Ciberinteligencia (CTI): lo que se vende de ti ahí fuera

Tus credenciales corporativas se venden en un canal de Telegram, alguien ha registrado un dominio con una letra cambiada y hay un exploit público para el VPN que usáis. Nada de eso aparece en vuestros registros hasta que ya es un incidente. Lo buscamos, lo filtramos y os llega solo lo que exige una acción, con la acción escrita.

Última actualización: octubre de 2026

Infostealers — La vía por la que más credenciales corporativas acaban a la venta, sin romper nada vuestro
CISA KEV — Cruzamos vuestro stack contra el catálogo de lo que se está explotando de verdad
MITRE ATT&CK — Las TTP de los grupos activos en vuestro sector, traducidas a qué comprobar
STIX / TAXII — Los indicadores llegan en formato estándar, listos para vuestro SIEM o EDR

El aviso llega antes por fuera que por dentro

Una brecha casi nunca empieza con un ataque sofisticado contra vuestro perímetro. Empieza con el portátil de alguien infectado por un infostealer en su casa, las cookies de sesión y las contraseñas guardadas del navegador empaquetadas en un log, y ese log a la venta por poco dinero en un canal donde se compra por dominio corporativo. Vuestros sistemas no registran nada de eso, porque no ha pasado nada en vuestros sistemas: cuando pasa, el atacante ya entra con credenciales legítimas.

Igual con la suplantación. El dominio parecido al vuestro se registra semanas antes de la primera campaña; la página de acceso clonada se publica días antes; el primer empleado que pica os lo cuenta después. Y con las vulnerabilidades: entre que se publica un fallo y que vuestro escáner lo recoge en su siguiente pasada hay una ventana que alguien ya está usando.

La ciberinteligencia útil no es un feed con miles de indicadores. Es alguien que sabe qué tenéis, mira dónde se cuece y os escribe cuando hay algo que hacer: estas credenciales, de esta persona, rotad y revisad estas sesiones. El resto es ruido que acaba en una carpeta que nadie abre.

De un portátil infectado a vuestro dominio, sin tocar vuestro perímetro

El camino que más veces acaba en incidente no empieza en vuestra red. Cada paso ocurre fuera de vuestra vista, y por eso vuestros registros no dicen nada hasta el final.

Infección del equipo (Fuera de vuestra red): Alguien instala en su equipo personal un programa pirateado o una extensión con malware. El infostealer vacía el almacén de contraseñas del navegador y las cookies de sesión. Vuestros registros: nada. No ha pasado nada vuestro.
El log se empaqueta y se vende (Mercado): Las credenciales se agrupan por dominio corporativo y se ofrecen en un canal de venta. Las de empresas con VPN o SaaS reconocibles valen más. Aquí es donde lo encontramos: aparece vuestro dominio.
Validación del acceso (Acceso inicial): El comprador prueba las credenciales. Si el acceso tiene segundo factor pero la cookie de sesión sigue viva, entra sin pedirlo. Un inicio de sesión correcto, desde un sitio raro. Se registra; casi nunca se mira.
Reconocimiento desde dentro (Reconocimiento): Correo, unidades compartidas, documentación interna y el gestor de contraseñas del equipo. Busca a quién suplantar y qué sistema tiene más valor. Actividad de un usuario legítimo. Indistinguible sin contexto.
Monetización (Impacto): Fraude del CEO con una cuenta real, venta del acceso a un grupo de ransomware o exfiltración de datos para extorsión. Ahora sí se ve. Y ya es un incidente.

Dónde se corta: En el segundo paso. Encontrada la credencial en venta, rotar y revocar las sesiones activas cierra el camino antes de que nadie lo pruebe. Es exactamente lo que vigila este servicio.

Secuencia ilustrativa construida sobre el patrón habitual de robo por infostealer y reventa de accesos; no describe el incidente de ningún cliente.

Qué vigilamos

Credenciales corporativas a la venta o filtradas, con origen y fecha, incluidas las de logs de infostealer
Cookies y tokens de sesión expuestos, que saltan el segundo factor sin necesitar la contraseña
Mercados, foros de cibercrimen y canales de mensajería donde se negocia acceso a empresas como la vuestra
Sitios de filtración de los grupos de ransomware activos, por si aparece vuestro nombre o el de un proveedor
Dominios parecidos al vuestro recién registrados, páginas de acceso clonadas y suplantación de marca
Exposición involuntaria: repositorios públicos, cubos mal configurados, documentos indexados y claves en código
Vulnerabilidades que se están explotando de verdad y afectan a vuestro stack concreto, cruzadas con CISA KEV
TTP de los grupos activos en vuestro sector y geografía, mapeadas sobre MITRE ATT&CK
Exposición de terceros críticos: lo que le pase a vuestro proveedor os llega a vosotros
Indicadores en STIX/TAXII, CSV o JSON para vuestro SIEM, EDR o firewall

Cómo trabajamos

Perfil de exposición: Qué tenéis que valga dinero, qué dominios y marcas son vuestros, qué tecnología usáis y qué proveedores son críticos. Sin esto, la inteligencia es genérica y no sirve para nada.
Recolección: Vigilancia continua de fuentes abiertas, mercados y canales cerrados, sitios de filtración y feeds especializados, acotada a vuestro perfil.
Verificación y filtrado: Comprobamos que lo encontrado es vuestro y sigue siendo válido: una credencial de hace tres años ya rotada no es un aviso, es ruido. Lo que no pasa el filtro no os llega.
Aviso con acción: Lo crítico se avisa cuando se encuentra, con qué es, de quién, desde cuándo y qué hacer ahora: rotar, revocar sesiones, denunciar un dominio o parchear.
Informe mensual y ajuste: Evolución de la exposición, qué se cerró, qué sigue abierto y qué ha cambiado en las amenazas de vuestro sector. El perfil se reajusta con lo aprendido.

Qué recibes

Avisos de lo crítico cuando se encuentra, con el dato verificado y la acción concreta a tomar
Informe mensual de exposición: qué apareció, qué se cerró y qué sigue abierto
Inventario vivo de credenciales y sesiones comprometidas, con origen y fecha
Vigilancia de dominios parecidos registrados, con el material para denunciarlos
Indicadores en formato estándar para integrar en vuestras herramientas
Informes a demanda sobre un grupo o una campaña concreta que os preocupe
Lectura sectorial trimestral: qué ha cambiado en quién ataca a empresas como la vuestra

Para quién tiene sentido

Empresas cuyos empleados usan equipos personales o trabajan desde casa con acceso a sistemas corporativos
Banca, seguros y fintech, donde la suplantación de marca es el fraude de todos los días
Retail y plataformas con cuentas de cliente, objetivo habitual del relleno de credenciales
Entidades sujetas a NIS2 que deben demostrar un proceso de gestión de amenazas, no solo herramientas
Empresas con proveedores críticos cuya brecha acaba siendo la vuestra
Equipos de seguridad que necesitan saber qué parchear primero, con criterio de explotación real
Compañías tras una fusión o una ronda, cuando el nombre pasa a ser objetivo de interés

CTI gestionada, un feed de indicadores y buscarlo por tu cuenta

Los tres prometen "saber lo que pasa fuera". La diferencia está en quién filtra, quién verifica y quién te dice qué hacer.

	CTI gestionada	Feed de indicadores	Búsquedas propias
Acotado a lo que tú tienes	Sí, se parte de tu perfil	No: es el mismo para todos	Sí, pero solo lo que se te ocurra buscar
Fuentes cerradas y mercados	Sí	Parcialmente	No
Verificación del hallazgo	Sí, antes de avisarte	No	La haces tú
Te dice qué hacer	Sí, acción concreta por aviso	No	No
Ruido que te llega	Lo filtrado	Todo	Lo que aguantes
Coste real	Cuota	Licencia + el tiempo de leerlo	Horas de tu equipo
Cuándo encaja	Sin analista dedicado y con marca que proteger	Con un SOC que ya sabe filtrar	Para un susto puntual

Compara con

Preguntas frecuentes sobre ciberinteligencia

¿En qué se diferencia esto de la seguridad gestionada?

En la dirección de la mirada. La seguridad gestionada mira hacia dentro: vuestra superficie expuesta, vuestras vulnerabilidades, vuestros incidentes y vuestro plan. La ciberinteligencia mira hacia fuera: qué se vende de vosotros, quién os suplanta y qué grupos están activos en vuestro sector. Quien contrata los dos recibe un solo informe y una sola interlocución. Si hay que elegir uno, el orden sensato es primero el proceso interno y después la vigilancia externa.

¿Qué diferencia hay entre CTI y OSINT?

OSINT es una fuente: información pública que cualquiera puede consultar. La CTI es el proceso completo —recolectar de fuentes abiertas y también cerradas, verificar, contextualizar con lo que tú tienes y entregar algo accionable—. Un listado OSINT sin verificar ni priorizar no es inteligencia, es una búsqueda. Lo explicamos a fondo en nuestra guía de OSINT.

¿Cómo encontráis credenciales que están a la venta en sitios cerrados?

Con acceso sostenido a mercados y canales donde se comercia con accesos, y con fuentes especializadas que agregan logs de infostealer. Trabajamos siempre del lado legal: observamos y documentamos, no compramos datos robados ni participamos en la transacción. Cuando aparece algo vuestro, os damos el dato verificado —qué credencial, de quién, desde cuándo, qué incluye— para que podáis actuar.

¿Qué hacemos cuando nos avisáis de una credencial filtrada?

El aviso ya trae la acción: rotar esa contraseña, revocar las sesiones activas de esa persona (la parte que más se olvida, porque una cookie viva salta el segundo factor), revisar los accesos de los últimos días desde ubicaciones inusuales y comprobar si esa contraseña se reutiliza en otros servicios. Si tenéis también la seguridad gestionada, lo coordinamos nosotros de punta a punta.

¿El servicio es continuo o se puede pedir un análisis puntual?

Las dos cosas. La vigilancia continua es el servicio principal, porque la exposición cambia cada semana. También hacemos encargos puntuales: una foto de exposición antes de una operación corporativa, el análisis de un grupo concreto que os ha mencionado o la investigación de una campaña que os está afectando ahora mismo.

¿Cuánto ruido vamos a recibir?

El acuerdo es que recibáis solo lo que exige una acción. Todo lo demás —hallazgos sin verificar, credenciales ya rotadas, menciones irrelevantes— se queda en el informe mensual como contexto. Si al cabo de unos meses alguien de vuestro equipo empieza a ignorar nuestros avisos, el filtro está mal calibrado y lo ajustamos: un aviso que no se lee no sirve para nada.

¿Se integra con nuestro SIEM?

Sí. Entregamos indicadores en STIX/TAXII, CSV o JSON, integrables con los SIEM habituales —Splunk, Microsoft Sentinel, QRadar— y con plataformas EDR y firewalls. Dicho esto, el valor del servicio no está en el volumen de indicadores que podáis ingerir, sino en los pocos avisos verificados que requieren que alguien haga algo hoy.

¿Sirve para NIS2?

Ayuda en dos frentes del artículo 21: la gestión de vulnerabilidades, porque prioriza por explotación real en vuestro stack, y el análisis de riesgos, porque aporta la cara de amenaza que normalmente se rellena a ojo. No sustituye al programa de cumplimiento completo; encaja dentro de él y deja evidencia documental de que existe un proceso de vigilancia, no solo una herramienta comprada.

¿Podemos ver cómo trabajáis antes de contratar?

Sí, de dos formas. El Panorama de amenazas que publicamos cada semana es inteligencia nuestra, abierta y gratuita: podéis juzgar el criterio sin pagar nada. Y para vuestra organización hacemos una foto inicial de exposición acotada, que suele ser la que decide el encargo.