El mercado clandestino en Rusia ha cambiado sus prioridades: en lugar de vender bases de datos masivas, robadas a corporaciones, los delincuentes ahora comercian con acceso activo y a corto plazo a las cuentas de los usuarios. El costo de la información interceptada por programas maliciosos directamente desde ordenadores y teléfonos infectados ha aumentado casi un 13% en el último año. Esto fue informado por expertos de BI.ZONE a mediados de agosto de 2026. La proporción de usuarios rusos en este segmento alcanza del 14% al 18%.
A diferencia de los archivos obsoletos, los nuevos conjuntos contienen herramientas para la penetración instantánea en el entorno digital de una persona. En tales paquetes se encuentran:
- tokens de sesiones activas que permiten iniciar sesión en el sistema sin ingresar una contraseña;
- contraseñas vigentes y accesos directos al correo electrónico;
- credenciales de servicios VPN y almacenamiento en la nube;
- accesos administrativos a redes corporativas.
Un archivo minorista con información obsoleta se valora en solo $10–15. Sin embargo, una suscripción a un canal cerrado con descarga diaria de datos frescos cuesta a los delincuentes entre $250 y $300 al mes. El mercado está dispuesto a pagar por la actualidad, no por el volumen.
Las estadísticas oficiales crean una ilusión de control total sobre la situación. En 2024, Roskomnadzor registró 135 casos de difusión de bases que contenían más de 710 millones de registros sobre rusos. Tras la introducción de sanciones estrictas, la cantidad de nuevos conjuntos masivos efectivamente disminuyó. Según datos de investigadores de Smart Business Alert, publicados por "Kommersant" el 13 de julio de 2026, en el primer semestre de 2026 se descubrieron solo 54 bases de datos actualizadas con aproximadamente 24.3 millones de registros.
El Estado castiga con éxito a las empresas por filtraciones desde almacenamientos centralizados. Desde mayo de 2025, se prevé una multa administrativa por reincidencia. En el año y medio transcurrido desde el 1 de enero de 2025, el organismo realizó 52 investigaciones administrativas e impuso multas por un total de 2.6 millones de rublos, sin detectar reincidencias. Así lo declaró el subdirector de Roskomnadzor, Milosh Wagner, el 14 de agosto de 2026. Sin embargo, esta medida es impotente contra el nuevo modelo de amenazas. El software malicioso roba información después de que esta ha salido del perímetro protegido de la empresa y ha llegado al dispositivo personal de la persona. Formalmente, la base de datos de la organización no sufre, y el mecanismo regulatorio simplemente no se activa.
Vulnerabilidad de la infraestructura corporativa
La interceptación de datos en el dispositivo final permite eludir la protección de múltiples capas. Un token robado de una sesión activa a menudo otorga la posibilidad de iniciar sesión en el sistema sin reautenticación e ignorar la verificación en dos pasos. En la primera mitad de 2026, 6 de cada 10 ataques web estudiados por especialistas estuvieron dirigidos precisamente a obtener claves para penetrar en la infraestructura interna de las empresas. Un ordenador infectado de un empleado puede convertir una red protegida en un recurso abierto, lo que explica la alta demanda de datos frescos.
Una brecha similar entre las intenciones del regulador y la realidad se observa en el ámbito de la telefonía. Desde el 1 de septiembre de 2025, las llamadas de organizaciones deben ir acompañadas del nombre del remitente y su categoría. Sin embargo, ya el 27 de enero de 2026, los operadores de la "gran cuarteta" dejaron de mostrar la etiqueta "banco" en las llamadas de Sberbank, VTB y Alfa-Bank debido a la falta de contratos para el servicio de etiquetado. Esto fue reportado por RBC. Posteriormente, estas entidades crediticias, junto con Sovcombank, propusieron cambiar las reglas de las llamadas masivas, considerando parte de los requisitos excesivamente complejos de cumplir.
Esta situación no indica una conexión entre el marketing legal y la ciberdelincuencia. Demuestra que incluso los mayores participantes del mercado, interesados en la confianza de los clientes, enfrentan la incomodidad de las nuevas reglas de infraestructura. El usuario se ve obligado a lidiar por sí mismo con el flujo de ofertas comerciales, advertencias e intentos fraudulentos que llegan a través de los mismos canales.
Los reguladores rusos han hecho que la filtración masiva de bases de datos sea económicamente desventajosa para las empresas. Los grupos delictivos se han adaptado, cambiando a la extracción puntual de claves de acceso activas. Un ataque de este tipo existe en el espacio intermedio entre el perímetro corporativo y el dispositivo personal, donde los mecanismos de responsabilidad administrativa no funcionan. A medida que las operaciones se trasladan al formato remoto, el valor del token de corta vida, que abre acceso a varios servicios simultáneamente, solo aumentará, dejando esta zona de vulnerabilidad fuera del alcance de las normas de protección existentes.
Opinión de la IA
Desde el punto de vista del análisis de datos por máquina, el actual giro del mercado clandestino en Rusia repite un escenario ya vivido por la ciberdelincuencia mundial hace varios años. Un modelo similar fue ofrecido por el mercado darknet Genesis Market: tokens de sesión, "huellas digitales" del navegador y eludir la verificación en dos pasos; esta plataforma fue desmantelada en abril de 2023 por Europol y las fuerzas del orden de 17 países, deteniendo a más de un centenar de compradores. La experiencia internacional muestra: tales operaciones desplazan el punto de venta, pero no eliminan la fuente: la infección de dispositivos con infostealers continúa independientemente del destino de una plataforma específica, y rápidamente surgen nuevos canales para reemplazar los cerrados.
La situación también ilumina un riesgo estructural, quedado fuera del artículo: la demanda de datos "frescos" crea un incentivo para que los operadores de botnets mantengan la máquina infectada en funcionamiento el mayor tiempo posible, convirtiéndola en una fuente de ingresos constante, y no en un activo único para la venta. ¿Lograrán los reguladores desarrollar una herramienta para influir en esta capa intermedia entre el dispositivo personal y el perímetro corporativo, o permanecerá fuera de control?
end-content
