Dark Web.

La Dark Web es la parte de internet alojada en redes superpuestas (principalmente los servicios onion de Tor y los eepsites de I2P) a la que no se accede con un navegador convencional ni DNS estandar. El enrutamiento en capas cifradas anonimiza tanto a visitantes como a operadores, por lo que se usa legitimamente por periodistas, disidentes y denunciantes, pero tambien para mercados cibercriminales, sitios de filtracion de ransomware, intermediarios de datos robados y material de abuso infantil. Los equipos de inteligencia de amenazas la monitorizan para detectar credenciales robadas, venta de exploits e infraestructura adversaria. Las defensas incluyen servicios de monitorizacion dark-web, deteccion de fugas de credenciales, coordinacion de takedown y bloqueo de nodos de salida Tor conocidos en perimetros sensibles cuando proceda.

Como funciona el anonimato, y como falla

A un servicio onion de Tor se accede mediante una direccion .onion derivada de la clave publica del servidor; el cliente y el servidor se encuentran en un punto de introduccion sin que ninguna de las partes conozca la IP de la otra. El trafico se envuelve en tres capas de cifrado y rebota a traves de repetidores voluntarios, de modo que ningun salto ve a la vez el origen y el destino. Esto es genuinamente solido, pero las personas y el software detras no lo son. Las fuerzas del orden rara vez rompen la criptografia; en su lugar, explotan errores de seguridad operativa (OPSEC), la mala configuracion de servidores, el rastreo de criptomonedas y la infiltracion.

El historial de operaciones muestra el patron. La Operation Bayonet (julio de 2017) incauto AlphaBay —entonces el mayor mercado de la darknet con mas de 200.000 usuarios—, deteniendo a su fundador Alexandre Cazes, mientras la policia holandesa operaba en secreto el mercado rival Hansa como un honeypot durante semanas para desanonimizar a los usuarios que huian. La Operation Cookie Monster (abril de 2023) desmantelo Genesis Market, que vendia "bots" que agrupaban cookies, credenciales y huellas de navegador robadas para el secuestro de cuentas. La Operation Cronos (febrero de 2024) desarticulo la banda de ransomware LockBit, incautando 34 servidores, codigo fuente y claves de descifrado en ocho paises.

Para los defensores, la conclusion practica es la monitorizacion de la exposicion: vigilar los sitios de filtracion y los volcados de credenciales en busca de datos de tu organizacion, imponer MFA y passkeys para que las contrasenas robadas sean menos utiles, y alimentar las listas de bloqueo con la infraestructura adversaria observada.

flowchart LR
  U[Usuario<br/>Tor Browser] --> G[Repetidor de guarda]
  G --> M[Repetidor intermedio]
  M --> R[Punto de encuentro]
  R --> H[Servicio oculto<br/>sitio de filtracion / mercado .onion]
  H -.->|error de OPSEC<br/>mala config del servidor<br/>rastreo cripto| LE[Fuerzas del orden<br/>takedown]