La IOCTA 2025 de Europol, titulada Steal, Deal and Repeat, advierte que el robo de datos personales constituye «una amenaza significativa». Según el informe, la información comprometida posee «un alto valor para una amplia gama de actores criminales». Esos datos se explotan tanto como insumo para fraudes y extorsiones como, literalmente, como mercancía para vender en mercados clandestinos. La demanda de esta “mercancía” digital no deja de crecer: Europol alerta que su tráfico ilícito «contribuye a la desestabilización de las economías legítimas y a la erosión de la confianza en las instituciones».
¿Cómo obtienen los datos personales?
Los cibercriminales combinan métodos técnicos con engaños a las personas. La IOCTA explica que emplean «una variedad de técnicas para acceder y robar datos personales, explotando tanto vulnerabilidades del sistema como fallos humanos». En la práctica, esto incluye:
- Ingeniería social: campañas de engaño que explotan la confianza humana. La IOCTA destaca que la ingeniería social «destaca como una técnica particularmente prevalente». Ejemplos típicos son el phishing (correos o mensajes falsos que inducen a la víctima a descargar malware o entregar sus credenciales) y el vishing (llamadas fingiendo ser un banco o empresa de soporte para que el usuario revele contraseñas).
- Malware especializado: software malicioso creado para robar información. Destacan los infostealers, que extraen contraseñas, cookies y otros datos sensibles del dispositivo. Europol documenta casos como el infostealer Lumma, que infectó cerca de 394.000 ordenadores y servía de mercado negro de credenciales robadas. Estos malwares se propagan por correos electrónicos infectados, publicidad web maliciosa (SEO poisoning) o extensiones contaminadas.
- Debilidades internas: a veces la brecha proviene de dentro. Los delincuentes pueden sobornar o reclutar empleados para que sustraigan información o instalen puertas traseras en los sistemas corporativos. Incluso crean perfiles falsos para conseguir empleo en una empresa y, desde ahí, comprometer la red.
- Fallos técnicas y exploits: los Initial Access Brokers (IAB) escanean vulnerabilidades conocidas en servidores, redes y servicios públicos. Con estos fallos ejecutan código malicioso remotamente o interceptan datos internos (ataques man-in-the-middle). También apuntan a sitios web de comercio electrónico: inyectan código (skimming digital) en pasarelas de pago para capturar datos de tarjetas bancarias al abonarse.
- Ataques de fuerza bruta y sesión: por último, usan ataques de fuerza bruta para adivinar contraseñas usando diccionarios o bases de datos filtradas. También pueden capturar y reutilizar cookies o tokens de sesión legítimos para acceder a cuentas sin necesidad de la contraseña original.
El comercio ilícito de datos
Una vez robados, los datos personales entran en un mercado negro global. Europol describe plataformas clandestinas (principalmente en la dark web) donde se oferta casi cualquier información personal o herramienta delictiva. Las “mercancías” digitales incluyen:
- Registros sin procesar de infostealers y grandes filtraciones de datos (logs de contraseñas, historiales de navegación, etc.).
- Listas de números de tarjetas de crédito comprometidas (datos verificados tras ataques de skimming).
- Credenciales (usuario/contraseña) de servicios web diversos: correo electrónico, redes sociales, tiendas en línea, sitios de contenido para adultos, etc.
- Servicios criminales a la carta: suscripciones a kits de phishing, exploit kits, infostealers “a demanda”, VPNs anónimas, servidores bulletproof, redes de proxies residenciales, manuales de OpSec y cursos de fraude online, entre otros.
- Mercados automatizados (“carritos de compra”): sitios web donde el delincuente elige lotes de datos (por ejemplo, tarjetas bancarias) y los adquiere al instante.
Estos mercados clandestinos están organizados en foros especializados. Algunos se centran en un tipo de dato (p.ej. solo tarjetas bancarias), mientras que otros son generales. Además, se complementan cada vez más con canales cifrados de mensajería. Europol observa que los data brokers diversifican sus canales y utilizan aplicaciones con cifrado de extremo a extremo (E2EE) para negociar ventas de datos robados. De hecho, se han detectado grupos privados donde los delincuentes comparten información personal de sus víctimas (incluso casos de explotación infantil) con otros malhechores, multiplicando el poder de extorsión .
Inteligencia artificial y cifrado: herramientas del delito
Dos tendencias tecnológicas están potenciando este panorama. Por un lado, la inteligencia artificial generativa: Europol señala que la adopción de modelos avanzados de lenguaje «está mejorando la eficacia de las técnicas de ingeniería social». En la práctica, los atacantes usan IA para generar correos y mensajes de phishing muy personalizados, ajustando el lenguaje al perfil cultural de la víctima.
Estudios recientes citados en el informe muestran que esos correos falsos creados con IA obtienen tasas de clic muy superiores (p.ej. ~54%) a las de un phishing escrito manualmente (12%). La IA también facilita la creación de deepfakes: puede imitar voces en ataques de fraude telefónico (BEC/CEO Fraud) y generar perfiles falsos masivos en redes sociales para engañar a las personas.
Por otro lado, el cifrado de extremo a extremo (E2EE) complica la tarea policial. Si bien protege la privacidad legítima, los delincuentes aprovechan apps cifradas para cerrar tratos sin vigilancia externa. Europol destaca que muchas transacciones de datos robados ya se realizan en chats privados cifrados. En su conclusión, el informe propone incluso «establecer el acceso legal por diseño a las comunicaciones E2EE» , buscando un equilibrio entre la privacidad del usuario y las necesidades de investigación.
Actores y estructura del ecosistema delictivo
Europol identifica varios perfiles en este ecosistema criminal:
- Initial Access Brokers (IAB): especializados en infiltrarse en redes corporativas y vender esos accesos en foros ilícitos. Ofrecen servicios como cuentas RDP, VPN o backdoors ya comprometidos.
- Data brokers y defraudadores financieros: roban y comercian con bases de datos masivas, especialmente información bancaria. Suelen ser clientes habituales de kits de phishing o ataques skimming. Los datos así obtenidos (tarjetas, cuentas, etc.) se venden en mercados dedicados.
- Grupos de ransomware y estafadores generales: no roban directamente datos, pero compran credenciales y accesos para lanzar sus ataques (por ejemplo, cifrando redes completas o ejecutando fraudes bancarios). Se alimentan del mercado de datos como parte de su cadena delictiva.
- Delincuentes de nicho: incluyen estafadores románticos y abusadores sexuales online. Ellos recaban información personal para extorsionar directamente a sus víctimas, sin necesidad de venderla. Europol ha detectado canales cifrados donde comparten públicamente datos de objetivos para aumentar la presión colectiva sobre las víctimas.
- Actores avanzados (APT y mafias tecnológicas): grupos muy sofisticados que también participan en este comercio. No publicitan en la web oscura, sino que negocian entre ellos vulnerabilidades inéditas (día cero) y accesos de alto valor de forma privada, a cambio de un porcentaje de lo obtenido. En resumen, el mercado del dato robado integra a quien consigue la información, a quien ofrece herramientas (malware, plataformas) y a quien la usa para delinquir, formando una red global adaptativa.
Recomendaciones de ciberseguridad
Ante esta amenaza, Europol insiste en promover la alfabetización digital para que la sociedad reconozca fraudes y gestione mejor sus datos personales. En la práctica, se recomiendan medidas como:
- Para ciudadanos y usuarios: emplear contraseñas únicas y robustas; activar la autenticación de varios factores (2FA) siempre que sea posible; mantener actualizados dispositivos y software; usar soluciones antivirus. Desconfiar de enlaces o archivos sospechosos en correos y mensajes; verificar siempre el remitente. Revisar las opciones de privacidad en redes sociales y limitar la información personal compartida.
- Para empresas y organizaciones: establecer políticas de seguridad informática rigurosas. Formar al personal para detectar phishing y otros engaños. Segmentar y cifrar las redes corporativas; restringir permisos de acceso según necesidad; hacer copias de seguridad periódicas de datos críticos; aplicar parches de seguridad de inmediato. Monitorizar la red para detectar actividades anómalas y contar con planes de respuesta ante incidentes (incluyendo reporte a las autoridades).
- Para gobiernos e instituciones: fortalecer marcos legales de protección de datos y ciberseguridad. Promover la cooperación internacional entre fuerzas de seguridad contra redes criminales transnacionales. Impulsar campañas de concienciación pública (p.ej. talleres de ciberseguridad en colegios). Armonizar normativas sobre conservación de metadatos y prever mecanismos legales de acceso a comunicaciones cifradas (por ejemplo, según la propuesta de «acceso legal por diseño» de Europol). Fomentar la colaboración público-privada para compartir información sobre amenazas y buenas prácticas.
La protección de los datos personales es tarea de todos. Mantener la precaución en línea, aplicar buenas prácticas de seguridad y apoyar las iniciativas de las autoridades y empresas tecnológicas contribuirá a frenar el lucrativo comercio ilegal de información personal y a hacer la red más segura para la sociedad.
Fuente consultada: Informe IOCTA 2025 – Steal, Deal and Repeat de Europol.
