¿Qué es la Dark Web? Significado, definición y cómo funciona

¿Qué es la Dark Web?

La dark web es una capa de internet que funciona sobre redes superpuestas cifradas y que requiere software diseñado específicamente para acceder a ella. Los navegadores estándar no pueden abrirla, y los motores de búsqueda no la indexan. El significado de dark web es limitado en la práctica. Ni el host ni el visitante pueden ser localizados.

En junio de 2025, el Servicio Secreto de EE. UU. y el FBI incautaron aproximadamente 145 dominios de darknet vinculados al mercado BidenCash, que vendía tarjetas de pago robadas y credenciales comprometidas.

Si dirige operaciones de seguridad, la dark web es donde se ponen precio y se revenden sus credenciales robadas. Esta página cubre cómo funciona la red, qué contiene y dónde vigilar.

Dark Web vs Deep Web vs Surface Web

Todavía existe mucha confusión entre deep web y dark web. Como resultado, ‘Dark Web’ a menudo se usa indistintamente con ‘Deep Web,’ pero en realidad, son dos cosas diferentes. La “Surface Web” comprende los sitios de la WWW que se pueden buscar usando motores de búsqueda como Google o Bing.

Todo lo que queda fuera de ese índice, oculto detrás de una contraseña o de cualquier software, se conoce como Deep Web o Dark Web. La diferencia entre deep web, dark web y los sitios de superficie es esencial para las organizaciones que evalúan las amenazas que provienen de internet.

1. Surface Web – Fácilmente indexada: La surface web comprende toda la información a la que se puede acceder mediante un navegador web estándar y utilizando rastreadores estándar de motores de búsqueda. Esto incluye sitios web de noticias, páginas de redes sociales, sitios web corporativos y tiendas en línea, entre otros. Se puede acceder a estos dominios a través de enlaces proporcionados por los sitios web o mediante resultados de motores de búsqueda. Representa solo una pequeña parte de internet, pero la gente la asocia con el término ‘Web’.
2. Deep Web – Páginas no indexadas: Las páginas de Deep Web no están indexadas en los motores de búsqueda típicos, ya sea porque están detrás de un muro de pago o en una red privada. Algunos ejemplos incluyen las bases de datos internas de la empresa, correos electrónicos protegidos por contraseña y revistas y publicaciones periódicas de pago. Esta dimensión no indexada es mucho mayor que la surface web en términos de tamaño. Cabe destacar que la deep web no tiene implicaciones criminales, pero algunos de los sitios de dark web suelen denominarse deep web.
3. Dark Web – Anonimato por diseño: La Dark Web es una parte de la Deep Web, que consiste en sitios alojados en redes anónimas como Tor o I2P. También denominados “sitios onion v3” en la red Tor, estos dominios tienen caracteres aleatorios y terminan en “.onion”. Se puede acceder a ellos mediante navegadores de dark web para garantizar que la identidad del usuario y la dirección IP permanezcan ocultas. Este entorno admite grupos de discusión encubiertos, comercio ilícito y formas seguras de comunicación.
4. Diferencias de accesibilidad: Encontrar los sitios de superficie es tan simple como buscar en Google. La mayoría de las páginas de Deep Web requieren un nombre de usuario y una contraseña o la dirección real de la página. En cambio, los recursos de Dark Web solo son accesibles con la ayuda de software específico o del motor de búsqueda de dark web que funciona dentro de las redes de anonimato. Muchos principiantes se preguntan: “¿qué es la dark web?” al aprender estos pasos de accesibilidad únicos, que son bastante diferentes de la surface web simple y abierta.
5. Variedad de contenido: La surface web comprende artículos, blogs y sitios de comercio electrónico, mientras que la Deep Web incluye información privada, documentos protegidos por contraseña y redes internas. Por otro lado, los sitios de dark web pueden contener desde foros de discusión para activistas políticos hasta un mercado de narcóticos. El rango es amplio, lo que demuestra que la actividad en la dark web puede ser bastante útil y legal, así como completamente ilícita.
6. Implicaciones de seguridad: Si bien la mayoría de las interacciones en la web superficial e incluso en la Deep Web son seguras, debido al anonimato de la Dark Web, los riesgos son mayores. Este es el lugar al que acuden los actores de amenazas para comprar y vender datos robados y herramientas de hacking o para asociarse entre sí. Las empresas utilizan servicios de escaneo de la dark web para rastrear credenciales robadas u otra propiedad intelectual dentro de la empresa. En lo que ayuda la categorización de Dark Web vs Surface Web es en que explica cuánto riesgo está en juego cuando los datos de una organización pasan a la Dark Web.
7. Percepción y legalidad: Aunque la Deep Web es en su mayoría inocua, la dark web tiene una imagen siniestra debido a los mercados negros y los grupos de hacking. Este tipo de sitio suele salir a la luz cuando se detiene a grandes traficantes de drogas o defraudadores de tarjetas de crédito. Sin embargo, incluso los sitios de dark web también contienen muchas actividades legales, por ejemplo, la comunicación de disidentes políticos. En este caso, percibir todo el contenido oculto como intrínsecamente ilícito pasa por alto los aspectos sutiles de la Dark Web.

¿Cómo funciona la Dark Web?

La dark web funciona mediante onion routing, desarrollado a mediados de la década de 1990 por investigadores del U.S. Naval Research Laboratory y publicado como software Tor de código abierto en 2002. Su mecánica explica por qué la atribución es difícil y por qué los desmantelamientos duran años:

1. Su cliente Tor elige al azar tres relés operados por voluntarios de un conjunto global, rotándolos periódicamente.
2. El tráfico se cifra en tres capas, una por relé, como una cebolla.
3. Cada relé descifra solo su propia capa, y solo conoce el salto anterior y el siguiente. Ninguno conoce tanto su dirección IP como el destino.
4. Un servicio .onion no tiene relé de salida. El cliente y el servicio construyen cada uno un circuito hacia un punto de encuentro compartido, por lo que ninguno conoce la ubicación del otro.
5. La dirección es una cadena de 56 caracteres derivada de una clave pública criptográfica, que el DNS convencional nunca resuelve.

Los desmantelamientos provienen de errores de los operadores: una dirección de correo reutilizada, un pago rastreable, infraestructura reciclada. Cuando una operación liderada por EE. UU. con Europol incautó AlphaBay en julio de 2017, entonces el mayor mercado de dark web en funcionamiento, los investigadores habían identificado a su administrador a través de una dirección de correo personal dejada en los primeros mensajes automatizados del sitio. El cifrado de Tor resistió. Esos hábitos determinan el aspecto de los sitios de dark web.

Obtenga más información sobre amenazas

Descubra cómo WatchTower, el servicio de caza de amenazas de SentinelOne, puede proporcionarle más información y ayudarle a superar los ataques.

Más información

¿Qué aspecto tiene la Dark Web?

La mayoría de los sitios de dark web tienen mucho texto, son visualmente simples y lentos, porque cada carga de página atraviesa varios relés y las configuraciones reforzadas de Tor bloquean los scripts y las imágenes que hacen que los sitios modernos sean rápidos.

Cada función eliminada cierra una vía más de desanonimización. Llegar a esa interfaz requiere una configuración deliberada.

Cómo acceder a la dark web de forma segura

El acceso es una tarea de investigación con un radio de impacto, no una decisión de navegación. Los analistas, investigadores de fraude y equipos de respuesta a incidentes tienen motivos para entrar allí. Todos los demás en su red no los tienen. Donde lo permita, establezca el límite antes de que alguien abra un navegador:

1. Tor Browser como cliente. Tor es gratuito y de código abierto, y resuelve direcciones .onion que los navegadores comunes no pueden. Descárguelo solo desde Tor Project. Los instaladores clonados distribuidos mediante anuncios de búsqueda son un problema constante.
2. Una VPN delante de Tor. Esto oculta el uso de Tor a su ISP y, más concretamente para una empresa, mantiene el espacio IP corporativo fuera de la conexión. La atribución funciona en ambos sentidos: un operador de mercado que detecta un bloque de direcciones empresariales en sus registros descubre quién está observando.
3. Una máquina aislada. Una máquina virtual dedicada o una red de investigación segmentada mantiene la sesión alejada de las credenciales de producción y de los sistemas internos. Segmentación de red es el control que limita a qué puede acceder un host de investigación comprometido.
4. Solo direcciones verificadas. No existe un índice autorizado, y los sitios .onion clonados que replican mercados reales para robar credenciales de inicio de sesión son comunes. Trabaje con direcciones que su equipo de inteligencia ya haya validado, nunca desde un directorio aleatorio.
5. Una política por escrito. Navegar es legal en EE. UU. y en la mayor parte de Europa, pero la conducta no lo es, y algunas jurisdicciones supervisan o bloquean directamente las redes de anonimización. Defina de antemano qué roles pueden acceder, desde dónde y con qué pueden interactuar.

El acceso manual tiene un límite. Un analista puede leer unos pocos foros; la exposición que le importa está repartida entre cientos, la mayoría solo por invitación. Lo que sobrevive dentro de esa interfaz simple es una economía operativa, y leerla a escala es un problema de recopilación.

¿Qué hay en la Dark Web? Qué puede encontrar

Lo que hay en la dark web se divide en tres grupos que un programa de monitoreo maneja de forma diferente: mercados que venden acceso, sitios de filtración que publican datos robados y servicios legítimos que necesitan anonimato para poder operar.

Mercados y servicios de ciberdelincuencia

Los mercados de la dark web son la parte que importa operativamente, ya que convierten una sola contraseña robada en un producto con precio, vendedor y comprador:

• Credenciales robadas: registros de infostealers, cookies de sesión y los paquetes de identidad detrás de los ataques de account takeover.
• Ransomware-as-a-service: programas de afiliados que permiten a actores con pocas habilidades desplegar cargas útiles de cifrado a cambio de una parte de las ganancias.
• Corredores de acceso inicial: vendedores que vulneran una organización y revenden el punto de apoyo, con las credenciales de VPN corporativa entre las más costosas.
• Kits de exploits: malware builders, loaders, zero-day exploits, e infraestructura de ataque alquilada.

Cualquiera de estos puede nombrar directamente a su organización, lo que convierte el monitoreo del mercado en inteligencia utilizable.

Sitios de filtración y volcados de datos

Los grupos de extorsión operan sitios de filtración .onion dedicados que publican archivos robados de víctimas que se niegan a pagar, y esos volcados incluyen habitualmente credenciales internas, registros financieros y documentación técnica.

Los sitios cumplen una doble función: presionar a la víctima mientras anuncian su capacidad a los afiliados. REvil operó exactamente esa configuración junto con su campaña de zero-day de julio de 2021 contra el software VSA de Kaseya, que alcanzó aproximadamente a 1,500 empresas a través de proveedores de servicios gestionados y conllevó una exigencia de $70 millones. CISA y el FBI emitieron una guía conjunta para los proveedores afectados en cuestión de días.

Contenido legítimo y protegido

Una parte sustancial del tráfico de la dark web sirve a personas cuya seguridad depende del anonimato. SecureDrop en redacciones, incluida The New York Times, operan direcciones .onion para que las fuentes puedan enviar documentos de forma anónima, y la BBC replica sus reportajes para audiencias en países con censura.

Las comunidades de privacidad y los rastreadores académicos que alimentan el registro público de open source intelligence también la comparten. Ambas poblaciones dependen de la misma red, por lo que el bloqueo generalizado no es una estrategia de seguridad. Lo que realmente llega a su lado de esa red es más limitado y más fácil de identificar.

Riesgos de la Dark Web que enfrenta su organización

La exposición de credenciales es lo que convierte la actividad de la dark web en un incidente en su red. En 143 evaluaciones de organizaciones de infraestructura crítica, CISA encontró que las cuentas válidas (T1078) fueron la técnica de ataque exitosa más común, responsable del 41% de los intentos exitosos. Las credenciales robadas son exactamente lo que venden los mercados de la dark web.

DarkSide, un grupo de ransomware como servicio que reclutaba en foros de la dark web y operaba su propio sitio de filtraciones, dejó fuera de servicio durante días en mayo de 2021 al mayor oleoducto de combustible de la costa este de EE. UU. mediante una sola credencial de VPN comprometida. Colonial pagó aproximadamente 75 bitcoins; el FBI posteriormente rastreó e incautó 63.7 de ellos a través del libro mayor público.

Las exposiciones de la dark web que se deben rastrear:

• Reutilización de credenciales: una contraseña filtrada en una brecha de un tercero desbloquea cuentas corporativas allí donde se haya reutilizado.
• Datos de terceros: un proveedor comprometido puede poner sus datos en un sitio de filtraciones de la dark web mientras sus sistemas permanecen intactos.
• Abuso de marca: kits de phishing creados contra sus páginas de inicio de sesión, dominios similares y portales falsos se comercian abiertamente.
• Selección de objetivos previa al ataque: los afiliados debaten la selección de objetivos, por lo que su nombre puede aparecer antes de que se cifre nada.
• Señales de amenaza interna: los empleados ocasionalmente anuncian acceso interno en venta, una alerta temprana desde dentro.

Cada una es observable con la recopilación adecuada, y Singularity Identity detecta lo que la recopilación no detecta al señalar una credencial filtrada en el momento en que alguien la usa. La mayoría de los equipos no tienen ninguna de las dos cosas, en gran medida debido a algunos mitos persistentes.

Corrección de mitos comunes sobre la dark web

Los modelos mentales precisos cambian las decisiones de monitoreo de la dark web. Los supuestos siguientes desvían a los programas de seguridad en la dirección equivocada, normalmente al hacer que el problema parezca desesperado o irrelevante.

La última cuesta más, porque oculta a la mitad de quienes están en la red y por qué no pueden abandonarla.

Mejore su inteligencia sobre amenazas

Descubra cómo WatchTower, el servicio de caza de amenazas de SentinelOne, puede proporcionarle más información y ayudarle a superar los ataques.

Más información

¿Por qué la gente usa la dark web? ¿Por qué existe?

La gente usa la dark web para ocultar el comercio delictivo o para escapar de la vigilancia y del peligro físico. Esos motivos son incompatibles, pero ambas poblaciones dependen de garantías de anonimato idénticas. Su modelo de amenazas debe tener eso en cuenta.

Por qué los delincuentes la usan

Los delincuentes usan la dark web porque resuelve el problema más difícil del comercio ilegal: vender a desconocidos sin revelar quién es usted. Las puntuaciones de reputación, el depósito en garantía y los foros de disputas proporcionan la confianza que normalmente aporta la identidad; la criptomoneda liquida el pago. Esa maquinaria es lo que permite que una sola brecha de datos siga generando ganancias durante años después de que la intrusión en sí se haya cerrado.

Por qué los usuarios legítimos dependen de ella

Los periodistas, disidentes y supervivientes de abusos dependen de la dark web para su seguridad física, porque el correo electrónico estándar y las plataformas sociales filtran metadatos que revelan quién contactó con quién y cuándo. Tor se diseñó pensando en estos usuarios. La financiación del gobierno de EE. UU. la respaldó exactamente por esa razón. Una garantía sirve a ambos grupos, por lo que el vocabulario sigue siendo confuso.

La Black Web y otros términos alternativos

La black web, the black website y la dark network apuntan todas a la dark web, que sigue siendo el término técnico estándar y el que debe usarse en un informe:

• La black web y the black website: formulaciones informales, comunes en la cobertura general.
• La dark network: la propia infraestructura de anonimización, principalmente Tor, con I2P y Freenet como alternativas más pequeñas.
• Darknet: un mercado o foro concreto que funciona sobre esa infraestructura.

Traducir una vez evita confusiones cuando un ejecutivo pregunta sobre la black web y un analista responde sobre la cobertura de .onion.

Supervise la Dark Web con SentinelOne

La supervisión de la dark web solo ayuda cuando se ejecuta de forma continua y se asigna a sus activos. Para cuando regresa un escaneo semanal, las credenciales ya se han utilizado, los datos se han difundido y una campaña está en marcha.

La propia recopilación de SentinelOne cubre foros de la dark web y comunidades cerradas, y devuelve indicadores de compromiso junto con hallazgos específicos de la organización sobre exposición de credenciales y planificación de campañas. Wayfinder threat hunting combina esa fuente con analistas humanos, para que un indicador le llegue con atribución y contexto adjuntos.

Singularity AI SIEM correlaciona esa inteligencia con su telemetría en Singularity Data Lake, convirtiendo una credencial filtrada en una pregunta específica sobre su entorno. Purple AI luego ejecuta la investigación como consultas autónomas de varios pasos en lenguaje natural. En un estudio de valor empresarial de IDC, los usuarios de Purple AI identificaron amenazas un 63 % más rápido y las remediaron un 55 % más rápido que los equipos que trabajan manualmente.

Singularity Identity y Singularity Endpoint cierran el ciclo cuando se usa una credencial expuesta. La IA conductual detecta el patrón de viaje imposible, la plataforma puede aislar de forma autónoma la sesión antes de que un atacante afiance su presencia, y Storyline reconstruye cada proceso, conexión y movimiento lateral en una sola cronología.

Latio nombró a SentinelOne líder de plataformas SOC en su informe Security Operations Market Report 2026, la primera evaluación de plataformas SOC de la firma.

Solicite una demostración de SentinelOne para ver inteligencia de mercados criminales integrada en la respuesta de endpoint e identidad.

Futuro de la Dark Web

La dark web seguirá desarrollándose con la ayuda de nuevas tecnologías de anonimato, cambios en la legislación y las necesidades de los usuarios. Pronosticar su futuro implica analizar tendencias en cifrado, regulaciones y criptomonedas.

Aquí hay cinco señales de cómo podría ser el Internet oculto del mañana:

1. Protocolos de anonimato en evolución: Los métodos avanzados de cifrado, mejores sistemas de enrutamiento y próximas redes de privacidad pueden mejorar aún más la dark web. Actualmente, los científicos están experimentando con el uso de cifrado poscuántico para garantizar la seguridad frente a futuros avances en la computación. Esta mayor complejidad dificulta que las agencias de aplicación de la ley penetren la dark web, lo que apunta al hecho de que la dark web sigue siendo muy difícil de vulnerar.
2. Auge de redes alternativas: En este momento, Tor es la más popular, pero existen otras redes de anonimato como I2P que pueden volverse más populares en el futuro. Todas tienen atributos especiales, desde altas velocidades hasta compatibilidad mejorada con streaming. Estas alternativas amplían la clasificación de los sitios de la dark web, ya que ofrecen varias posibilidades para alojar contenido oculto. Un internet oculto más fragmentado puede requerir diferentes enfoques para escanear y supervisar la dark web.
3. Innovaciones en criptomonedas: La conexión entre las criptomonedas y la dark web probablemente seguirá evolucionando a medida que más monedas promuevan transferencias anónimas. La presencia de blockchains centradas en la privacidad como Zcash o Beam demuestra que la necesidad de instrumentos financieros anónimos sigue presente. Los gobiernos, por otro lado, no se han quedado atrás en el desarrollo de monedas digitales que ralentizan o redefinen los mercados oscuros.
4. Regulaciones más estrictas:Los parlamentos de diferentes países están considerando aprobar legislación que prohibirá o regulará el uso de herramientas en la dark web. Por ejemplo, las propuestas apuntan al cifrado o a los servicios de anonimato mediante la implementación de puertas traseras o la retención obligatoria de datos. Estas políticas podrían reducir el uso general de internet, pero pueden dar lugar a un aumento de su uso por parte de los delincuentes. La dark web puede dividirse en dos polos distintos, el puramente delictivo y el puramente legal, pero con nichos especializados entre ambos.
5. Crecimiento de la inteligencia corporativa: Se espera que más empresas presten atención a la dark web para prevenir filtraciones de datos y reconocer nuevas amenazas. Esto ha hecho que exijan pruebas de que la organización cuenta con soluciones de escaneo eficaces antes de poder obtener cobertura. En consecuencia, el uso de la dark web con fines adecuados, como por parte del personal de seguridad y los equipos de protección de marca, aumentará significativamente. Es posible que dicha profesionalización afecte la naturaleza de las comunidades ocultas en línea en el futuro.