Credenciales corporativas enriquecidas con inteligencia, malware por suscripción, exploits empaquetados y páginas ClickFix listas para usar reducen la barrera de entrada: para atacar una empresa ya no hace falta desarrollar demasiado. En muchos casos, alcanza con comprar.
Durante años, una de las imágenes más persistentes del ciberdelito fue la del atacante técnicamente sofisticado que desarrollaba sus propias herramientas, encontraba vulnerabilidades y ejecutaba personalmente cada etapa de una intrusión.
Esa imagen explica cada vez menos lo que ocurre detrás de muchos ataques.
El ecosistema clandestino está evolucionando hacia algo mucho más parecido a una cadena de suministro criminal, donde diferentes actores se especializan en obtener credenciales, vender accesos, desarrollar malware, conseguir víctimas, explotar vulnerabilidades o monetizar finalmente la intrusión.
Un nuevo estudio de BI.ZONE permite observar esa transformación desde adentro.
Sus equipos de Threat Intelligence y Digital Risk Protection analizaron más de 35.000 anuncios procedentes de más de 500 foros, mercados y chats cerrados para elaborar Threat Zone 2026: The Other Side, una radiografía de la economía clandestina vinculada al ciberdelito.
Los resultados muestran algo más importante que una colección de nuevas amenazas.
Muestran la industrialización del ataque.
El mercado clandestino no desaparece: se fragmenta
Las operaciones policiales, el cierre de grandes foros y el bloqueo de canales de Telegram pueden destruir comunidades concretas, pero no necesariamente el mercado que las sostiene.
Según BI.ZONE, vendedores y compradores están migrando hacia plataformas más pequeñas, chats cerrados, bots y operaciones privadas.
Es una transformación relevante.
Un mercado concentrado en unos pocos grandes sitios genera puntos claros de intervención. Una infraestructura distribuida entre cientos de comunidades pequeñas resulta considerablemente más difícil de observar y desarticular.
La resiliencia del ecosistema no depende entonces de que sobreviva determinado foro. Depende de que exista demanda, oferta y mecanismos alternativos capaces de conectarlas.
Y eso parece seguir funcionando.
Las credenciales robadas ya son una materia prima procesada
Uno de los mejores ejemplos de esa profesionalización aparece en los infostealers, malware diseñado para robar credenciales, cookies, sesiones, información del navegador y otros datos almacenados en los dispositivos comprometidos.
Según el estudio, es posible encontrar stealers desde aproximadamente 75 dólares.
Pero lo interesante ocurre después del robo.
Los registros obtenidos ya no necesariamente se venden como enormes colecciones desordenadas de archivos. Los operadores los clasifican por país, dominio, servicio o dirección corporativa.
Es decir: el dato robado comienza a ser tratado como un producto.
BI.ZONE detectó además un incremento del 13% en el precio de los logs recientes, mientras que una suscripción mensual a determinadas nubes de registros puede rondar los 250 a 300 dólares.
El precio depende de la frescura de la información, pero también de su clasificación, verificación y exclusividad.
Para un atacante, esto reduce trabajo.
Ya no necesariamente necesita infectar miles de computadoras esperando encontrar algo interesante. Puede intentar comprar directamente información asociada con el dominio de la organización que pretende atacar.
El acceso a una empresa también se compra
Algo similar está ocurriendo con uno de los productos más valiosos de la economía clandestina: los accesos corporativos.
El estudio registró un aumento del 20% en la proporción de accesos empresariales ofrecidos durante 2026, acompañado por un crecimiento del 15% en su precio medio.
Pero nuevamente, la transformación cualitativa resulta más interesante que el porcentaje.
El producto ya no tiene por qué ser simplemente:
usuario + contraseña
Los vendedores pueden incorporar información sobre la organización comprometida, su infraestructura y los sistemas a los que permiten ingresar esas credenciales.
Lo que se comercializa es cada vez más parecido a un paquete de acceso inicial preparado para otro atacante.
Esta especialización explica parcialmente por qué el ransomware no puede entenderse observando únicamente los anuncios que mencionan ransomware.
Solo el 1,3% de las publicaciones analizadas hace referencia directa a programas de extorsión, pero una enorme parte de la infraestructura necesaria para ejecutarlos aparece distribuida entre otros mercados.
Accesos corporativos por un lado. Datos robados por otro. Herramientas de intrusión en otro segmento.
En una de las plataformas estudiadas, alrededor del 90% de las filtraciones publicadas fueron atribuidas por sus propios administradores a ataques de ransomware.
El ransomware visible es, muchas veces, apenas el último eslabón.
Malware por alquiler
La misma lógica aparece en el mercado de software malicioso.
Los RAT —Remote Access Trojans— representan cerca del 40% de las ofertas de malware clasificadas por los investigadores.
Alrededor de ellos se desarrolló una economía donde no necesariamente coinciden quien programa la herramienta, quien consigue las víctimas y quien finalmente explota los sistemas comprometidos.
Además, el malware comienza a consolidarse.
BI.ZONE observó una reducción de hasta el 38% en determinados anuncios de venta de software malicioso, pero advierte que esto no necesariamente representa una contracción del mercado.
Las herramientas individuales están siendo reemplazadas por productos multifunción.
Una configuración habitual puede combinar RAT, HVNC e infostealer, incorporando además keyloggers, clippers o loaders.
En lugar de comprar cinco herramientas diferentes, el atacante adquiere una plataforma.
Es exactamente la clase de evolución que ocurre en cualquier industria cuando un mercado madura.
ClickFix por 150 dólares
Uno de los fenómenos más interesantes del informe es la comercialización de ClickFix como servicio.
ClickFix explota una debilidad diferente: convencer al usuario de ejecutar por sí mismo las instrucciones necesarias para comprometer su computadora.
Las campañas pueden simular verificaciones de seguridad, documentos online o servicios empresariales conocidos y guiar a la víctima para ejecutar un comando o script malicioso.
Según BI.ZONE, una página ClickFix preparada puede ofrecerse por alrededor de 150 dólares.
El vendedor proporciona la infraestructura visual y la mecánica de engaño.
El comprador elige qué malware quiere entregar.
Es phishing convertido en plataforma.
Y nuevamente aparece el mismo patrón: abstraer la complejidad técnica para que otro operador pueda consumir el ataque como producto.
Los exploits también vienen empaquetados
La explotación de vulnerabilidades está ganando peso como mecanismo de entrada.
El estudio señala un crecimiento del 30% en la proporción de ataques donde se explotan vulnerabilidades, mientras que este mecanismo representó aproximadamente el 9% de los ataques destinados a obtener acceso inicial en 2026, frente al 7% del año anterior.
Pero también aquí existe una transformación comercial.
Los investigadores detectaron ofertas que incluyen no solamente el exploit, sino listas de objetivos, herramientas de comprobación e instrucciones de utilización.
El conocimiento técnico se encapsula.
Quien descubre o desarrolla la capacidad puede venderla a operadores que no poseen esas habilidades.
La consecuencia es importante para la defensa: una vulnerabilidad explotable deja de ser únicamente una herramienta disponible para atacantes sofisticados. Si aparece un paquete suficientemente sencillo y rentable, puede convertirse rápidamente en un producto de consumo dentro del ecosistema criminal.
¿Y la inteligencia artificial?
Quizás uno de los datos más llamativos del estudio sea precisamente lo que todavía no está ocurriendo.
La enorme mayoría de las conversaciones relacionadas con inteligencia artificial no trata sobre sofisticadas operaciones autónomas.
El 77% de las discusiones analizadas se concentra en evadir las restricciones de modelos públicos, mientras otro 22% está relacionado con modelos sin mecanismos de censura. Solo aproximadamente el 1% menciona aplicaciones concretas de IA dentro de ataques.
Eso permite poner cierto freno a una narrativa habitual: por ahora, la IA no parece haber reemplazado las herramientas tradicionales del ciberdelito.
Pero ese 1% merece atención.
Los casos encontrados abarcan prácticamente todo el ciclo ofensivo, incluyendo reconocimiento, desarrollo de malware, plataformas basadas en agentes y automatización de operaciones.
El impacto probablemente no deba medirse únicamente preguntando cuántos atacantes utilizan IA hoy, sino cuánto puede reducir nuevamente las barreras técnicas cuando estas capacidades se integren en los servicios criminales que ya existen.
La verdadera amenaza es la división del trabajo
Tomados individualmente, ninguno de estos mercados resulta completamente nuevo.
Hace años existen credenciales robadas, malware comercial, ransomware como servicio, exploits y brokers de acceso inicial.
Lo relevante es cómo comienzan a conectarse.
Un operador infecta dispositivos y obtiene credenciales.
Otro procesa los datos.
Otro identifica accesos corporativos valiosos.
Otro vende infraestructura.
Otro desarrolla malware.
Otro proporciona exploits.
Otro compra el acceso y ejecuta la intrusión.
Y eventualmente otro grupo monetiza el ataque mediante ransomware, fraude, espionaje o extorsión.
La sofisticación deja de estar necesariamente concentrada en el atacante final y pasa a estar distribuida dentro del ecosistema.
Esto cambia también una pregunta fundamental para cualquier organización.
Ya no alcanza con preguntarse si alguien tiene suficientes conocimientos y motivación para atacarla.
La pregunta empieza a ser mucho más incómoda:
¿cuánto cuesta atacarla?
Si existen credenciales corporativas disponibles, vulnerabilidades conocidas sin corregir, sistemas expuestos a Internet y herramientas listas para explotar esas condiciones, la distancia entre intención y capacidad técnica se reduce drásticamente.
La economía clandestina está haciendo con el ciberdelito algo que la nube hizo con buena parte de la informática: convertir infraestructura, herramientas y conocimiento especializado en servicios que pueden consumirse bajo demanda.
La diferencia es que, del otro lado, el producto final es una intrusión.
El informe completo Threat Zone 2026: The Other Side reúne más de veinte tendencias y ejemplos del mercado clandestino, y puede consultarse desde la investigación publicada por BI.ZONE.