Cómo correlacionan los analistas CTI los posts de foros de filtraciones (no el volcado)

Aparece un anuncio en tu feed de inteligencia de amenazas: “FRESH 2026 — base de datos de clientes de [tu empresa], 1,2M de registros, solo compradores serios”. El instinto es buscar los datos y evaluar el daño. La mayoría de las veces, el primer paso de más valor es el contrario: ignora por completo los datos y correlaciona los metadatos del post. El foro, el alias, la fecha, el número afirmado y los artefactos que anuncia el vendedor suelen decirte, en minutos y sin tocar un solo registro filtrado, si esto merece un incidente o un encogimiento de hombros.

Una explicación metodológica defensiva y neutral respecto a fabricantes para responsables de seguridad y TI. Describe cómo los analistas CTI hacen el triaje de los metadatos de los foros de filtraciones para priorizar amenazas. No respalda el acceso a datos filtrados y no contiene instrucciones para encontrar, descargar ni operar sobre filtraciones. Los ejemplos son ilustrativos y sintéticos.

Qué son de verdad los “metadatos del post”

No necesitas el volcado para hacer el triaje de la afirmación. Un solo anuncio ofrece un conjunto predecible de campos:

• Foro: en qué mercado se publicó.
• Título del hilo: el texto de marketing del vendedor (“FRESH”, “MEGA”, “private”).
• Alias: el nombre de usuario del autor.
• Fecha del post: cuándo se publicó.
• Víctima afirmada y número de registros afirmado: ambos los declara el vendedor y ambos se exageran habitualmente.
• Artefactos anunciados: la prueba de vida que ofrece un vendedor: un hash de archivo, una cabecera de columnas de muestra (los nombres de los campos de unas pocas filas, p. ej. cust_id,email,pw_md5,city), un fragmento de clave PGP, un contacto o una etiqueta de depósito/pago.

Los artefactos son la parte que sostiene todo. Un hash y una cabecera de muestra son propiedades del archivo real; un alias y un título son solo palabras. Correlacionar es comparar estos campos entre posts, y contra un índice de posts anteriores, para establecer relaciones. Cuatro técnicas cubren la mayor parte del valor.

1. Reciclada: una filtración antigua vendida como nueva

El truco más frecuente en los foros de filtraciones es volver a anunciar datos antiguos con una mano de pintura nueva. Un volcado de 2024 reaparece en 2026 con el título “FRESH”, a veces con un número inflado (“¡ahora 5M!”) para parecer más grande. La pista es definitiva y barata de comprobar: si el hash del archivo, la cabecera de columnas de muestra o el número exacto de registros anunciados son idénticos a los de un hilo publicado mucho antes, los datos no son nuevos: un hash no puede cambiar si el archivo no cambió.

Un ejemplo público de por qué importa: un post de un foro de junio de 2024 que afirmaba tener unos 255GB de datos de PwC nunca se confirmó, mientras que el incidente que PwC sí confirmó, en octubre de 2026, llegó a través de un proveedor externo. La cronología de la brecha de datos de PwC mantiene separadas la afirmación y el evento confirmado.

Por qué le importa a un defensor: la respuesta por defecto a “brecha reciente de nuestra empresa” es un ciclo de respuesta a incidentes: se reúne al equipo, se evalúa el alcance, se redactan las notificaciones a clientes, se plantea la monitorización del crédito y, posiblemente, se notifica a los reguladores. Reconocer un volcado de hace dos años vuelto a anunciar convierte todo eso en “son otra vez los datos de 2024, cerrar con prioridad baja”. La detección de filtraciones recicladas es la correlación que con más frecuencia ahorra a un CISO un ciclo caro e inútil, y también detecta la variante con el número inflado, porque el hash deja al descubierto el archivo real (más pequeño y más antiguo) bajo la cifra de marketing.

2. Duplicada: el mismo volcado en dos foros

Los vendedores publican en varios foros para ampliar su público. El mismo archivo aparece en el foro A y en el foro B, a menudo con dos alias distintos, títulos ligeramente reescritos o un número “depurado” más bajo. La pista es un artefacto coincidente entre foros en un periodo corto: el mismo hash de archivo y las mismas filas de muestra (y a veces el mismo identificador magnet/torrent) apareciendo dos veces.

Por qué le importa a un defensor: si cuentas un volcado publicado en dos sitios como dos brechas, tus métricas mienten. Inflas los recuentos de brechas, duplicas el trabajo de notificación y puedes hacer que un solo vendedor parezca una oleada de actividad. Fusionar los duplicados por el artefacto, no por los alias o títulos distintos, mantiene honesto el registro y deja ver que ambos hilos llevan a un mismo vendedor, lo que alimenta la siguiente técnica.

3. Vinculación de alias: dos alias, un actor

Los actores rotan alias e incluso cambian el tipo de datos que venden para parecer varias personas sin relación. Lo que reutilizan, porque es incómodo variarlo, es infraestructura y costumbres: una huella de clave PGP, una dirección o etiqueta de pago o de depósito, un contacto de Tox/Jabber/onion, o una muletilla o despedida arraigada. Un selector compartido entre dos alias con nombres distintos es un vínculo fuerte a un solo actor, y gana a las señales débiles como el estilo de escritura, que un actor puede falsear a propósito (formal con un alias, jerga con otro, y ambos resolviendo al mismo espejo onion y a la misma cola de PGP).

Por qué le importa a un defensor: una atribución correcta convierte tres fantasmas desconectados en un solo perfil seguido. Ves el ritmo real del actor, sus sectores preferidos y el momento en que escala, y puedes pivotar sobre un selector (una etiqueta de depósito, una huella) para sacar a la luz el resto de su inventario, incluidos los anuncios que nombran a tus proveedores.

4. Campaña: un grupo en el tiempo

Anuncios menores por separado pueden sumar una ofensiva coordinada. Varias víctimas de un mismo sector publicadas en una ventana de fechas estrecha, sobre todo con identificadores internos de lote secuenciales (CU-001, CU-002, …) o una etiqueta de intermediario o de depósito compartida entre posts que por lo demás parecen no tener relación, son una campaña, no una casualidad. La dispersión entre foros y alias suele ser deliberada, para ocultar el patrón a quien mira un solo foro.

Por qué le importa a un defensor: detectar el grupo pronto, en lugar de hacer el triaje de cuatro pequeños anuncios aislados, te permite emitir un aviso sectorial y alertar a tus pares y a tu ISAC antes de que se publiquen los lotes posteriores de la campaña. En los casos de cadena de suministro (por ejemplo, una serie de anuncios de proveedores de servicios gestionados), el riesgo para cada cliente detrás de cada proveedor hace que reconocerlo pronto marque la diferencia entre un aviso a tiempo y enterarse después de que se use el acceso.

La disciplina que lo hace funcionar: no vincular de más

Correlacionar consiste tanto en rechazar vínculos falsos como en encontrar los reales. Hay tres trampas recurrentes:

• Un número de registros redondo. “1.000.000” es una cifra de venta redondeada, no un artefacto. Dos volcados que solo comparten un número limpio, pero difieren en hash, esquema de muestra, sector y alias, no tienen relación.
• La misma víctima nombrada dos veces. Pueden ser dos incidentes distintos, incluso una nueva brecha, cuando los hashes y los esquemas de muestra difieren y los posts están separados por meses. Fusionarlos oculta una exposición activa y en curso.
• El mismo sector en la misma semana. Ruido habitual en un feed con mucho movimiento. Sin un intermediario, un selector o identificadores de lote secuenciales compartidos, es casualidad, no coordinación, y emitir un falso aviso de campaña erosiona la confianza en los reales.

La regla de fondo de las tres: vincula sobre artefactos sólidos y verificables (hash, cabecera de muestra, selectores), nunca sobre un titular o una coincidencia superficial. Hazlo así y la cola deja de ser ruido.

Precedente real: reconocimiento y una nota de uso responsable

Esta forma de correlacionar no es mérito nuestro. La inspiración real es el investigador de seguridad Iván Castañeda (@ivancastl) y su proyecto de código abierto darkforums-ip-intel, que demuestra cómo correlacionar la actividad de los foros de filtraciones con fines de CTI. Reconocemos ese trabajo y no reproducimos nada de él. Nota de uso responsable: su conjunto de datos contiene PII derivada de filtraciones y es solo para investigación CTI autorizada. Nada en este artículo ni en nuestro laboratorio reproduce datos reales de filtraciones, y esto no respalda el acceso a datos filtrados, solo el triaje de los metadatos que ya te da un feed autorizado, con tu propia autorización y bajo tu propia orientación legal.

Practica con datos sintéticos

Hemos creado un laboratorio de correlación CTI de foros de filtraciones en el navegador para entrenar exactamente estas cuatro técnicas y la disciplina de no vincular de más. Trabajas una cola de casos, cada uno un pequeño conjunto de registros de metadatos de posts 100 % sintéticos (alias, títulos, fechas y empresas inventados, hashes de relleno e IP de los rangos de documentación TEST-NET de la RFC 5737 / RFC 3849), y en cada uno das el veredicto (reciclada, duplicada, mismo actor, campaña o sin correlación) y nombras el selector que lo decide. Se califica de S a D, con un informe por caso que explica por qué importa cada decisión a un defensor. En ningún sitio aparecen nombres de usuario, personas, empresas vulneradas, datos filtrados, enlaces de descarga ni URL de foros reales; es una simulación de formación, no una ventana a foros reales. Es un laboratorio Pro: con una cuenta gratuita tienes 3 usos de herramientas Pro en total y después necesitas Pro. Aprende a leer los metadatos y la mayoría de los pánicos por una “brecha reciente” se resolverán antes de empezar.