El equipo de Kaspersky Digital Footprint Intelligence ha analizado la actividad de los ciberdelincuentes dirigida a usuarios y organizaciones españoles durante la primera mitad de 2026. La investigación revela que millones de cuentas comprometidas vinculadas a usuarios españoles y más de un centenar de bases de datos filtradas relacionadas con organizaciones españolas han sido identificadas en foros de la Dark Web, lo que demuestra cómo los datos y las credenciales robadas se han convertido en activos valiosos para los ciberdelincuentes.

El análisis ha identificado tres grandes categorías de amenazas que afectan a España:
· Cuentas de usuarios y credenciales comprometidas.
· Ofertas de acceso inicial dirigidas a organizaciones españolas.
· Distribución y venta de datos corporativos comprometidos.

Según los datos de Kaspersky Digital Footprint Intelligence, 2.698.517 cuentas relacionadas con usuarios españoles fueron identificadas en filtraciones de datos, incluidos registros de infostealers, conjuntos de datos modificados derivados de infostealers y combolists entre enero y junio de 2026.

Los ciberdelincuentes no solo comercian con credenciales robadas, sino que también atacan entornos corporativos e información empresarial sensible, lo que demuestra cómo los accesos y los datos se han convertido en activos valiosos dentro de los mercados clandestinos. Además, durante la primera mitad de 2026 se identificaron 104 bases de datos filtradas relacionadas con recursos españoles, ofrecidas en foros de la Dark Web ya fuera para su venta o distribución gratuita, lo que refleja la magnitud del mercado clandestino de información empresarial comprometida.

Las credenciales robadas impulsan la actividad de los ciberdelincuentes

Uno de los principales hallazgos del análisis es el volumen de cuentas comprometidas vinculadas a usuarios españoles. Kaspersky identificó 230.854 cuentas comprometidas incluidas en registros de infostealers, centrándose en aquellas cuentas de usuario cuyo correo electrónico de inicio de sesión incluía el dominio “.es”. Estos registros suelen contener información extraída de dispositivos infectados, incluidas credenciales almacenadas en navegadores y otros programas instalados.

La investigación también identificó 573.175 cuentas comprometidas incluidas en listas URL:LOGIN:PASSWORD (ULP), que combinan datos extraídos de diferentes fuentes, y 1.894.488 cuentas comprometidas incluidas en combolists, colecciones de credenciales filtradas agrupadas según diferentes características.

Estos resultados demuestran que los ciberdelincuentes siguen recurriendo a las credenciales robadas como un elemento clave de sus operaciones, utilizándolas para acceder a servicios, comprometer cuentas y facilitar nuevos ataques.

Más allá de las credenciales comprometidas, los ciberdelincuentes también comercian directamente con datos corporativos españoles. Las 104 bases de datos filtradas identificadas durante el mismo periodo se encontraron en foros de la Dark Web con suficiente detalle, como el nombre de dominio, el nombre de la empresa o una referencia explícita al país de la organización, para confirmar que pertenecían a organizaciones españolas, lo que pone de manifiesto cómo la información corporativa se ha convertido en un activo valioso dentro de los mercados clandestinos.

«La actividad que observamos en la Dark Web demuestra cómo el cibercrimen organizado ha evolucionado hasta convertirse en una economía estructurada. Los datos, los accesos y las credenciales se han convertido en mercancías, y las empresas que no supervisan activamente qué información sobre ellas se está compartiendo o comercializando en la Dark Web corren el riesgo de que sus activos más sensibles queden expuestos o sean vendidos sin siquiera saberlo», comenta João Brandão, Analista de Kaspersky Digital Footprint Intelligence.

La visibilidad como clave para defenderse frente a las amenazas ocultas

La actividad de los ciberdelincuentes suele comenzar mucho antes de que un ataque alcance la infraestructura de una organización. Al monitorizar las mismas fuentes que utilizan los atacantes, las empresas pueden identificar activos expuestos, credenciales comprometidas y riesgos potenciales antes de que se conviertan en incidentes. Kaspersky Digital Footprint Intelligence ayuda a las organizaciones a obtener visibilidad sobre su exposición externa mediante:
· Gestión de la superficie de ataque (Attack Surface Management): identificación de recursos y servicios de red expuestos que podrían convertirse en posibles puntos de entrada.
· Monitorización de la Dark Web: detección de referencias y amenazas relacionadas con empresas, clientes y partners.
· Análisis de filtraciones de datos: identificación de credenciales comprometidas de empleados, partners y clientes.
· Detección de amenazas: monitorización de actividades fraudulentas que podrían dañar la reputación o engañar a los clientes.
· Monitorización de marca: detección del uso no autorizado de marcas corporativas, perfiles falsos, aplicaciones fraudulentas o páginas de phishing.

Al combinar la visibilidad externa con una monitorización proactiva, las organizaciones pueden comprender mejor cómo ven los atacantes su huella digital y reducir los puntos ciegos antes de que sean explotados. Más información disponible en la web de Kaspersky Digital Footprint Intelligence.