La base de datos inicial de Exploit.in: el pequeño núcleo tras un modelo de ciberdelincuencia duradero

Un archivo de tres años revela la estructura del foro

Un volcado de la base de datos que abarca los tres primeros años de Exploit.in ofrece una visión detallada de cómo una comunidad ciberdelictiva temprana se organizaba, generaba confianza y restringía las actividades sensibles.

El conjunto de datos cubre el periodo comprendido entre febrero de 2005 y mayo de 2008 e incluye 9.647 cuentas registradas, 13.925 hilos de discusión y 80.891 publicaciones. Dancho Danchev, investigador de Ransomnews, analizó el material; Pierluigi Paganini informó de los hallazgos el 26 de septiembre de 2026.

Según se ha informado, el volcado incluye direcciones de correo electrónico, direcciones IP y hashes de contraseñas asociados a las 9.647 cuentas. Sin embargo, el análisis disponible no especifica los algoritmos de hash utilizados, si se logró descifrar alguno de ellos, cómo se obtuvo la base de datos ni si se notificó a los usuarios afectados.

Danchev no publicó los nombres de usuario que cruzó con otros datos. Esta decisión refleja la diversidad de los miembros de Exploit.in: algunos participaban en conversaciones sobre servicios delictivos, mientras que otros podrían haberse registrado para hablar de temas corrientes, como teléfonos Nokia, coches, videojuegos o asuntos cotidianos.

Por tanto, la presencia de una cuenta en la base de datos no demuestra que su titular cometiera delitos.

La ciberdelincuencia convivía con los teléfonos, los coches y el humor

Exploit.in no era exclusivamente un mercado ni una operación delictiva estrictamente organizada. Sus secciones abarcaban análisis de malware, spam, carding, pruebas de vulnerabilidades, teléfonos móviles, modificaciones de coches, videojuegos y conversaciones generales.

Alrededor de un tercio de todas las publicaciones trataba sobre teléfonos o interacciones sociales. El mercado seguía siendo la sección más grande, con 10.377 publicaciones, pero las conversaciones sobre coches y el humor también generaban una participación considerable.

Los patrones de actividad refuerzan la imagen de una comunidad organizada en torno a los horarios cotidianos de sus miembros. Las publicaciones empezaban a aumentar alrededor de las 9:00, hora de Moscú, se mantenían elevadas durante la tarde y alcanzaban su punto máximo a las 22:00. Los fines de semana había aproximadamente un 8 % menos de actividad que entre semana.

Danchev considera que este patrón es compatible con usuarios que publicaban después de sus obligaciones diurnas. No parece una operación atendida de forma continua mediante turnos establecidos. El horario, por sí solo, no permite determinar dónde vivían los distintos miembros ni qué funciones desempeñaban.

Esta mezcla de contenido social y delictivo también explica por qué los datos de las cuentas expuestas deben tratarse con cautela. Una entrada en la base de datos, una dirección IP o un correo electrónico puede demostrar que una cuenta existía, pero no qué hacía su titular ni si la información registrada seguía bajo el control de la misma persona.

Un grupo reducido generaba la mayor parte de la actividad del foro

El tamaño aparente de Exploit.in ocultaba un nivel de participación inusualmente concentrado.

De las 9.647 cuentas registradas, 5.843 —el 60,6 %— nunca publicaron nada. Otro 15 % contribuyó una sola vez. En el extremo opuesto, apenas 82 cuentas publicaron más de 200 mensajes cada una.

El 1 % de los miembros más activos generó el 52,6 % de todas las publicaciones del foro. A partir de esta concentración, Danchev estima que la comunidad operativa estaba formada por unas 90 personas activas, rodeadas de varios miles de lectores pasivos y cuentas con una participación mínima.

Este desequilibrio es importante a la hora de valorar el impacto del cierre de un foro. Desactivar una plataforma puede hacer desaparecer sus archivos, su sistema de reputación y sus canales de comunicación, pero las personas que sostienen su actividad son muchas menos de lo que sugiere el número de cuentas registradas. Un núcleo reducido puede crear cuentas en otros sitios y reconstruir sus relaciones rápidamente.

Por tanto, las cifras de registro pueden exagerar el impacto de una operación de cierre. También pueden inflar las estimaciones sobre cuántas personas participaban de forma significativa en las secciones ilícitas del foro.

Las áreas restringidas y los sistemas de reputación anticipaban los mercados posteriores

En 2005, Exploit.in ya utilizaba controles de acceso por niveles, pese a funcionar con una instalación estándar de foro. Dos secciones protegidas con contraseña contenían material privado, como tarjetas de crédito y cuentas bancarias robadas, además de conversaciones que sus miembros preferían mantener fuera del espacio público.

Este sistema se parece a los procesos de selección que emplearon posteriormente las operaciones de ransomware antes de admitir afiliados en paneles privados. La tecnología era relativamente sencilla, pero el objetivo de fondo ya era conocido: mantener las transacciones de mayor riesgo alejadas de los usuarios ocasionales y admitir participantes de forma selectiva.

El foro también mantenía dos listas públicas de reputación. Una identificaba a los miembros acusados de estafar a otros, mientras que la otra recogía a los usuarios considerados de confianza para realizar transacciones.

Estas listas podían funcionar en una comunidad pequeña, donde los participantes habituales se conocían o podían evaluar un historial visible. Ese modelo resulta más difícil de mantener a medida que crecen los mercados clandestinos y los usuarios se mueven entre varios foros.

Las comunidades posteriores recurrieron cada vez más a garantes remunerados o intermediarios de depósito en garantía. En los archivos de mensajes privados analizados de RAMP y XSS, el 11,8 % y el 8,8 % de las conversaciones, respectivamente, mencionaban un garante remunerado o un servicio de depósito en garantía.

La misma evolución se observa en la venta de accesos comprometidos. Las ofertas de shells y accesos en los primeros foros pueden considerarse antecedentes de la función especializada de los intermediarios de acceso inicial en la economía del ransomware. Cambiaron las etiquetas y la escala, pero la función comercial siguió siendo reconocible.

Los alias repetidos apuntan a una continuidad, no a identidades confirmadas

Para investigar si algunos de los primeros miembros de Exploit.in aparecieron en comunidades posteriores, Danchev comparó la lista completa de miembros con archivos de mensajes privados de cinco foros posteriores, entre ellos XSS, RAMP y BreachForums.

Se excluyeron los nombres de usuario genéricos, ya que personas sin relación entre sí podrían elegir fácilmente la misma palabra o alias común. Tras aplicar este filtro, la comparación detectó 205 alias distintivos presentes tanto en el conjunto de datos de Exploit.in como en los archivos posteriores.

De esos usuarios coincidentes, 26 cuentas habían publicado al menos 20 mensajes en Exploit.in. Trece habían publicado más de 100.

Estos resultados indican un límite máximo posible de continuidad, pero no demuestran que una misma persona controlara un alias coincidente en distintas plataformas o épocas. Los nombres de usuario pueden copiarse, transferirse, suplantarse, abandonarse o volver a utilizarse de forma independiente.

Incluso teniendo en cuenta esa limitación, la coincidencia cuestiona una visión puramente cíclica de la ciberdelincuencia en lengua rusa, según la cual los grupos desaparecen y son sustituidos por actores completamente nuevos. Las marcas visibles pueden renovarse rápidamente, mientras que los participantes menos conocidos, las prácticas comerciales y las relaciones de confianza perduran.

Los hallazgos no permiten determinar cuáles de las 205 coincidencias correspondían a las mismas personas. Tampoco demuestran que todos los usuarios identificados participaran en operaciones de ransomware.

El riesgo inmediato es la exposición de datos, no un fallo de software

Este caso no está relacionado con una vulnerabilidad divulgada en Exploit.in, RAMP, XSS, BreachForums, ICQ o los teléfonos Nokia. No se ha identificado ninguna versión de software afectada, ningún identificador CVE, ninguna puntuación de gravedad, ninguna técnica de explotación ni ninguna entrada en el catálogo Known Exploited Vulnerabilities de CISA.

El riesgo directo para la seguridad reside en los datos de las cuentas incluidos en el volcado. Las direcciones de correo electrónico, las direcciones IP históricas y los hashes de contraseñas pueden servir para relacionar cuentas, investigar identidades o lanzar ataques contra credenciales, según su validez y la solidez del algoritmo de hash, que no se ha revelado.

No se han descrito medidas de contención específicas, campañas de restablecimiento de contraseñas, procesos de notificación a los usuarios ni indicadores de compromiso. Tampoco se sabe si alguna de las credenciales seguía siendo válida cuando se analizó el conjunto de datos.

Quienes crean que tuvieron una cuenta en Exploit.in deberían dar por expuesta cualquier contraseña reutilizada y cambiarla en todos los servicios donde siga activa. Esta precaución es especialmente importante si utilizaron la misma combinación de correo electrónico y contraseña en otros servicios. Sin embargo, los hallazgos disponibles no ofrecen indicadores específicos de cada cuenta que los usuarios puedan buscar públicamente.

El valor más amplio de la base de datos es histórico. Muestra que varios mecanismos asociados con el ecosistema moderno del ransomware —el acceso restringido, la selección de afiliados, la gestión de la reputación, los servicios de depósito en garantía y el comercio de accesos— ya empezaban a surgir en las primeras comunidades de foros. La infraestructura evolucionó, pero muchos de sus principios operativos perduraron.