El acceso a redes corporativas españolas se vende en la Dark Web desde 179 euros

Según un estudio de Kaspersky Digital Footprint Intelligence, durante el primer semestre de 2026 se detectaron 13 anuncios en la Dark Web que ofrecían acceso a infraestructuras corporativas españolas mediante protocolos de acceso remoto como RDP, SSH y VPN, así como a través de vulnerabilidades de ejecución remota de código (RCE).

La investigación pone de manifiesto que los ciberdelincuentes ya no necesitan identificar objetivos, encontrar vulnerabilidades o comprometer una organización desde cero. En muchos casos pueden comprar directamente el acceso a empresas que ya han sido comprometidas por otros actores especializados.

Algunos grupos se dedican exclusivamente a comprometer sistemas empresariales y obtener accesos iniciales. Posteriormente venden esos accesos a otros actores que ejecutan ataques más complejos o monetizan la información robada. Esta división de tareas permite aumentar la velocidad y la escala de las operaciones criminales, replicando modelos organizativos similares a los de cualquier sector económico.

 

El acceso se compra y se vende como una mercancía

El informe muestra que este mercado opera mediante distintos modelos comerciales. El 69% de los anuncios identificados por Kaspersky mostraba un precio visible. De ellos, cinco publicaciones ofrecían acceso mediante precio fijo, con importes comprendidos entre 230 y 14.500 dólares, equivalentes aproximadamente a entre 205 y 12.900 euros.

Por su parte, otros accesos se comercializaban mediante sistemas de subasta. En estos casos, los precios iniciales oscilaban entre 200 y 2.000 dólares, es decir, aproximadamente entre 179 y 1.787 euros, mientras que las opciones de compra inmediata alcanzaban los 8.000 dólares, unos 7.150 euros.

La disponibilidad de estos accesos permite a otros grupos criminales saltarse las primeras fases de un ataque y centrarse directamente en actividades más rentables, como ransomware, robo de datos o fraude financiero.

La investigación revela que los accesos a redes corporativas no son el único activo comercializado en estos mercados clandestinos. Durante el mismo periodo, Kaspersky detectó 17 anuncios que ofrecían acceso no autorizado a paneles de administración de comercios electrónicos españoles.

En este segmento, el nivel de transparencia es incluso superior. El 94% de las publicaciones mostraba precios visibles, con importes iniciales de entre 50 y 2.250 dólares (entre 45 y 2.010 euros aproximadamente) y opciones de compra inmediata que alcanzaban los 5.000 dólares, equivalentes a unos 4.470 euros. Estos accesos pueden utilizarse para modificar contenidos, robar información de clientes, instalar código malicioso o comprometer operaciones comerciales.

 

Más de un centenar de bases de datos españolas detectadas

Kaspersky también identificó una intensa actividad relacionada con la venta de información robada. Durante el primer semestre de 2026 se localizaron 104 bases de datos pertenecientes a organizaciones españolas anunciadas en la Dark Web.

A diferencia de los accesos iniciales, este mercado es considerablemente menos transparente. Solo el 16% de las publicaciones mostraba precios visibles, mientras que las 87 restantes no incluían ninguna referencia económica.

En aquellos casos en que sí aparecía un precio, los importes iban desde 130 dólares hasta 10.793 dólares, con un precio medio de 1.588 dólares, aproximadamente 1.421 euros.

Para Kaspersky, uno de los mensajes más importantes de la investigación es que una organización puede encontrarse comprometida mucho antes de detectar un incidente visible. La mera presencia de accesos corporativos, credenciales o bases de datos en la Dark Web supone una señal de riesgo que puede anticipar futuros ataques.

"La actividad que observamos en la Dark Web demuestra cómo el cibercrimen organizado ha evolucionado hasta convertirse en una economía estructurada. Los accesos, junto con los datos y las credenciales, se han convertido en mercancías, y las empresas que no supervisan activamente qué información sobre ellas se está compartiendo o comercializando en estos mercados corren el riesgo de que sus activos más sensibles queden expuestos o sean utilizados por terceros sin siquiera saberlo", señala João Brandão, analista de Kaspersky Digital Footprint Intelligence.

La compañía defiende la monitorización continua de estos espacios para identificar activos comprometidos, detectar filtraciones y actuar antes de que la información sea utilizada por ciberdelincuentes.