes mediante intercambio de tarjetas SIM (SIM swapping).
Estos hallazgos revelan un panorama preocupante: los actores maliciosos están diversificando sus métodos, combinando robo de datos, manipulación de identidades digitales y ransomware personalizado para maximizar ganancias.
1.7 mil millones de registros de Facebook a la venta
Una de las publicaciones más inquietantes detectadas describe la venta de 1.7 mil millones de registros de usuarios de Facebook.
El vendedor afirma que se trata de datos “frescos”, nunca antes filtrados, disponibles a través de un contacto directo en la dark web.
El conjunto de información incluye:
- ID de usuario
- Fecha de nacimiento
- Ubicación
- Género
- Estado civil
- Número de amigos
Aunque no hay confirmación oficial sobre la veracidad de la filtración, los expertos advierten que si los datos son auténticos, podrían utilizarse para ejecutar campañas de phishing dirigidas, robo de identidad, fraudes financieros y suplantación de perfiles en redes sociales.
Un especialista en ciberseguridad explicó que los datos extraídos de redes sociales, aun cuando no contengan contraseñas, pueden alimentar técnicas de ingeniería social. Los ciberdelincuentes aprovechan estos detalles para crear mensajes personalizados que resultan más creíbles para las víctimas.
Servicios falsos de verificación KYC: una amenaza para bancos y fintech
Otro anuncio detectado en los foros oscuros ofrecía servicios de verificación de identidad (KYC) completamente falsificados. Estos servicios prometen generar documentos y credenciales para superar los controles de identidad de bancos, plataformas de pago y exchanges de criptomonedas.
El anuncio menciona instituciones como Wise, Revolut, Skrill, HSBC, Monzo, PayPal y Binance, con precios que van desde 60 hasta 1,400 dólares, dependiendo del nivel de personalización.
El vendedor incluso ofrece una opción “custom name”, que parece referirse a la creación de documentos falsos bajo nombres específicos.
Este tipo de servicio representa un grave riesgo para el sector financiero, ya que facilita el lavado de dinero, el fraude de identidad y la evasión de sanciones internacionales. En la práctica, permite que un ciberdelincuente opere una cuenta “verificada” con documentación falsa, pasando desapercibido ante los sistemas de cumplimiento (compliance) de las instituciones.
También podría interesarte: Perfil en la Dark Web: Ransomware WereWolves
El regreso de los botnets móviles: Hook Android a la venta
SOCRadar también detectó la venta del botnet Hook para Android, una herramienta maliciosa diseñada para controlar dispositivos móviles de forma remota.
El actor que ofrece el servicio asegura que la versión es “original, completamente actualizada y compatible con las últimas versiones de Android”.
El precio del alquiler mensual asciende a 5,000 dólares, con la promesa de incluir una prueba beta gratuita para demostrar su eficacia.
El Hook Botnet permite:
- Registrar pulsaciones del teclado (keylogging).
- Interceptar mensajes SMS o de WhatsApp.
- Acceder a datos bancarios almacenados en aplicaciones móviles.
- Tomar control total del dispositivo de la víctima.
Este tipo de botnets no solo afectan a usuarios individuales, sino también a empresas cuyos empleados acceden a sistemas corporativos desde dispositivos comprometidos. Esto abre la puerta al espionaje corporativo y al robo de credenciales empresariales.
Nace MonoLock, un nuevo ransomware modular
El foro también anunció el lanzamiento de MonoLock ransomware v1.0, presentado como una herramienta modular para cibercriminales que buscan automatizar ataques de cifrado y robo de datos.
El desarrollador describe su software como una solución “comercial” con distintos módulos especializados:
- Elevate: para obtener privilegios administrativos sin modificar el registro del sistema.
- MonoSteal: encargado de la exfiltración rápida de archivos, incluyendo documentos, imágenes, contraseñas y certificados.
- MonoLock: el módulo principal de cifrado, que utiliza una combinación híbrida de algoritmos ChaCha20 y Salsa20, difíciles de revertir.
- Notedrop: responsable de generar y distribuir las notas de rescate en los equipos infectados.
MonoLock también integra funciones de evasión forense, detectando entornos virtuales o depuradores para evitar ser analizado por expertos. Además, puede eliminar copias de seguridad locales, complicando la recuperación de la información.
En pocas palabras, se trata de un ransomware diseñado para maximizar el daño y dificultar cualquier intento de restauración de datos sin pagar el rescate.
Reclutamiento de empleados para fraudes con SIM Swap
Uno de los hallazgos más inquietantes de esta semana en la dark web es un anuncio donde un grupo criminal busca empleados de empresas de telecomunicaciones para participar en fraudes con intercambio de tarjetas SIM (SIM swapping).
El grupo asegura contar con un “contacto interno” en T-Mobile y busca ahora colaboradores dentro de AT&T u otras operadoras.
Prometen compartir las ganancias con quienes colaboren y ofrecen una lista de “decenas de objetivos listos”.
El SIM swapping consiste en clonar o transferir la línea telefónica de una víctima a una nueva tarjeta SIM controlada por el atacante. Una vez logrado, el delincuente puede interceptar códigos de verificación, resetear contraseñas y tomar control de cuentas bancarias o de redes sociales.
Un ecosistema delictivo en expansión
Todos estos casos detectados reflejan un ecosistema cibercriminal cada vez más profesionalizado y diversificado.
El mercado negro digital se ha transformado en una plataforma de servicios completa, donde los delincuentes pueden comprar bases de datos, alquilar malware, falsificar identidades y reclutar personal para ejecutar ataques coordinados.
Para nosotros, este modelo representa una amenaza directa para empresas, gobiernos y ciudadanos, ya que reduce las barreras técnicas de entrada para nuevos actores maliciosos. Hoy, cualquiera con dinero puede convertirse en ciberdelincuente, comprando o alquilando herramientas listas para usar.
Títulos similares: NodeStealer: Anuncios Seductores que Hackean Facebook
Cómo protegerte ante este tipo de amenazas
Desde TecnetOne, te recomendamos fortalecer tu seguridad digital con medidas preventivas simples pero efectivas:
- Monitorea la dark web. Si manejas información sensible o bases de datos de clientes, considera servicios de vigilancia digital que te alerten ante filtraciones.
- Implementa autenticación multifactor (MFA). Evita depender solo de SMS para códigos de verificación. Usa apps seguras como Microsoft Authenticator o Google Authenticator.
- Educa a tu equipo. Las filtraciones de credenciales suelen comenzar por errores humanos. Capacita a tus empleados en detección de phishing y manejo de contraseñas.
- Realiza copias de seguridad cifradas. Asegúrate de que no estén conectadas al sistema principal para evitar que ransomware las elimine.
- Aplica políticas de “mínimo privilegio”. Solo otorga accesos esenciales a cada usuario.
- Actualiza tus sistemas y revisa configuraciones. El software sin parches es una de las principales vías de ataque.
Conclusión
El auge de filtraciones masivas, servicios de identidad falsos y ransomware modular demuestra que la ciberdelincuencia avanza a una velocidad alarmante.
Los foros clandestinos se han convertido en verdaderas plataformas de comercio digital donde el delito se profesionaliza día a día.
Para enfrentarlo, es clave adoptar una estrategia de seguridad proactiva y colaborativa, basada en inteligencia de amenazas y formación constante.
En TecnetOne, creemos que la prevención, la educación y la tecnología son las mejores defensas frente a un enemigo que nunca descansa.
