Cerca de 2,7 millones de cuentas españolas aparecen comprometidas en la Dark Web

El mercado clandestino de datos robados sigue creciendo y convirtiéndose en una pieza fundamental de la economía del cibercrimen. Así lo refleja una investigación de Kaspersky, que ha analizado la actividad detectada durante la primera mitad de 2026 en foros y mercados de la Dark Web dirigidos tanto a usuarios como a organizaciones españolas.

El estudio identifica tres grandes focos de actividad criminal: la compraventa de credenciales comprometidas, la comercialización de accesos iniciales a organizaciones y la distribución de información corporativa robada. Según los datos recopilados por la compañía, un total de 2.698.517 cuentas asociadas a usuarios españoles fueron localizadas en filtraciones, registros de infostealers, bases de datos derivadas y listas de credenciales agregadas entre enero y junio de este año.

 

Las credenciales siguen siendo la moneda de cambio del cibercrimen

Uno de los principales hallazgos del informe es el elevado volumen de cuentas comprometidas procedentes de diferentes fuentes. En concreto, Kaspersky detectó 230.854 cuentas en registros de infostealers, malware diseñado para robar información almacenada en dispositivos infectados, incluidas credenciales guardadas en navegadores y aplicaciones.

A esta cifra se suman 573.175 cuentas localizadas en listas ULP (URL:LOGIN:PASSWORD) y 1.894.488 cuentas incluidas en combolists, recopilaciones de credenciales filtradas procedentes de múltiples brechas de seguridad.

Para la compañía, estos datos evidencian que los ciberdelincuentes continúan utilizando las credenciales robadas como punto de partida para acceder a servicios digitales, comprometer nuevas cuentas y lanzar ataques de mayor alcance.

La amenaza no se limita a los usuarios particulares. El informe revela que durante el mismo periodo se localizaron 104 bases de datos filtradas relacionadas con organizaciones españolas, publicadas o comercializadas en foros de la Dark Web.

Según explica la investigación, las referencias encontradas incluían elementos suficientes para vincular los datos a empresas españolas, como dominios corporativos, nombres de organizaciones o referencias explícitas al país. Esta situación confirma que la información empresarial se ha convertido también en un activo de alto valor dentro de los mercados clandestinos.

 

La monitorización como medida preventiva

Para João Brandão, analista de Kaspersky Digital Footprint Intelligence, “la evolución observada refleja la consolidación de una economía criminal altamente estructurada en la que accesos, credenciales y datos son comercializados como mercancías”.

Ante este escenario, la compañía defiende la necesidad de que las organizaciones supervisen de forma continua su exposición externa para detectar información comprometida antes de que sea utilizada en ataques reales. Entre las áreas prioritarias figuran la gestión de la superficie de ataque, la monitorización de la Dark Web, el análisis de filtraciones de datos, la detección de actividades fraudulentas y la vigilancia del uso indebido de marcas corporativas.