Laboratorio de correlación CTI de foros de filtraciones
Correlaciona metadatos sintéticos de publicaciones en foros de filtraciones: brecha reciclada, duplicado entre foros, mismo actor o campaña coordinada, y nombra el selector que lo delata.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Llega a tu fuente de inteligencia de amenazas una cola de anuncios de foros de filtraciones. Uno grita «FRESH 2026» sobre un volcado cuyo hash de archivo y número de registros coinciden con un hilo de hace dos años. Otro es el mismo volcado publicado en un segundo foro con otro alias. Dos vendedores con nombres distintos comparten un fragmento PGP y una etiqueta de escrow. Cuatro víctimas pequeñas de un mismo sector aparecen en una ventana de nueve días con identificadores de lote consecutivos. Y algunos casos solo parecen relacionados: un número redondo, la misma víctima nombrada dos veces. Lees solo los metadatos de las publicaciones, nunca los datos filtrados. En cada caso das el veredicto de correlación (filtración antigua revendida como nueva, duplicado entre foros, vinculación de alias, campaña coordinada o sin correlación) y nombras la pista que lo decide. Hay niveles de dificultad, bonificación por velocidad y una nota de la S a la D. Es solo defensivo y con datos 100 % sintéticos. Es un laboratorio Pro.
- Revisa los registros sintéticos de cada caso: foro, título del hilo, alias del autor, fecha, víctima y número de registros declarados, y el artefacto anunciado (hash, cabecera de columnas de muestra, fragmento PGP o contacto de escrow).
- Da el veredicto: reciclada, duplicado entre foros, mismo actor (alias), campaña coordinada o sin correlación.
- Nombra la pista: hash o cabecera de muestra coincidente, artefacto entre foros, selector compartido o agrupación temporal y sectorial.
- No relaciones de más: varios casos son coincidencias deliberadas, y reconocerlas es tan importante como detectar las correlaciones reales.
Preguntas frecuentes
¿Qué enseña el laboratorio de correlación CTI de foros de filtraciones?
Entrena la decisión de correlación que toma un analista de blue team o de CTI sobre los METADATOS de las publicaciones en foros de filtraciones, no sobre ningún dato filtrado. En cada caso ves un pequeño conjunto de registros sintéticos de publicaciones (etiqueta del foro, título del hilo, alias del autor, fecha de publicación, víctima y número de registros declarados, más un artefacto anunciado como un hash de archivo, una cabecera de columnas de muestra, un fragmento PGP o un contacto de escrow) y decides el veredicto: filtración antigua revendida como nueva, el mismo volcado publicado en dos foros (un hilo duplicado), dos alias que en realidad son un solo actor (vinculación de alias), una campaña coordinada contra un sector o ninguna correlación. También nombras la pista, el selector o patrón concreto que lo decide. Es práctica de detección y triaje; no encuentra, descarga, extrae ni desanonimiza nada.
¿Los datos de este laboratorio son reales?
No. Cada etiqueta de foro, título de hilo, alias, fecha, empresa víctima, dirección IP, hash y número de registros es 100 % sintético e inventado para enseñar. No hay nombres de usuario reales, ni personas reales, ni empresas vulneradas reales, ni datos filtrados reales, ni enlaces de descarga, ni URL de foros. Todas las direcciones IP usan los rangos TEST-NET de la RFC 5737 (192.0.2.x, 198.51.100.x, 203.0.113.x) y el espacio de documentación de la RFC 3849 (2001:db8::), y todos los hashes son hexadecimales de relleno. El laboratorio no reproduce ningún conjunto de datos real y no sirve para acceder a nada.
¿En quién se inspira y qué es darkforums-ip-intel?
La inspiración real es Iván Castañeda (@ivancastl) y su proyecto de código abierto darkforums-ip-intel, que muestra cómo correlacionar la actividad de foros de filtraciones para inteligencia de amenazas; consulta https://github.com/Ivancastl. Nota de uso responsable: su conjunto de datos contiene datos personales procedentes de filtraciones y es solo para investigación CTI autorizada. Este laboratorio reconoce ese trabajo previo pero NO reproduce ninguno de sus datos y usa solo ejemplos sintéticos. Enseña la mentalidad defensiva de correlación (hacer triaje de metadatos para priorizar amenazas), no cómo obtener, extraer o procesar datos filtrados reales.
¿Es legal y defensivo, o ayuda a acceder a filtraciones?
Es estrictamente educativo y defensivo. El laboratorio enseña a un analista de CTI a correlacionar los METADATOS de publicaciones que ya muestra una fuente de inteligencia de amenazas, para que un equipo de seguridad pueda decidir qué afirmaciones merecen atención: detectar un volcado reciclado antes de abrir un incidente innecesario, fusionar hilos duplicados, atribuir actividad a un solo actor y ver pronto una campaña sectorial. No respalda el acceso a datos filtrados, no contiene instrucciones para encontrar o descargar filtraciones ni para operar en foros reales, y solo nombra los foros como etiquetas abstractas. Trátalo como una simulación de formación, no como asesoramiento legal; una investigación real debe seguir tu propia autorización y orientación jurídica.
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.