¿Tus datos están en la dark web? Cómo comprobarlo sin ser técnico

La dark web tiene fama de sitio misterioso e inaccesible, pero para lo que a una empresa le importa —saber si sus credenciales o las de sus empleados han acabado en manos equivocadas— no hace falta entrar en ella. Existen herramientas que consultan esas bases de datos filtradas por ti y te dan la respuesta en segundos. Esta guía explica qué comprobar, cómo interpretarlo y qué hacer si el resultado no es el que esperabas.

Qué es realmente la dark web, en términos prácticos

Es la parte de internet que no aparece en buscadores como Google y a la que se accede con herramientas específicas. Ahí conviven usos legítimos —periodismo, privacidad, activismo en países con censura— con mercados donde se compran y venden credenciales robadas, bases de datos completas y accesos a redes corporativas. Para una empresa, lo relevante no es la dark web en sí, sino si su nombre, su dominio o los correos de sus empleados aparecen mencionados en alguno de esos mercados.

Cómo comprobarlo, paso a paso

1. Comprueba tu dominio o tu email corporativo. El primer paso, y el más rápido, es introducir el dominio de tu empresa (por ejemplo tuempresa.es) o un email corporativo concreto en una herramienta de comprobación de filtraciones. En la portada de TheWatcher hay una gratuita y sin registro: escribes el dato, pulsas comprobar y en segundos ves si aparece en alguna filtración conocida. Si el resultado es positivo, no significa que te estén atacando ahora mismo — significa que esa credencial está circulando y toca actuar (lo explicamos más abajo).

2. Si tienes conocimientos técnicos, busca menciones de tu marca en foros. Señales a las que prestar atención: listas de "combos" (usuario + contraseña), accesos RDP o VPN puestos a la venta, bases de datos completas cuyos campos coincidan con los que usa tu empresa.

3. Cruza lo que encuentres con actividad reciente. Si tu dominio aparece en una filtración, comprueba si coincide en el tiempo con algún correo sospechoso recibido o algún acceso anómalo detectado internamente. Muchas campañas de phishing se lanzan justo después de que una base de datos empiece a circular; lo explicamos en phishing en 2025.

4. No te quedes en una comprobación puntual. Una consulta manual te dice lo que hay ahora mismo, pero las filtraciones nuevas aparecen constantemente. Si quieres saberlo en cuanto ocurra, en lugar de tener que acordarte de comprobarlo cada mes, hace falta una vigilancia continua — es lo que hace TheWatcher con el feed de ciberamenazas en España.

Una advertencia importante: nunca descargues bases de datos filtradas ni intentes "verificar" credenciales entrando con ellas en ningún sistema. Además de ser innecesario para lo que quieres comprobar, puede tener implicaciones legales.

Señales que deberían hacerte sospechar

Hay patrones que suelen aparecer antes de un incidente serio: listas de correos con sus contraseñas asociadas al dominio de tu empresa, anuncios de venta de "acceso inicial" a tu VPN o a paneles internos, bases de datos completas anunciadas como "full DB" con campos que encajan con tus sistemas, o menciones directas de tu marca en hilos de extorsión. Estas señales suelen preceder o acompañar ataques de ransomware; profundizamos en esa conexión en la guía de ransomware.

Qué hacer si encuentras tus datos expuestos

Lo primero es rotar las credenciales afectadas —de administradores, de servicios y de usuarios— y activar autenticación multifactor en todos los accesos críticos si todavía no la tenías. A partir de ahí conviene auditar quién ha accedido recientemente a VPN, correo corporativo y paneles en la nube, y valorar si es necesario notificar el incidente según el RGPD o la NIS2 cuando hay datos personales implicados y riesgo real para las personas afectadas; resumimos ese marco legal en normativas de ciberseguridad en España. Por último, si la situación lo justifica, es recomendable comunicarlo a usuarios o socios afectados: ser transparente pronto suele reducir el daño reputacional frente a que se enteren por otra vía.

Checklist rápido

• MFA activo en correo, VPN, accesos de administrador y aplicaciones en la nube.
• Contraseñas únicas por servicio, idealmente con un gestor corporativo.
• Copias de seguridad siguiendo la regla 3-2-1, con restauración probada al menos una vez.
• Parches al día en VPN, RDP, ERP y CRM.
• Formación anti-phishing con cierta periodicidad, no solo una vez.
• Alguna forma de vigilancia activa sobre dark web y sitios de ransomware.

Si tu empresa es una pyme, este es un buen momento para revisar los errores de ciberseguridad más comunes, porque casi todos están relacionados con no cubrir alguno de estos puntos.

Preguntas frecuentes

¿Es ilegal entrar en la dark web? No, entrar no lo es, pero muchas de las actividades que allí ocurren sí lo son. No hace falta entrar para comprobar si tus datos están expuestos: las herramientas de consulta hacen ese trabajo por ti.

¿Cómo distingo una mención real de un bulo? Fíjate en si hay muestras concretas, campos de datos coherentes con tus sistemas y fechas recientes. Cruza esa información con tus propios registros internos antes de dar por hecho que es real.

¿Basta con cambiar las contraseñas? No del todo. Cambiar contraseñas ayuda, pero conviene además activar MFA, revisar accesos recientes y valorar si corresponde notificar a la AEPD según el RGPD.

TheWatcher envía alertas cuando aparecen activos de tu empresa en la dark web o en blogs de extorsión, sin que tengas que estar comprobándolo manualmente. Puedes escribirnos si quieres activarlo para tu empresa.