Los accesos a infraestructuras corporativas españolas se comercializan en la Dark Web desde 205 euros a precio fijo y 179 euros en subasta y pueden alcanzar los 12.900 euros a precio fijo, según el análisis de Kaspersky Digital Footprint Intelligence. La investigación muestra cómo los ciberdelincuentes han desarrollado un mercado especializado en la venta de accesos iniciales, donde diferentes actores pueden adquirir una puerta de entrada a organizaciones antes de lanzar ataques posteriores.

Durante la primera mitad de 2026, Kaspersky identificó 13 anuncios en la Dark Web que ofrecían acceso a infraestructuras corporativas españolas mediante protocolos remotos como RDP, SSH y VPN, así como mediante la explotación de vulnerabilidades de ejecución remota de código (Remote Code Execution, RCE).

El análisis muestra que este mercado opera mediante diferentes modelos de venta. El 69% de las publicaciones identificadas incluía un precio visible, y 5 de ellas ofrecían un precio fijo, con importes comprendidos entre 230 y 14.500 dólares (aproximadamente entre 205 y 12.900 euros).

Además, algunos accesos se comercializaban mediante subastas, con precios iniciales de entre 200 y 2.000 dólares (aproximadamente entre 179 y 1.787 euros) y precios de compra inmediata (blitz) de hasta 8.000 dólares (unos 7.150 euros).

La disponibilidad de estos accesos permite a otros ciberdelincuentes evitar las fases iniciales de identificación y explotación de vulnerabilidades, adquiriendo una entrada ya preparada hacia una organización.

De esta forma, la comercialización de accesos iniciales reduce las barreras técnicas para grupos que posteriormente pueden ejecutar ataques más complejos.

Paneles de administración y bases de datos robadas: un mercado igualmente activo

Más allá de los accesos a redes, Kaspersky también detectó 17 anuncios en la Dark Web que ofrecían acceso no autorizado a paneles de administración de tiendas online españolas, comercializados casi exclusivamente mediante subastas, con precios iniciales de entre 50 y 2.250 dólares (aproximadamente entre 45 y 2.010 euros) y precios de compra inmediata de hasta 5.000 dólares (aproximadamente 4.470 euros). Se trata de un mercado con un elevado nivel de transparencia, ya que el 94% de las ofertas mostraba un precio visible.

El comercio de los datos robados también es muy activo, aunque mucho menos transparente. Durante el mismo periodo, Kaspersky identificó 104 bases de datos pertenecientes a organizaciones españolas y solo el 16% de las publicaciones mostraba un precio visible, mientras que las 87 publicaciones restantes no indicaban ningún precio. En los casos en los que sí se indicaba un importe, los precios oscilaban entre 130 y 10.793,36 dólares (aproximadamente entre 116 y 9.655 euros), con un precio medio de 1.588,21 dólares (aproximadamente 1.421 euros).

Un mercado basado en la especialización del cibercrimen

La venta de accesos iniciales refleja la evolución del ecosistema criminal hacia modelos más especializados, donde diferentes actores cumplen funciones concretas dentro de la cadena de ataque.

Mientras algunos grupos se centran en comprometer sistemas empresariales, otros adquieren estos accesos para realizar actividades maliciosas posteriores. Esta división de tareas permite aumentar la velocidad y la escala de las operaciones.

«La actividad que observamos en la Dark Web demuestra cómo el cibercrimen organizado ha evolucionado hasta convertirse en una economía estructurada. Los accesos, junto con los datos y las credenciales, se han convertido en mercancías, y las empresas que no supervisan activamente qué información sobre ellas se está compartiendo o comercializando en estos mercados corren el riesgo de que sus activos más sensibles queden expuestos o sean utilizados por terceros sin siquiera saberlo», comenta João Brandão, analista de Kaspersky Digital Footprint Intelligence.

La venta de accesos en la Dark Web pone de manifiesto que una organización puede estar expuesta incluso antes de que se produzca un ataque visible. Monitorizar estos espacios permite detectar posibles riesgos, identificar activos comprometidos y actuar antes de que los atacantes utilicen esa información.

Kaspersky Digital Footprint Monitoring ayuda a las organizaciones a obtener visibilidad sobre su exposición externa mediante:

· Gestión de la superficie de ataque (Attack Surface Management): identificación de recursos y servicios expuestos que podrían convertirse en puntos de entrada.

· Monitorización de la Dark Web: detección de referencias y amenazas relacionadas con empresas, clientes y partners.

· Análisis de filtraciones de datos: identificación de credenciales comprometidas y otra información sensible.

· Detección de amenazas: monitorización de actividades fraudulentas.

· Monitorización de marca: detección de usos no autorizados de marcas, perfiles falsos o páginas fraudulentas.

Al combinar visibilidad externa y monitorización proactiva, las organizaciones pueden comprender mejor cómo ven los atacantes su superficie digital y reducir los puntos ciegos antes de que sean explotados.