Intel 471 sostiene en un análisis publicado hoy que el acceso interno se está vendiendo dentro del cibercrimen como una vía para saltarse controles de seguridad y ofrecer servicios ilícitos por encargo. La táctica, dice la firma, ha cambiado de forma bastante clara: ya no se trata solo de romper defensas desde fuera. Cada vez más actores prefieren comprar, alquilar o captar a alguien que ya tenga entrada. En ese mercado, un empleado con credenciales válidas puede llegar a valer más que una vulnerabilidad técnica.
Ese acceso legítimo de empleados, añade el informe, permite esquivar mecanismos de protección y ejecutar acciones muy concretas que después también se revenden como servicio. Intel 471 menciona consultas de información, restablecimiento de cuentas, aprobación de transacciones, cambios en envíos e incluso cambios de SIM.
Los datos de la muestra van en esa dirección. De los 85 registros analizados, 45 estaban relacionados con captación de personal, lo que convirtió el reclutamiento en la actividad clandestina más frecuente. Otros 15 incluían afirmaciones de capacidad interna; dentro de ese grupo, 11 aseguraban contar con acceso desde dentro. A eso se sumaban 12 anuncios de servicios que solo eran posibles gracias a ese acceso. En la práctica, los criminales no buscan simplemente entrar en una empresa. Buscan a alguien capaz de abrirles la puerta adecuada en el momento justo.
Los actores maliciosos, siempre según Intel 471, ponen el foco sobre todo en perfiles que pueden facilitar fraude, sabotaje o intrusión. Entre los objetivos aparecen trabajadores con capacidad para recuperar información restringida, manipular cuentas, apoyar fraudes con SIM swap, interferir con envíos, autorizar operaciones o colaborar en campañas de acceso inicial, extorsión y ransomware.
Por sectores, transporte fue el más citado en la muestra de Intel 471, con 19 menciones o referencias. Detrás quedaron tecnología, con 17, y telecomunicaciones, con 15. Además, hubo 26 casos transversales o que no pudieron clasificarse con claridad. Tiene sentido: en esas industrias, una sola acción interna puede golpear de inmediato el dinero, la identidad digital, la logística o la continuidad del servicio.
El informe también sitúa buena parte de esta actividad en foros de la dark web y en aplicaciones de mensajería cifrada como Telegram. En esos espacios, señala Intel 471, se han detectado intentos de captar empleados de compañías como Coinbase, Binance, Accenture y Netflix. Incluso grupos de ransomware, según el análisis, han llegado a ofrecer a insiders un porcentaje del rescate a cambio de acceso.
La captación, además, no siempre sale de un impulso o de una oportunidad improvisada. Intel 471 describe métodos bastante más estructurados: anuncios públicos, contacto directo, referencias, intermediarios, ofertas de colaboración e incluso procesos de captación pensados a largo plazo.
En algunos casos, el plan va todavía más lejos. Intel 471 habla de intentos de reclutar a personas para que soliciten empleo en empresas concretas y abusen de su acceso una vez contratadas. Los acuerdos, de hecho, muestran una formalidad llamativa: hay pagos por acción, ventas puntuales de acceso o de datos, comisiones por recomendación, reparto de ingresos y relaciones continuadas. Para rebajar el riesgo de estafa entre los propios criminales, también se usan depósitos en garantía, pagos por fases y mecanismos de verificación.
Todo esto aparece mientras la amenaza interna sigue creciendo. Los datos de mercado que recoge la investigación de Intel 471 apuntan a lo mismo: el 76% de las organizaciones afirma que los incidentes internos son cada vez más frecuentes.
Ese mismo marco de mercado deja otra cifra difícil de ignorar. El coste medio anual asociado alcanzó los 17,4 millones en 2025, y el tiempo medio de contención se situó en 81 días. Para las empresas, la lectura es bastante directa: el riesgo ya no está solo en el phishing o en el malware. También está en quién tiene acceso legítimo, cuánto vale ese acceso fuera de la compañía y qué controles hay para detectar su abuso antes de que sea tarde.
