La dark web es la parte de internet a la que un navegador común no llega. Sus sitios viven dentro de redes de anonimato como Tor, usan direcciones .onion en lugar de .com y no aparecen en los buscadores. Es una capa pequeña y difícil de medir, y no es ilegal en sí misma.
También es donde los datos robados a una empresa se convierten en un producto. En el reporte State of Attacks 2026 de Fluid Attacks, con pruebas de seguridad realizadas entre el 1 de enero y el 31 de diciembre de 2025, la debilidad “Sensitive information in source code - Credentials” apareció en el 37,4 % de los sistemas que evaluamos, en 7.791 instancias. Más de un tercio de las aplicaciones que probamos estaba publicando credenciales escritas dentro del código.
Esta página cubre qué es la dark web, en qué se diferencia de la deep web, cómo se llega a ella, qué se comercia ahí y qué puede hacer tu organización al respecto, incluido dónde empieza y dónde termina nuestro propio alcance.
¿Qué es la dark web?
La dark web es un conjunto de sitios y servicios a los que solo se llega con software diseñado para el anonimato, casi siempre la red Tor. Un sitio publicado así no resuelve en un navegador normal, no está indexado y oculta la ubicación física del servidor que lo aloja. El acceso exige un cliente específico, no una contraseña.
Estar oculto es el diseño, no el delito. El Servicio de Estudios del Parlamento Europeo, en su informe de abril de 2026 Understanding the dark web, la describe como una capa que “while not unlawful in itself” —sin ser ilegal en sí misma— “does contain websites providing access to illegal content and services”. El mismo informe señala que existen “legitimate and appropriate reasons for accessing the dark web” y menciona a “activists and whistleblowers avoiding identification”.
Lo que la dark web no es: una fracción medible de internet. Cifras como “4 %” o “menos del 1 %” circulan por todas partes, casi siempre sin un método detrás. El informe del Parlamento Europeo evita dar un número y la llama “a small but significant dark layer”, que es el encuadre que se sostiene: nadie tiene el índice, así que nadie puede medirla.
Para un equipo de seguridad, la definición útil es más estrecha. La dark web es el canal de distribución al final de una brecha: el lugar donde credenciales, registros de clientes y documentos internos se listan, se tasan y se revenden después de salir de tus sistemas.
La dark web, la deep web y la clear web no son lo mismo
La deep web es todo lo que un buscador no indexa: tu correo, la vista de tu cuenta bancaria, una wiki interna, un documento detrás de un inicio de sesión. La dark web es un subconjunto mucho más pequeño, definido por cómo se accede a él y no por si está indexado. Tu bandeja de entrada está en el primer grupo. No es dark web.
La distinción importa porque los dos términos se usan como sinónimos en la cobertura de brechas, y la confusión cambia lo que el lector entiende. “Tus datos aparecieron en la deep web” podría describir una base de datos desprotegida. “Tus datos fueron listados en la dark web” significa que alguien los puso a la venta.
Capa | Cómo se llega | La indexan los buscadores | Ejemplo típico |
|---|---|---|---|
Clear web | Cualquier navegador, sin credenciales | Sí | Una página pública de producto |
Deep web | Cualquier navegador, más un inicio de sesión o un enlace directo | No | Correo web, una wiki interna, un archivo con muro de pago |
Dark web | Un cliente dedicado como Tor | No | Un mercado o un sitio de filtraciones |
Las tres capas se diferencian por el método de acceso, no por qué tan sensible es su contenido.
Una corrección más que vale la pena hacer: una dirección .onion no es la versión oscura de un nombre de dominio. Es un identificador criptográfico derivado de la clave pública del servicio, y por eso esas direcciones parecen cadenas aleatorias y ningún registrador las controla.
Cómo se accede a la dark web
A la dark web se llega con un cliente que enruta el tráfico por relés operados por voluntarios. El navegador Tor es el más conocido; I2P e Hyphanet (antes Freenet) son alternativas más pequeñas. Todos son gratuitos, e instalar uno no es un delito en ningún lugar donde el navegador mismo sea legal.
El onion routing, la idea sobre la que Tor está construido, empezó a mediados de los noventa con investigadores del US Naval Research Lab; el software de Tor se desplegó por primera vez en octubre de 2002. Hoy el Proyecto Tor describe el navegador diciendo que “aísla cada sitio web que visitas”, que “tu tráfico se reenvía y cifra tres veces” al pasar por la red y que “intenta que todos los usuarios parezcan iguales”.
Lee esa redacción con atención, porque promete menos de lo que afirma la mayoría de los artículos. Tor está hecho para que sea difícil enlazar una persona, una ubicación y una actividad. No promete que ese vínculo nunca se pueda hacer, y la desanonimización por fallas del navegador, compromiso del dispositivo o error del usuario sigue siendo posible. Trata a Tor como una herramienta de privacidad fuerte y con límites reales, no como una garantía.
Esa tensión —tecnología de privacidad que sirve a investigadores y a criminales con el mismo código— es un tema recurrente en la comunidad de seguridad. Al reportar la DEF CON 33, Simon Correa, Head of Research de Fluid Attacks, presentó una charla del cofundador del Proyecto Tor, Roger Dingledine, describiéndola como una sesión sobre “una herramienta muy utilizada en relación con la dark web, o más precisamente a privacidad y anonimato”. El propio evento corrió sus sitios sobre Tor y mantuvo una opción de entrada en efectivo para registrarse sin entregar datos personales.
Encontrar algo una vez que estás ahí es otro problema. La búsqueda en la dark web es mala, las direcciones cambian y los sitios caen sin aviso. El descubrimiento pasa por directorios de enlaces y foros cerrados, que es también la razón por la que el acceso a los mejores mercados suele estar limitado por invitación o reputación.
La dark web y Fluid Attacks
No operamos en la dark web. Trabajamos en el otro extremo de la cadena: la aplicación, el repositorio y el pipeline donde los datos todavía son tuyos. Todo lo que sigue sale de nuestras propias pruebas.
De dónde salen los datos
La mayoría de lo que termina listado para la venta se escapa por un grupo reducido de debilidades recurrentes. La más clara en nuestros datos de 2025 son las credenciales escritas en el código fuente. Nuestro catálogo de debilidades describe sensitive information in source code como un repositorio que “contains sensitive information such as usernames, passwords, email addresses and IP addresses”, y en el reporte State of Attacks 2026 esa debilidad alcanzó el 37,4 % de los sistemas evaluados, con 7.791 instancias y 877.409 unidades CVSSF de exposición al riesgo. En el reporte completo registramos 1.119.396 vulnerabilidades y 27.440.146 unidades CVSSF, con una media de 1.266 vulnerabilidades por sistema.
[IMAGEN 1] — dark-web-credentials-source-code.png
ALT (73 car.): Credenciales en código fuente afectaron al 37,4 % de los sistemas en 2025
Caption: Más de un tercio de los sistemas que evaluamos en 2025 llevaba credenciales escritas en el código fuente.
La segunda vía es business information leak, donde una aplicación expone listas de usuarios, registros de empleados, datos de clientes o de proveedores a alguien que no debería verlos. Ninguna de las dos debilidades exige un atacante sofisticado. Las dos producen exactamente el material que se vende.
Qué hacemos al respecto
Nuestro producto Secret Scanning busca secretos hardcodeados —claves de API, contraseñas, tokens— en código, archivos de configuración e infraestructura como código, y corre tanto en local vía CLI como dentro de CI/CD. Cuando aparece un secreto, el CI Gate puede impedir que el cambio llegue a producción: “With the strict flag in our CI Gate, the scan can fail the pipeline when secrets are found.”
[IMAGEN 2] — dark-web-weakness-009.png
ALT (74 car.): Ficha de información sensible en código fuente del catálogo de debilidades
Caption: La debilidad que deja credenciales dentro de un repositorio, documentada en nuestro catálogo público.
Cada hallazgo enlaza de vuelta a nuestra base de datos de vulnerabilidades, que empareja cada debilidad con ejemplos de código seguro en más de 20 lenguajes de programación y con requisitos de seguridad mapeados a más de 60 estándares. El punto es que quien encuentra una clave filtrada recibe el arreglo y el control, no solo una alerta.
Extorsión, no solo reventa
Vender datos es un modelo de negocio. Amenazar con publicarlos es otro, y los operadores de ransomware usan los dos. Cuando analizamos Babuk Locker en 2021, la nota de rescate que dejaba en las carpetas cifradas llevaba un enlace a una página Tor donde se esperaba que las víctimas negociaran, y los operadores advertían que podían filtrar los archivos robados en la dark web, concretamente en un foro de hackers, si no había acuerdo.
Eso cambia el cálculo para un equipo de seguridad. Restaurar desde backup responde al cifrado. No hace nada contra la copia que ya está en manos ajenas, y por eso prevenir la exfiltración importa más que planear la recuperación.
Dónde termina nuestro alcance
Nuestras pruebas cubren tus aplicaciones, tu nube y tu cadena de suministro. No se extienden a monitorear mercados ni foros de la dark web, y vale la pena decirlo claro, porque los dos trabajos están en lados opuestos del mismo evento.
Una vez que el dato está publicado, ningún escáner lo retira. El secret scanning encuentra la clave que está en tu repositorio; no alcanza la copia que ya circula. Cuando se confirma que una credencial quedó expuesta, las respuestas que funcionan son rotación, revocación y una revisión de a qué daba acceso. Los servicios de monitoreo de dark web te avisan de que la exposición ocurrió, lo cual tiene valor real para respuesta a incidentes, solo que no el mismo valor que la exposición no ocurra. Saber cuál de los dos estás comprando es la parte que conviene tener clara.
Qué se encuentra en la dark web y de dónde salió
Los datos robados son la mercancía principal de la dark web, y un mercado clandestino se entiende mejor como su escaparate. Europol hace de eso el argumento central de Steal, deal and repeat, su informe IOCTA de 2025, donde la infraestructura digital “and the data within it have become prime targets” y los datos funcionan “serving both as a target and an enabler in the cybercrime threat landscape”. Un registro rara vez es el final de un ataque. Es el insumo del siguiente.
Las publicaciones en sí son anodinas en la forma y específicas en el contenido: volcados de credenciales, lotes de tarjetas de pago, documentos de identidad, accesos corporativos. Nuestra propia investigación de brechas muestra el patrón repitiéndose a lo largo de una década. Los 117 millones de pares de correo y contraseña de LinkedIn se vieron a la venta en la dark web. La brecha de Wattpad, que afectó a más de 270 millones de usuarios, se vendió ahí por 10 bitcoins. Y en julio de 2020 el grupo ShinyHunters liberó más de 386 millones de registros de usuarios robados a 18 empresas en un foro de hackers, gratis, que es su propia advertencia: no todo volcado tiene precio.
Qué se publica | Debilidad de la que suele salir | Dónde lo detectaríamos |
|---|---|---|
Volcados de credenciales | Secret scanning en el repositorio y el pipeline | |
Registros de empleados y clientes | Pentesting manual contra la aplicación en ejecución | |
Accesos de cuenta funcionando | Revisión de autenticación durante la evaluación | |
Intentos masivos de inicio de sesión que los producen | Pruebas de límite de tasa y bloqueo |
Las autoridades llegan a la dark web, despacio y de vez en cuando. El registro del FBI sobre el portátil de Ross Ulbricht explica cómo operó “a darknet market called the Silk Road from 2011 to 2013”, accesible solo por Tor, hasta que los agentes incautaron la máquina el 1 de octubre de 2013; fue condenado a cadena perpetua en 2015. Más recientemente, la agencia reporta que “spanning 20 countries, Operation Shrouded Horizon has dismantled an online criminal forum”. Los desmantelamientos funcionan. También tardan años, y los vendedores reaparecen.
Cómo se usan los datos robados en tu contra
Una contraseña filtrada rara vez se queda dentro del servicio que la perdió. Los atacantes reutilizan credenciales en sitios sin relación entre sí, y la técnica tiene nombre: credential stuffing. Como lo pone ese artículo, “Lists of user/password pairs are stolen from various places on the Internet” y “those mountains of information are then offered and sold in the ‘dark web.’” La dark web pone la materia prima; la automatización hace el resto.
Las consecuencias caen sobre empresas que nunca sufrieron una brecha. Más de 6.000 cuentas de Norton LifeLock se vieron comprometidas en una campaña de credential stuffing que cubrimos en 2023, usando credenciales previamente expuestas contra un servicio que no las había filtrado. Algunos gestores de contraseñas hoy revisan colecciones de filtraciones, y unos pocos consultan fuentes de la dark web directamente, para avisar si una contraseña guardada ya apareció en alguna. Eso ayuda a reaccionar. No deshace la exposición.
La escala es donde la cobertura periodística suele perder el hilo. La “Mother of All Breaches” que analizamos se reportó como más de 26.000 millones de registros, y nuestra lectura fue que el hallazgo “looks more like a database of multiple data breaches”: una recopilación, no un incidente nuevo, con duplicados, cuentas muertas y entradas ya divulgadas años antes. Un conteo de registros no es un conteo de personas, y tratar una recopilación como una brecha fresca infla la amenaza y esconde la pregunta que importa. Para un equipo de seguridad, la pregunta práctica sobre credenciales filtradas nunca es cuántos registros hay en la dark web. Es cuáles de los tuyos todavía abren una puerta.
Cómo mantener tus datos fuera de la dark web
La prevención ocurre antes de que exista la publicación. Cuatro controles cargan con casi todo el peso, y ninguno implica vigilar un mercado de la dark web.
Escanea secretos de forma continua y bloquea con ellos: encuentra secretos hardcodeados en código e infraestructura como código en cada cambio, y rompe la compilación cuando el escaneo dé con uno. Una clave que nunca llega a un repositorio nunca llega a la dark web.
Rechaza credenciales que ya están quemadas: la weak credential policy de nuestro catálogo cubre sistemas que no rechazan credenciales “weak, word-based, previously breached, or context-specific” —incluida cualquier contraseña ya publicada en una filtración— o que permiten compartirlas entre cuentas.
Limita los intentos de autenticación: lack of protection against brute force attacks describe sistemas sin defensa “against automated attacks designed to guess credentials”, el mismo hueco que explota el credential stuffing.
Rota por sospecha, no por confirmación: para cuando la exposición se confirma, las credenciales filtradas ya llevan ventaja.
La automatización sola no te lleva ahí. En el benchmark de Fluid Attacks de 36 herramientas de AppSec de terceros contra un objetivo con 1.201 vulnerabilidades en 105 categorías CWE, un pentester encontró 1.076 de ellas —89,6 % de recall con 100 % de precisión—, mientras que la mejor automatizada, nuestro propio escáner, llegó al 22,7 % de recall. En los datos del State of Attacks 2026, el 87 % de las vulnerabilidades de severidad crítica se identificó por revisión manual. Las exposiciones que terminan en la dark web son con frecuencia las que un escáner por sí solo no ve, y por eso el pentesting pertenece al mismo programa que el escaneo.
Conclusiones
La dark web es una capa de transporte y distribución, no un villano. Es pequeña, deliberadamente no indexada, alcanzable con software gratuito, y la usan periodistas, bandas de ransomware e investigadores con el mismo código. Tratar la dark web como un lugar en vez de como el final de un proceso lleva a las organizaciones a comprar monitoreo de un mercado sobre el que no pueden influir.
La parte que sí controlas está río arriba. Credenciales en un repositorio, un flujo de autenticación sin límite de intentos, un endpoint que devuelve más de lo que debería: esos son los insumos. Nuestras pruebas de 2025 encontraron credenciales en el código fuente en más de un tercio de los sistemas que evaluamos, lo que significa que el camino más común hacia una publicación en la dark web es también de los más prevenibles.
Preguntas frecuentes
¿Qué es la dark web en términos simples?
La dark web es un grupo de sitios web que solo abren con software diseñado para el anonimato, como el navegador Tor. Esos sitios usan direcciones .onion en lugar de nombres de dominio comunes, ocultan la ubicación de sus servidores y nunca aparecen en los resultados de búsqueda. Usar el software es legal en la mayoría de los países; parte de la actividad a la que da acceso no lo es.
¿La dark web y la deep web son lo mismo?
No. La deep web es todo lo que los buscadores no indexan: tu correo web, tu banca en línea y cualquier página detrás de un inicio de sesión, contenido ordinario al que llegas con un navegador ordinario. La dark web es un subconjunto mucho más pequeño que necesita un cliente específico, como el navegador Tor, para abrirse siquiera. Todo sitio de ese tipo pertenece a la deep web; casi nada de la deep web es dark web.
¿Es ilegal acceder a la dark web?
Acceder no es ilegal en sí mismo en la mayoría de las jurisdicciones, y el Servicio de Estudios del Parlamento Europeo la describe como una capa que, sin ser ilegal por sí misma, aloja contenido ilegal junto a usos legítimos como el de activistas y denunciantes que evitan ser identificados. Lo ilegal es lo que algunas personas hacen ahí: comerciar datos robados o encargar ataques.
¿Cómo terminan los datos de mi empresa en la dark web?
Normalmente por una debilidad que los expuso mucho antes de que fueran publicados. En el reporte State of Attacks 2026 de Fluid Attacks, con pruebas de todo 2025, las credenciales escritas en el código fuente aparecieron en el 37,4 % de los sistemas evaluados, en 7.791 instancias. Otras vías comunes son la información de negocio expuesta, las políticas de credenciales débiles y los endpoints de autenticación sin protección contra adivinación automatizada.
¿Se puede eliminar tu información de la dark web?
No. Una vez que un conjunto de datos se publica o se vende, las copias se dispersan más allá del control de cualquier operador y ningún servicio puede retirarlas. Lo que sí puedes hacer es reducir el valor del dato: rotar y revocar las credenciales expuestas, habilitar autenticación multifactor, dejar de reutilizar contraseñas entre servicios y revisar a qué daba acceso la credencial comprometida.
¿Fluid Attacks monitorea la dark web?
No. Nuestras pruebas trabajan sobre tus aplicaciones, tu nube y tu cadena de suministro, donde el dato todavía es tuyo: detectamos secretos hardcodeados antes de que lleguen a producción, probamos la autenticación contra fuerza bruta y reutilización de credenciales, y reportamos los hallazgos con la guía de remediación para cerrarlos. Prevenimos la filtración en vez de vigilar el mercado que viene después.
Mantén tus credenciales fuera del mercado
Nuestros escáneres y pentesters revisan tu código, tus pipelines y tus aplicaciones en ejecución para que los secretos expuestos aparezcan mientras todavía son tuyos para rotarlos, y no después de que lleguen a la dark web. Prueba gratuita · Contáctanos.
Empieza ya con la solución de RBVM de Fluid Attacks
