Más de 2,6 millones de cuentas de usuarios españoles quedan expuestas en la Dark Web durante la primera mitad de 2026

Investigadores de ciberseguridad han alertado sobre la identificación de más de 2,6 millones de cuentas vinculadas a usuarios españoles que han sido filtradas en foros de la Dark Web entre enero y junio de 2026, así como más de un centenar de bases de datos filtradas relacionadas con organizaciones españolas.

Esta situación pone de relieve cómo los datos y las credenciales robadas siguen consolidándose como algunos de los activos más valiosos para los ciberdelincuentes, que los utilizan para la posterior distribución y venta a otros actores maliciosos.

Así se desprende del último informe elaborado por el equipo de ciberseguridad Kaspersky Digital Footprint Intelligence, que ha analizado la actividad de los ciberdelincuentes dirigida a usuarios y organizaciones españolas durante la primera mitad de este año 2026.

En concreto, los investigadores han identificado 2.698.517 cuentas de usuarios españoles en filtraciones de datos, entre las que se incluyen registros de "infostealers", conjuntos de datos modificados derivados de "infostealers" y "combolists". Siguiendo esta línea, también se han identificado un total de 104 bases de datos filtradas relacionadas con recursos españoles.

Estos datos se han hallado en foros de la Dark Web filtrados para su venta o distribución gratuita, remarcando cómo los actores maliciosos no solo comercian con credenciales robadas, sino que también atacan entornos corporativos e información empresarial sensible, como ha detallado Kaspersky.

CUENTAS FILTRADAS DE USUARIOS ESPAÑOLES

En este sentido, la compañía de seguridad ha destacado el alto volumen de cuentas comprometidas que han sido vinculadas a usuarios españoles. Según se detalla en el informe, un total de 230.854 de estas cuentas comprometidas fueron halladas en registros de "infostealers", poniendo el foco en aquellas que utilizan un correo electrónico de inicio de sesión con el dominio ".es".

Al respecto, según ha alertado Kaspersky, estos registros de "infostealers" suelen contener información extraída de dispositivos infectados, incluidas credenciales almacenadas en navegadores y otros programas instalados.

Además, la investigación también ha identificado 573.175 cuentas comprometidas de españoles que estaban incluidas en listas conocidas como URL:LOGIN:PASSWORD (ULP), esto es, que engloba información de usuario y contraseña, en formato URL, combinando datos extraídos de diferentes fuentes.

Finalmente, Kaspersky ha reconocido el total de 1.894.488 cuentas de usuarios españoles comprometidas incluidas en "combolists", que incluyen colecciones de credenciales filtradas agrupadas según distintas características.

En cuanto a las organizaciones, las 104 bases de datos filtradas identificadas se encontraron en foros de la Dark Web con "suficiente detalle". Es decir, incluían el nombre del dominio, así como el nombre de la empresa o una referencia explícita al país de la organización, con lo que los investigadores pudieron confirmar que pertenecían a empresas españolas.

Con todo los investigadores han incidido especialmente en cómo estas filtraciones son la prueba de que los ciberdelincuentes siguen apostando por métodos de robo de credenciales. Esto se debe a que las pueden utilizar para acceder ellos mismos a servicios, así como comprometer cuentas y facilitar nuevos ataques, vendiéndolas en foros especializados o en la Dark Web.

Tal y como lo ha explicado el analista de Kaspersky Digital Footprint Intelligence, João Brandão, en un comunicado, esta actividad identificada en la Dark Web se basa en un comportamiento de "crimen organizado" que "ha evolucionado hasta convertirse en una economía estructurada", al convertir los datos, accesos y credenciales en "mercancías".

Teniendo esto en cuenta, Brandão ha alertado de que, si las empresas "no supervisan activamente qué información sobre ellas se está compartiendo o comercializando en la Dark Web corren el riesgo de que sus activos más sensibles queden expuestos o sean vendidos sin siquiera saberlo".

VISIBILIDAD COMO CLAVE PARA DEFENDERSE ANTE AMENAZAS OCULTAS

En este marco, Kaspersky ha compartido la importancia de obtener visibilidad sobre la exposición externa, sobre todo, para las empresas, subrayando que la actividad de los ciberdelincuentes "suele comenzar mucho antes de que un ataque alcance la infraestructura de una organización".

Por tanto, si se monitorizan las mismas fuentes que utilizan los atacantes, por ejemplo, la Dark Web, las empresas pueden llegar a identificar activos expuestos, credenciales comprometidas u otros riesgos, "antes de que se conviertan en incidentes", por acabar en manos de un actor malicioso.

Para llevar a cabo esta monitorización, el equipo Kaspersky Digital Footprint Intelligence ofrece herramientas como la gestión de la superficie de ataque, que identifica los recursos y servicios de red expuestos que podrían convertirse en "posibles puntos de entrada".

También ofrece la monitorización de la Dark Web, con detección de referencias y amenazas relacionadas con empresas, clientes y "partners". De la misma forma, permite el análisis de filtraciones de datos, con capacidad para identificar credenciales comprometidas de empleados, partners y clientes.

Igualmente, con la detección de amenazas, Kaspersky ha explicado que permite la monitorización de actividades fraudulentas que "podrían dañar la reputación o engañar a los clientes". Finalmente, con la monitorización de marcas, se detecta el uso no autorizado de marcas corporativas, para localizar perfiles falsos, aplicaciones fraudulentas o páginas de "phishing".

"Al combinar la visibilidad externa con una monitorización proactiva, las organizaciones pueden comprender mejor cómo ven los atacantes su huella digital y reducir los puntos ciegos antes de que sean explotados", ha sentenciado la compañía.