Cómo monitorizar la dark web para proteger a tu empresa
No puedes impedir que un proveedor externo sufra una brecha, pero sí puedes enterarte pronto de que las claves de tu equipo han acabado en una filtración. Esa diferencia de días o semanas es, muchas veces, lo que separa un susto de un incidente grave.
Qué significa monitorizar la dark web (y qué no)
Monitorizar la dark web consiste en vigilar de forma continua si datos de tu organización —sobre todo direcciones de correo corporativas, contraseñas y a veces documentos— aparecen en foros, mercados o volcados de datos de acceso restringido. Si necesitas el contexto previo, lo explicamos en qué es la dark web y por qué debería importarle a tu empresa.
Conviene ser realistas con lo que se puede esperar: ninguna herramienta ve toda la dark web. Muchos foros son cerrados, los datos se venden en canales privados y parte de lo que circula nunca llega a bases de datos públicas. Lo que sí hacen los servicios de monitorización es cruzar tus dominios y correos con las filtraciones que han llegado a conocerse. Es una alerta temprana útil, no una garantía de que "no hay nada".
Por qué una pyme debería hacerlo
Las credenciales robadas son una de las vías de entrada más cómodas para un atacante: no hace falta explotar ninguna vulnerabilidad si puede iniciar sesión con una clave legítima. Y el problema no siempre empieza en tu empresa: un empleado que usó su correo del trabajo para registrarse en un servicio externo o reutilizó una contraseña puede dejar expuesta la cuenta corporativa sin que tus sistemas hayan fallado en nada. Por eso la vigilancia externa complementa al resto de medidas, como el doble factor de autenticación.
Qué conviene vigilar
- Dominios corporativos: todas las direcciones @tuempresa.com, no solo las de dirección.
- Correos genéricos: info@, admin@, facturacion@ y cuentas compartidas, que suelen tener contraseñas débiles y nadie que las revise.
- Cuentas de administración: paneles web, hosting, dominio, redes sociales corporativas y herramientas de contabilidad.
- Correos personales de las personas clave: si un directivo reutiliza claves, el riesgo salta de su cuenta personal a la de la empresa.
- Datos de clientes: si tratas datos personales, una aparición de esa información tiene implicaciones de RGPD.
Opciones para empezar sin gastar de más
Have I Been Pwned
Have I Been Pwned (HIBP), el servicio creado por el investigador Troy Hunt, permite comprobar si una dirección de correo aparece en filtraciones conocidas y suscribirse a avisos. Para empresas ofrece una búsqueda por dominio: tras demostrar que controlas el dominio (con un registro DNS TXT, una etiqueta meta, un archivo HTML o un correo a una dirección administrativa, según su documentación de verificación) puedes consultar qué cuentas del dominio aparecen y recibir avisos cuando una nueva brecha incluya direcciones tuyas. Las condiciones y el coste de ese servicio cambian con el tiempo: revísalos en su web antes de decidir.
Mozilla Monitor
Mozilla Monitor (antes Firefox Monitor) se apoya en datos de HIBP y permite comprobar y vigilar direcciones concretas. Es útil para revisar las cuentas de algunas personas clave, pero está pensado para particulares y no para gestionar un dominio con decenas de buzones.
El caso de Google: ya no existe su informe de dark web
Si en algún material antiguo ves recomendada la monitorización de la dark web de Google (el "informe de la dark web" de Google One), ten en cuenta que Google dejó de realizar esos análisis el 15 de enero de 2026 y retiró la herramienta el 16 de febrero de 2026, según su página de ayuda. No cuentes con ella.
Servicios profesionales de monitorización
Los servicios gestionados combinan varias fuentes (volcados públicos, foros, canales de mensajería, registros de malware que roban credenciales) y, sobre todo, alguien que interpreta los avisos: distingue una filtración antigua y ya conocida de una exposición reciente y accionable. Para una pyme sin equipo técnico esa interpretación es lo más valioso, porque un aviso sin contexto genera ruido o pánico.
Un aviso no es un diagnóstico. Que una dirección aparezca en una brecha de un tercero no significa que tu empresa haya sido atacada, y que no aparezca nada no significa que estés a salvo. La monitorización detecta un tipo concreto de riesgo: credenciales expuestas. El resto de la seguridad sigue siendo imprescindible.
Cómo montar un sistema de vigilancia en cinco pasos
- Haz inventario de dominios y buzones. No puedes vigilar lo que no sabes que existe, incluidos dominios antiguos que aún reciben correo.
- Elige la herramienta según el tamaño. Para un equipo pequeño puede bastar la búsqueda por dominio; si gestionas muchos datos o sectores sensibles, un servicio profesional compensa.
- Define quién recibe los avisos. Una persona responsable y un suplente. Un aviso en un buzón que nadie lee no sirve de nada.
- Escribe qué se hace cuando salta una alerta. Reinicio de contraseñas, revisión de sesiones, comprobación de MFA. Lo desarrollamos en el protocolo de actuación ante credenciales robadas.
- Revisa periódicamente. Comprueba que la vigilancia sigue activa tras cambios de dominio, altas y bajas de empleados o cambios de proveedor.
Lo que la monitorización no resuelve por sí sola
Detectar es solo la mitad. Para que un aviso no se convierta en un acceso real necesitas barreras previas: contraseñas únicas gestionadas con un gestor de contraseñas, MFA en correo y herramientas críticas, y desactivación inmediata de cuentas de personas que dejan la empresa. Si además tienes empleados que trabajan fuera de la oficina, una VPN empresarial gestionada reduce la exposición de las conexiones, aunque no sustituye al MFA.
Cómo interpretar una alerta cuando llega
Cuando una herramienta te avisa, hazte cuatro preguntas antes de reaccionar: ¿de qué servicio procede la filtración y cuándo ocurrió?, ¿incluye la contraseña o solo el correo?, ¿la cuenta sigue activa y la contraseña sigue siendo la misma?, ¿esa clave se usa en algún servicio de la empresa? Si la respuesta a las dos últimas es sí, trátalo como urgente. Si es una filtración antigua y la contraseña ya cambió, basta con dejarlo anotado y comprobar que hay MFA. Esta clasificación evita tanto el pánico como la dejadez.
Implicaciones legales: RGPD y AEPD
Si en los datos expuestos hay información personal de clientes o empleados, puede haber una violación de seguridad de los datos personales. El artículo 33 del RGPD obliga al responsable del tratamiento a notificarla a la autoridad de control (en España, la AEPD) sin dilación indebida y, de ser posible, en un plazo máximo de 72 horas desde que tiene constancia de ella, salvo que sea improbable que suponga un riesgo para los derechos y libertades de las personas. Documentar lo que has detectado y cuándo es parte de actuar con diligencia; la guía paso a paso ante una filtración detalla cómo evaluarlo.
Si necesitas orientación pública y gratuita, INCIBE atiende consultas de ciberseguridad en el teléfono 017.
Cuándo conviene pedir ayuda externa
- Tu empresa trata datos de salud, financieros o de menores.
- Han aparecido credenciales de administradores o de cuentas con acceso a clientes.
- No hay nadie en el equipo que pueda revisar los avisos con criterio.
- Quieres integrar la vigilancia con tu plan de respuesta a incidentes y tu gestión de filtraciones.
En CyberMaresme empezamos por una comprobación de exposición de tus dominios y correos, y de ahí definimos qué vigilancia tiene sentido para tu tamaño.
¿Han aparecido ya las credenciales de tu empresa en alguna filtración?
Comprobación gratuita de exposición de tus dominios y correos corporativos.
