La revolución del cibercrimen en Telegram: cómo la mensajería instantánea se convirtió en la vía rápida de la dark web

Antes, podían pasar días o incluso semanas desde que unas credenciales corporativas robadas salían de un portátil infectado hasta que llegaban a manos de un hacker decidido. Ya no es así. En un giro dramático, los ciberdelincuentes están usando Telegram - conocido principalmente como una app de mensajería centrada en la privacidad - como un mercado de alta velocidad para inicios de sesión hackeados, con consecuencias devastadoras para empresas de todo el mundo.

Quedaron atrás los días en que los foros de la dark web eran los bazares exclusivos donde los hackers vendían acceso a redes. Hoy, los canales de Telegram - algunos públicos, muchos privados - se han convertido en prósperos centros donde los “stealer logs” (colecciones de nombres de usuario y contraseñas extraídas por malware) se agrupan, buscan y revenden a gran escala. Para los ciberdelincuentes, Telegram es mucho más que una app de chat; es todo un ecosistema donde todo, desde el robo de credenciales hasta la humillación pública de víctimas de ransomware, ocurre en tiempo real.

Los Brokers de Acceso Inicial (IAB), especializados en vender puntos de entrada a entornos corporativos, ahora obtienen rutinariamente credenciales frescas de VPN y RDP directamente de canales de Telegram alimentados por info-stealers. Publicitan el acceso con detalles: tamaño de la empresa, ubicación geográfica, nivel de administrador y servicios disponibles. Una vez que un comprador muestra interés, las negociaciones pasan rápidamente a chats privados, donde los vendedores ofrecen demostraciones en vivo - como iniciar sesión en el panel de la nube o el escritorio remoto de la víctima en tiempo real - para probar la autenticidad.

Esta evolución ha trastocado el antiguo modelo de tiendas de acceso. Los foros tradicionales de la dark web son lentos, dependen de la reputación y están bajo constante amenaza de acciones policiales. La arquitectura basada en canales de Telegram, en cambio, permite a los actores de amenazas recuperarse casi instantáneamente de los cierres: si un canal es bloqueado, surge uno nuevo y los suscriptores se migran sin problemas. Los bots gestionan suscripciones, automatizan pagos e incluso distribuyen actualizaciones de malware, convirtiendo a Telegram en un centro de operaciones criminal tan eficiente como cualquier plataforma SaaS legítima.

Los grupos de ransomware y hacktivistas no solo usan Telegram para logística. También lo aprovechan para la guerra psicológica - filtrando públicamente datos de víctimas y organizando cuentas regresivas para aumentar la presión sobre las organizaciones. Grupos como Cyber Fattah y NoName057 han demostrado cómo Telegram puede servir tanto para fines operativos como de propaganda, amplificando el alcance y el impacto de sus ataques.

Para los defensores, esta “plataformización” del cibercrimen es un escenario de pesadilla. La barrera de entrada para aspirantes a atacantes nunca ha sido tan baja, y el tiempo entre el robo de credenciales y una brecha corporativa ahora se mide en horas, no en días. A medida que Telegram consolida su papel como escaparate y mesa de ayuda del inframundo cibernético, las empresas deben replantear su enfoque sobre la seguridad de credenciales y la respuesta a incidentes - antes de que su chat interno se convierta en el próximo trofeo de un canal de Telegram.

WIKICROOK

• Broker de Acceso Inicial (IAB): Un Broker de Acceso Inicial es un ciberdelincuente que irrumpe en sistemas y vende ese acceso a otros, facilitando ataques cibernéticos posteriores.
• Stealer Log: Un stealer log es un archivo que contiene datos robados por malware infostealer, a menudo vendido o intercambiado en mercados de cibercrimen para usos maliciosos.
• RDP (Remote Desktop Protocol): RDP es un protocolo que permite a los usuarios acceder y controlar remotamente otra computadora a través de internet, usado frecuentemente para soporte remoto y gestión de servidores.
• Bot: Un bot es un programa automatizado que realiza tareas en línea a gran escala y velocidad, utilizado tanto para fines útiles como maliciosos.
• Ransomware: El ransomware es un software malicioso que cifra o bloquea datos, exigiendo un pago a las víctimas para restaurar el acceso a sus archivos o sistemas.

A medida que la línea entre plataformas sociales y mercados criminales se difumina, la transformación de Telegram es un recordatorio contundente: en la era digital, cualquier herramienta puede convertirse en un arma. El ecosistema del cibercrimen evoluciona a una velocidad vertiginosa - y los defensores deben mantenerse al ritmo, o arriesgarse a quedarse atrás.