La Dark Web se ha convertido en un bastión para la distribución y la venta de contenido ilícito, así como en un medio que favorece las actividades del crimen organizado (Connolly et al., 2023, p. 1). En este sentido, una de las principales arquitecturas que alberga servicios en la Dark Web es “The Onion Router”, más conocida como la red TOR. Esta red es un sistema computacional basado en nodos cuya finalidad principal es garantizar el anonimato de los usuarios (Lacey y Salmon, 2015, p. 118). Cuando un usuario emplea TOR, su tráfico de internet se enruta (se dirige) a través de una serie de servidores operados por voluntarios distribuidos en todo el mundo. Cada nodo solo conoce el nodo que le pasó los datos y el nodo al que se los entregará, creando capas de cifrado similares a las capas de una cebolla, de ahí su nombre. Esta cadena de nodos dificulta que cualquier persona pueda rastrear el origen real de los datos.

Si bien existen diversas técnicas y tácticas para explorar su contenido de manera dinámica, por ejemplo, el uso de Crawling (Gede et al., 2017, p. 2), análisis de contenido mediante etiquetas HTML (Al Nabki et al., 2017, p. 41) o incluso la utilización de Honeypots (Gallo-Serpillo y Valls-Prieto, 2024, p. 2), entre otras, resulta difícil estimar el volumen total de contenido ilegal alojado en la red TOR debido a la falta de indexación de los servicios y su naturaleza volátil; en este contexto, Saleem et al. (2022, p. 1) estiman que las páginas de acceso común (denominadas Web Superficial o Surface Web) representan aproximadamente el 4 % de los servicios de internet, mientras que el 96 % restante corresponde a contenido oculto y no indexado presente en la Dark Web. Aunque es complicado encontrar estudios actuales que cuantifiquen el contenido criminal en la red TOR, una aproximación volumétrica puede obtenerse a través de su propio servicio estadístico, el cual revela una recurrencia diaria de más de 700 000 servicios ocultos activos, alcanzando su punto máximo el 18/01/2024 con 1 233 872 servicios activos (Imagen 1).

Considerando la gran cantidad de información y servicios accesibles en internet, la filtración de datos representa un riesgo crítico recurrente para todas las organizaciones y los usuarios individuales, ya que puede derivar en delitos como la extorsión, la divulgación de secretos o la práctica de Doxing (la publicación de datos personales de un individuo sin su consentimiento, lo que se considera una violación de la privacidad) (Naskali et al., 2024, p. 101). En cuanto a los factores desencadenantes, las filtraciones de datos ocurren cuando información confidencial o sensible se expone a individuos o entidades no autorizadas, ya sea de manera intencional o accidental. Bajo esta premisa, los principales escenarios de riesgo que facilitan estas fugas se clasifican en:

Independientemente del factor que la desencadene, cuando un actor malintencionado filtra datos críticos, estos suelen hacerse públicos en internet con el fin de causar daño reputacional, moral o psicológico, o bien para obtener ganancias mediante extorsión o venta en el mercado negro. En este último caso, la Dark Web representa uno de los principales canales de distribución, con numerosas credenciales robadas disponibles en portales de compraventa (Lin et al., 2020, p. 488). En la Imagen 2 se muestra un ejemplo real de un servicio oculto en la Dark Web dedicado a la venta de filtraciones de datos, el cual, hasta el 01/11/2024, sigue activo.

En cuanto al impacto en el sector empresarial, según un estudio realizado por Pimenta Rodrigues et al. (2024, p. 1), basado en una recopilación de filtraciones de datos ocurridas entre 2018 y 2019 publicada por Neto et al. (2021, pp. 1-33 passim), el sector con mayor incidencia de filtraciones de datos corresponde al sector tecnológico, seguido por los datos gubernamentales. Por otro lado, el informe realizado por Ewala IT Services (Ewala IT Services, 2023, p. 14), una empresa especializada en la monitorización de filtraciones de datos, que ha recopilado más de 460 filtraciones de datos hasta la fecha, indica que, en 2023, el sector de la salud fue el más afectado, seguido por el sector tecnológico especializado en hardware.

Finalmente, existen escenarios de riesgo que trascienden el daño reputacional, económico y moral de una organización o usuario individual, alcanzando situaciones en las que la seguridad nacional se ve comprometida. Como ejemplo de ello, el 15 de enero de 2021, un ciberdelincuente intentó envenenar una planta de tratamiento de agua en la ciudad de Oldsmar, Florida, EE. UU. Según Cyberprotection Magazine (2021), al respecto se sabe que el intento de sabotaje ocurrió porque el ciberdelincuente obtuvo una filtración de datos que contenía el nombre de usuario y la contraseña de un exempleado de la planta, lo que le habría permitido el acceso remoto a través de la aplicación TeamViewer; este software permite, entre otras funcionalidades, el control remoto y la transferencia de archivos entre computadoras. El atacante intentó cambiar la concentración de hidróxido de sodio en el sistema de 100 a 11.100 partes por millón, afortunadamente, no se registraron víctimas por envenenamiento.

Dado lo expuesto en los párrafos anteriores, resulta evidente que las filtraciones de datos representan riesgos significativos para individuos, organizaciones y la sociedad. Afrontar los desafíos que plantean estas filtraciones requiere medidas proactivas para su prevención y, en caso de que esto no sea posible, reducir el impacto.

Dado que la protección de datos confidenciales ante filtraciones es una preocupación creciente, la investigación sobre enfoques de ciberseguridad para abordar este problema ha ganado atención en los últimos años. La mayoría de las investigaciones realizadas para abordar este problema se centran en los Sistemas de Prevención de Filtración de Datos (DLPS, por sus siglas en inglés), que han surgido como una barrera para hacer frente al problema (Alneyadi et al., 2016, p. 1). Sin embargo, estos sistemas se centran en soluciones de software que no permiten examinar el contenido de las filtraciones. Una técnica interesante que aún no ha sido explorada en profundidad es el análisis del texto contenido en las filtraciones. Esto ha sido mencionado brevemente por Ojoawo et al. (s. f., p. 14), quienes se basan en el análisis de texto a partir de la exploración de redes sociales; aunque este enfoque puede ser muy interesante, la falta de estudios en este campo se debe al desafío que supone la heterogeneidad de los datos, que hacen que el estudio de técnicas preventivas basadas en software y hardware sea más rápido que el análisis de la información filtrada. Sin embargo, si abordamos el problema desde una perspectiva social, en lugar de solo una económica o de infraestructura, el impacto de los datos ya filtrados puede ser significativo, motivo por el cual es crucial comprender la información contenida en estas filtraciones.

La minería de información implica descubrir conocimientos a partir de grandes conjuntos de datos con el objetivo de extraer información útil; se basa, entre otros conceptos, en la agregación de información, la cual permite, mediante el procesamiento en conjunto de estas grandes cantidades de información, detectar comportamientos que no pueden apreciarse en el dato individual. El aprendizaje automático, una rama de la inteligencia artificial, se centra en desarrollar algoritmos y modelos que permiten a las máquinas aprender y mejorar automáticamente cuando son expuestas a información, sin ser programadas explícitamente para encontrar y extraer patrones concretos en los datos. En ámbitos con grandes cantidades de datos suponen un gran avance en relación con la programación explícita, la cual requeriría una gran revisión humana para llegar a conocer primero todos los datos disponibles, así como aquellos de interés particular. Estas tecnologías se utilizan cada vez más en ciberseguridad para detectar y prevenir amenazas cibernéticas (Nayak et al., 2020, p. 1), por ejemplo, mediante la aplicación de aprendizaje automático en este campo se puede analizar el tráfico de la red en busca de comportamientos anómalos que indiquen posibles ataques, mientras que la minería de datos ayuda a identificar correos electrónicos de phishing o malware, lo que permite a muchas aplicaciones de gestor de correo la creación de carpetas inteligentes.

Extraer información de la filtración de datos presenta diversos desafíos relacionados con los formatos en los que se encuentra la información; no obstante, a pesar de la variedad de formatos de archivo, que incluye imágenes, bases de datos, hojas de Excel, documentos, correos electrónicos, archivos PDF…, entre otros, y a pesar de que cada formato requiere de técnicas especializadas para la extracción de su información, todos tienen en común el contener información de carácter textual.

La minería de texto, un subcampo de la minería de información y el procesamiento del lenguaje natural (NLP), permite analizar los datos en texto no estructurado presentes en documentos filtrados. Así, una vez que el texto ha sido extraído de los archivos, se pueden aplicar técnicas de minería de texto, como la recuperación de información, la clasificación de texto y el reconocimiento de entidades (Guo et al., 2023, p. 1) para automatizar el análisis del contenido. Más concretamente, en el análisis de filtraciones de datos, una combinación de técnicas clásicas de minería de texto, como las búsquedas basadas en expresiones regulares, junto con el uso de modelos de lenguaje preentrenados (Language Models, LMs) que permiten el reconocimiento de entidades, puede ahorrar horas de búsqueda sobre los datos sensibles filtrados en comparación con el tiempo que requeriría dicha tarea a un humano. Estas técnicas permiten una exploración exhaustiva de los datos filtrados, identificando patrones y tendencias críticas para comprender la naturaleza y el alcance de la filtración de información confidencial.

En conclusión, nuestro objetivo en este trabajo es extraer información relevante de diversas filtraciones de datos, permitiendo consultas posteriores, como determinar si el número de tarjeta de crédito o el email de un individuo ha sido comprometido. Por esta razón, este proceso no solo implica procesar los archivos contenidos en la filtración y extraer su texto para el posterior reconocimiento de entidades, sino también establecer una infraestructura eficiente de base de datos que facilite consultas posteriores de manera efectiva. A través de este estudio, también buscamos evaluar las posibles implicaciones de estas filtraciones de datos en la privacidad de los individuos y la seguridad organizacional.

El objetivo de esta sección es describir la arquitectura de alto nivel presentada en la Imagen 3, que sirve como la columna vertebral del proyecto, proporcionando un marco para la implementación de la solución propuesta. El proceso general se distribuye en cuatro módulos lógicos:

En las siguientes secciones, se explica en detalle cada módulo, proporcionando un desglose de sus funcionalidades, estrategias de implementación e integración dentro de la arquitectura general, con el objetivo de detallar el proceso seguido en la implementación.

Según la definición dada por Ryan Mitchell (2015, p. 7), el término Web Scraping se refiere a la práctica de recopilar automáticamente datos de internet. Es una técnica con una larga historia y, dado que se usa ampliamente en varios contextos, también puede encontrarse bajo términos como screen scraping, data mining, web harvesting u otras variantes similares. Inicialmente, el Web Scraping estaba orientado a la obtención de datos de la Web Superficial (Surface Web); posteriormente, se desarrollaron adaptaciones específicas para inspeccionar datos en la Deep Web (Zhang et al., 2004, p. 1). Para esta investigación, se ha propuesto un microservicio con la capacidad de recopilar datos de una fuente específica en la Dark Web, aunque su uso puede extenderse a otras fuentes en el mercado negro de datos en internet. Un microservicio es un modelo arquitectónico que separa grandes sistemas en pequeñas unidades funcionales (Karabey Aksakalli et al., 2021, p. 1). La idea básica del microservicio propuesto es la siguiente: dada una URL de la red TOR, el microservicio debe ser capaz de navegar por los enlaces presentes en la página web para, en última instancia, descargar filtraciones de datos.

El microservicio diseñado para recopilar datos de la Dark Web requiere una serie de pasos específicos para su implementación en la red TOR, los cuales se detallan a continuación:

La fuente de datos seleccionada (Imagen 4) no requiere paginación ni interacción con un sistema de inicio de sesión, ya que los datos compartidos en el servicio oculto seleccionado están organizados en una página HTML estática, lo que reduce la complejidad en la detección y la descarga de nuevas filtraciones de datos.

Dado que la adquisición ilícita de datos a través de intrusiones ilegítimas constituye un delito de descubrimiento y revelación de secretos, en las modalidades de intrusión o acceso indebido a sistemas informáticos (Código Penal, 1995, art. 197) y que, aunque los investigadores no sean autores directos de tales delitos, podrían estar incurriendo en un delito de recepción de información robada (Código Penal, 1995, art. 298), para la presente demostración, se ha simulado la descarga del material en el servicio oculto seleccionado de la Dark Web. Específicamente, el conjunto de datos en bruto presentado en la sección “Resultados Experimentales” ha sido construido expresamente para cubrir este experimento, evitando así que la acción de descarga constituya un delito.

Una vez definido cómo se obtienen los datos, el siguiente paso es determinar cómo se almacenan en su formato original. En este proceso, se busca recopilar filtraciones relacionadas con una fecha específica, reuniendo todos los datos relevantes.

En este sentido, es necesario introducir el concepto de Amazon Bucket, que se refiere a un recurso de almacenamiento en Amazon Web Services (AWS). En este estudio, se utiliza específicamente un Amazon S3 Bucket. El término S3 proviene de Simple Storage Service, ya que es un servicio de almacenamiento basado en la nube proporcionado por AWS, diseñado para almacenar y recuperar grandes volúmenes de datos de manera segura y eficiente a través de internet. Así, un Amazon S3 Bucket es esencialmente un contenedor para almacenar archivos y documentos dentro de la infraestructura de almacenamiento de Amazon S3.

Por lo tanto, una vez recopilados, los datos se almacenan en un Amazon Bucket, proporcionando una solución de almacenamiento segura y escalable. Este enfoque garantiza que los datos en bruto permanezcan accesibles para su posterior análisis y procesamiento, mientras se siguen las mejores prácticas en gestión y almacenamiento de datos.

El proceso de aplicación de técnicas de minería de texto a los datos recopilados abarca varios pasos para extraer y analizar información textual de manera eficiente. Inicialmente, todos los archivos en su formato original deben ser leídos para asegurar un conjunto de datos integral que permita analizar y detectar información potencialmente peligrosa.

Para abordar el desafío de procesar y extraer información útil de los archivos almacenados en un bucket, se deben seguir una serie de pasos metodológicos. En primer lugar, se debe garantizar la lectura correcta de los archivos en el bucket, lo que, aunque pueda parecer trivial, representa un desafío significativo debido a la diversidad de formatos de archivo e idiomas en los que pueden estar escritos los documentos. Este paso es crucial, ya que una lectura precisa que garantice la carga completa de los archivos es fundamental para el procesamiento posterior, especialmente cuando se trata de contenido en diferentes alfabetos. Un manejo incorrecto podría llevar a la pérdida de datos o a una mala interpretación de la información, por lo que es imperativo implementar técnicas de análisis y conversión de texto robustas. Para garantizar que todos los archivos puedan ser leídos con precisión, independientemente de su formato o idioma, se ha utilizado la biblioteca chardet para detectar la codificación correcta. A continuación, se presenta un ejemplo mínimo reproducible que utiliza chardet para leer archivos con codificaciones desconocidas.

Posteriormente, determinar el tipo de archivo en función de su extensión es crucial para manejar correctamente la extracción de texto. Una vez identificadas las características del archivo, el siguiente paso implica procesar el texto contenido en estos archivos.

Para ello, se emplea un método especializado de extracción de texto, adaptado al tipo de archivo y a su codificación específica. Para abrir y leer el contenido sin errores, fue necesario considerar estas diferencias, lo que requiere desarrollar un código que cubra exhaustivamente la naturaleza de todos los archivos que podrían llegar a encontrarse potencialmente en la Dark Web.

Los archivos en formatos de texto plano, como.txt,.rtf,.msg o incluso formatos de código como.sql,.java,.py, entre otros, pueden leerse como texto plano. Aunque los archivos con extensiones de código pueden parecer irrelevantes a primera vista, pueden ser cruciales. Por ejemplo, los archivos.sql se utilizan para definir bases de datos y, si contienen datos almacenados dentro de ellos, podrían incluir información sensible sobre los usuarios. Sin embargo, otros formatos, como archivos de.xlsx o.pdf, no pueden leerse de manera directa y requieren el uso de bibliotecas especializadas. La carga del texto de estos archivos se ha realizado en Python utilizando bibliotecas como pandas para manejar archivos.csv (que son texto plano, pero pueden gestionarse de manera más eficiente con esta biblioteca), openpyxl y xlrd para archivos con extensiones correspondientes al programa Excel, y PyPDF2 para archivos PDF. Los archivos PDF presentan un desafío adicional, ya que requieren el uso de herramientas de reconocimiento óptico de caracteres (OCR, por sus siglas en inglés) para extraer el texto después de haber sido leído el archivo. Además, cuando se recuperan archivos desde el bucket, el flujo de datos difiere en comparación con el acceso a archivos locales. Para mitigar posibles problemas, se almacena una copia temporal del archivo PDF en la máquina local antes de extraer el texto. Esto garantiza un procesamiento más fluido y evita posibles retrasos o interrupciones relacionadas con la red al cargar el contenido del archivo en Python. A continuación, se proporciona un ejemplo mínimo de código para ilustrar este proceso.

Estas bibliotecas aseguran que los datos de texto estén estandarizados y preparados para un análisis posterior, incluyendo tareas como la limpieza de datos y la normalización del texto.

Después de la extracción del texto, se implementa el reconocimiento de entidades para analizar el texto procesado. Aunque los modelos preentrenados ofrecen amplias capacidades, pueden no ser siempre efectivos, especialmente cuando se trabaja con datos multilingües y patrones específicos. La implementación de spaCy, una biblioteca de procesamiento del lenguaje natural en Python, resalta la importancia de personalizar los modelos para adaptarlos a necesidades específicas. Además, las variaciones lingüísticas entre distintos idiomas pueden hacer que los modelos preentrenados en su versión por defecto sean insuficientes. En escenarios que involucran información sensible, utilizar la biblioteca para definir patrones en lugar de emplear modelos preentrenados completos resulta más práctico y eficaz. En este contexto, confiar en la coincidencia de patrones (pattern matching) para el reconocimiento de entidades demuestra ser una ventaja. Este enfoque permite identificar entidades basadas en patrones predefinidos, asegurando una mayor precisión y relevancia dentro del contexto del conjunto de datos.

Por esta razón, se ha implementado un módulo para procesar los datos textuales utilizando varios extractores de información definidos por patrones, con el objetivo de recopilar diferentes entidades de información, como identificaciones (ID), correos electrónicos, números IBAN, entre otros. Estos extractores están diseñados para identificar y extraer información vulnerable relevante del texto, basándose en la búsqueda de patrones que caracterizan estas estructuras.

Por ejemplo, consideremos la detección de direcciones de correo electrónico. Estas pueden dividirse de la siguiente manera según el patrón mostrado a continuación.

Esta definición evita la búsqueda literal y permite que, incluso si no conocemos la coincidencia exacta que estamos buscando, el texto real que coincide con estos patrones se recupere del documento. Utilizando estas entidades encontradas mediante patrones en el texto, el módulo almacena la información extraída y procesada en una base de datos. Esta base de datos actúa como un repositorio centralizado para almacenar toda la información vulnerable relevante descubierta durante el proceso de minería de texto. Al almacenar los datos en un formato estructurado, la base de datos permite una gestión eficiente de la información, facilitando su recuperación y análisis, lo que posibilita una exploración más profunda y un mejor aprovechamiento de los conocimientos extraídos.

Este módulo de la arquitectura implica la consulta de la base de datos relacional diseñada para almacenar toda la información obtenida. Este proceso conlleva la ejecución de consultas en Python para extraer información específica, como identificar qué archivos contienen información vulnerable o determinar qué tipo de información sensible está presente en un archivo en particular. La base de datos relacional actúa como un repositorio estructurado que organiza y almacena los datos recopilados, asegurando una gestión eficiente y una recuperación óptima de la información.

Adicionalmente, para facilitar la interacción fluida con los datos almacenados, se ha desarrollado una API con endpoints. Estos endpoints permiten realizar consultas a la base de datos desde otras aplicaciones, brindando flexibilidad e interoperabilidad. A través de estos puntos de acceso, aplicaciones externas pueden consultar y recuperar información relevante, aprovechando el conjunto de datos almacenado en la base de datos relacional. Esta API mejora la accesibilidad y la usabilidad de la arquitectura, permitiendo a los usuarios explorar y utilizar eficientemente los conocimientos obtenidos a partir de la exploración de los resultados.

En la Imagen 9 se muestra un ejemplo de un correo electrónico que podría aparecer en una filtración de datos y contener información vulnerable. Esta imagen ilustra la posible exposición de datos sensibles en tales filtraciones, enfatizando la necesidad de herramientas sólidas de ciberseguridad para protegerse contra accesos no autorizados a información personal y confidencial.

Por ejemplo, supongamos que en la imagen que se muestra en la Imagen 6 apareció en un archivo PDF dentro de una filtración de datos; si un hacker accede a este archivo y encuentra un correo electrónico que contiene tanto la dirección de correo como el número IBAN de una persona, la combinación de estas dos piezas de información puede facilitar el robo de identidad, fraudes financieros o incluso el acceso a cuentas bancarias; además, aunque las transacciones suelen requerir una contraseña, muchas personas aún utilizan contraseñas de cuatro dígitos fácilmente hackeables con técnicas simples de fuerza bruta y exploración basada en combinatoria, lo que aumenta el riesgo. Un atacante podría aprovechar esta información para realizar transacciones no autorizadas, como compras fraudulentas. Todo esto hace que la exposición simultánea de una dirección de correo electrónico y un número IBAN en un mismo texto sea peligrosa, debido al riesgo de comprometer la privacidad y la seguridad financiera de la persona. Además, revelar esta información en un solo texto aumenta la vulnerabilidad de la persona ante ataques de phishing y otros esquemas de ingeniería social, donde los delincuentes intentan engañar a las víctimas para que revelen más información confidencial. Por lo tanto, es crucial proteger tanto la dirección de correo electrónico como el IBAN de una persona y evitar que aparezcan juntos en el mismo documento para mitigar el riesgo de explotación y abuso.

Por un lado, para identificar la dirección de correo electrónico, el software emplea el patrón previamente establecido, donde no es necesario definir el texto específico del usuario, el dominio o la extensión, sino solo el conjunto de caracteres permitidos. Se puede observar una coincidencia en el texto con este patrón al examinar la estructura construida con los símbolos “@” y “.”, como se muestra en la tabla siguiente.

De manera similar, el software está programado para identificar otras secuencias de caracteres, como las que siguen el formato de un número IBAN, una secuencia alfanumérica (con o sin espacios) que identifica de manera única cuentas bancarias. Se puede observar que este patrón es detectado en la información filtrada, permitiendo la identificación y la extracción eficiente de números IBAN en el conjunto de datos. Al utilizar estos dos extractores de entidades, la información resaltada en la Imagen 10 se extraería del correo electrónico y se almacenaría en la base de datos, haciéndola disponible para futuras consultas.

Si bien este ejemplo ilustra un proceso de detección sencillo, dado que el contenido del archivo es pequeño, es fundamental reconocer que el procesamiento manual de conjuntos de datos más grandes consumiría una cantidad considerable de tiempo y recursos. En contraste, las capacidades automatizadas del software propuesto permiten detectar y categorizar información relevante de manera rápida y eficiente, permitiendo a los usuarios gestionar y analizar grandes volúmenes de datos en cuestión de segundos. Esto pone en valor los beneficios significativos en términos de ahorro de tiempo y mejora de la productividad que ofrecen las soluciones automatizadas de procesamiento de datos en comparación con los métodos manuales.

El hecho de que toda la información recopilada a partir del texto se almacene posteriormente en una base de datos relacional dedicada para su análisis posterior permite realizar consultas sobre la información extraída de manera eficiente y escalable.