Underground · lo que importa hoy

Venta de acceso VPN OpenVPN a un SaaS de Indonesia

Indonesian SaaS company

Un vendedor ofrece acceso OpenVPN a una empresa tecnológica/SaaS de Indonesia con ingresos estimados entre 1.000 y 5.000 millones de dólares. Las credenciales VPN dan un punto de apoyo en redes internas, permitiendo movimiento lateral y robo de datos. El acceso a una gran empresa suele preceder a un ransomware, por lo que merece seguimiento.

Venta de acceso a la pasarela de pago Geidea

Geidea

Un vendedor del mercado Spear ofrece acceso vinculado a la pasarela de pago Geidea, un procesador de tarjetas clave en Oriente Medio. El compromiso de una pasarela expone transacciones de comercios y datos de tarjetas, habilitando fraude a gran escala. Los defensores de pagos y banca deben tratarlo como una amenaza activa de venta de acceso.

Venta de acceso a los laboratorios Ampath de Sudáfrica

Ampath Laboratories

Un vendedor del foro Spear ofrece acceso vinculado a los laboratorios Ampath de Zululand, Sudáfrica, una de las mayores redes privadas de patología del país. La venta de acceso a un laboratorio sanitario expone datos de pacientes y arriesga la continuidad de los servicios de diagnóstico. Conviene vigilar intentos de credential stuffing y accesos VPN/RDP en el sector salud.

Acceso a GitLab de gobiernos de varios países filtrado

Múltiples gobiernos nacionales

Un actor afirma haber filtrado repositorios GitLab de varios gobiernos nacionales, exponiendo código fuente, secretos de pipelines y proyectos internos. Este acceso suele aportar credenciales, tokens de CI/CD y detalles de infraestructura para intrusiones posteriores. Cualquier organismo latinoamericano entre las víctimas debe identificarse y forzar la rotación de secretos.

Venta de 535 accesos a paneles cPanel (admin y usuario)

Un vendedor de DarkForums ofrece 535 credenciales de cPanel repartidas entre cuentas admin y de usuario, publicado unas cuatro horas antes de la recolección. El acceso al panel de control de hosting permite desplegar webshells, desfigurar sitios y pivotar hacia correo o bases de datos en el mismo servidor. Cualquier organización alojada en cPanel compartido debería probar estas credenciales y rotar claves.

Venta de acceso de administrador a la Universidad Técnica de Cluj-Napoca

Technical University of Cluj-Napoca (utcluj.ro)

Un actor ofrece acceso de administrador a utcluj.ro, la Universidad Técnica de Cluj-Napoca en Rumanía. El acceso admin a un sitio suele permitir desfiguración, robo de datos y movimiento lateral hacia la infraestructura universitaria. Es un indicador válido de venta de acceso, aunque el objetivo queda fuera de la región AR-LATAM.

Venta de acceso al sistema de nómina de las Fuerzas Armadas de Malasia

Malaysian Armed Forces

Un vendedor ofrece acceso al sistema de nómina de las Fuerzas Armadas de Malasia, un objetivo militar nacional. Si es real, expone registros de personal, datos salariales y sistemas internos, facilitando fraude y nuevas intrusiones. El acceso a nóminas militares es un activo de acceso inicial de alto valor que los defensores deben priorizar.

Acceso de administrador a servicio francés de alojamiento empresarial

Un vendedor ofrece acceso de administrador a una plataforma francesa de alojamiento empresarial. El acceso admin expone registros de clientes e infraestructura, permitiendo robo de datos e intrusión posterior. El comprador puede pivotar hacia los clientes corporativos de la plataforma.

Acceso de administrador a sitio web del gobierno de Indonesia a la venta

ciptakarya.pu.go.id (Indonesia)

Un vendedor ofrece acceso administrativo a ciptakarya.pu.go.id, un portal del gobierno de Indonesia. El control total de un sitio del sector público permite desfiguración, robo de datos y uso como pivote hacia sistemas internos. Los defensores deben tratarlo como una compromiso confirmado de un sitio gubernamental.

Base de datos y acceso admin del sitio bppra.gob.pk a la venta

bppra.gob.pk (Pakistán)

Un vendedor ofrece una base de datos más acceso administrativo a bppra.gob.pk, una autoridad gubernamental de compras de Pakistán. El acceso admin a una plataforma pública permite exfiltración de datos, desfiguración y movimiento lateral hacia infraestructura relacionada. Los portales de compras contienen datos de proveedores y ciudadanos, por lo que debe tratarse como una brecha activa.

Venta de 535 accesos cPanel de administrador y usuario

Un actor vende 535 credenciales de cPanel, entre administrador y usuarios, otorgando a los compradores control de paneles de hosting de sitios comprometidos. Ese acceso permite desfiguración de sitios, alojamiento de malware, abuso de correo y movimiento lateral hacia datos de clientes. Los equipos de hosting y web deben buscar inicios de sesión no autorizados en cPanel y rotar credenciales.

Venta de acceso de administrador a tradeasia.com (Singapur)

tradeasia.com

Un vendedor ofreció acceso de administrador a tradeasia.com, una firma comercial con sede en Singapur, en un foro de la dark web. El acceso de administrador podría permitir pivotar hacia sistemas corporativos, correo y datos de clientes. Conviene revisar exposiciones similares.

Posible venta de acceso o datos de la teleco KPN (Países Bajos)

KPN

Un vendedor VIP publicó ayer 'KPN Netherlands', lo que sugiere acceso a la red o datos del operador de telecomunicaciones neerlandés, infraestructura crítica nacional. Un compromiso de telecom habilita la exposición de datos de abonados, fraude con SIM y ataques laterales. Los defensores de Países Bajos y la UE deberían validar este aviso urgente.

Venta de acceso completo a los servidores de Goldunited

Goldunited

Un actor de amenaza con el alias Blacknet00 afirma vender acceso completo a los servidores de una empresa llamada Goldunited. El acceso completo a servidores implica un compromiso profundo que puede facilitar robo de datos, movimiento lateral y despliegue de ransomware contra la víctima y sus socios. Cualquier organización que comparta infraestructura o vínculos de cadena de suministro con esta entidad debería verificar su exposición de inmediato.

Base de datos de 838 GB y acceso FTP de dmp.com.tw a la venta

dmp.com.tw

Un vendedor ofrece una base de datos de 838 GB de la empresa taiwanesa dmp.com.tw junto con acceso activo a su servidor FTP. Credenciales FTP vivas son un vector de intrusión directo que permite robo de datos, desfiguración o movimiento lateral. Los compradores de dicho acceso deben considerarse una amenaza activa contra esa red.

Venta de acceso de administrador a la biblioteca vietnamita thuvienonline.com.vn

thuvienonline.com.vn

Un usuario de foro ofrece acceso de administrador a thuvienonline.com.vn, una aplicación web de biblioteca online vietnamita. Aunque de bajo valor, el acceso admin permite robo de datos, desfiguración o usar el host como pivote para más ataques. Es marginal para defensores de LATAM/gobierno, pero ilustra ventas de accesos de bajo nivel que conviene monitorear.

Acceso admin de webmail de tienda italiana de alimentos a la venta

Italian food & confectionery online store (unnamed)

Un vendedor en DarkForums ofrece acceso administrativo al webmail de una tienda online italiana de alimentación y confitería. El control admin del webmail permite leer todo el correo, forzar restablecimientos de contraseña y ejecutar fraude BEC contra la empresa y sus socios. Los minoristas y su cadena de suministro deben rotar credenciales de buzón y vigilar accesos anómalos.

Venta de acceso al panel de la tienda aavaz.biz

aavaz.biz

Un vendedor en BreachForums ofrece acceso al panel de administración de la tienda online aavaz.biz. El control del backend de una tienda suele exponer pedidos de clientes, datos de pago y la capacidad de inyectar skimmers o lógica de pago fraudulenta. Los operadores del sitio y equipos antifraude deberían auditar credenciales de admin y registros de acceso.

Venta de acceso RDP a una gran instalación médica de Arabia Saudita

Large medical facility (Saudi Arabia)

Un vendedor ofrece acceso RDP a una gran instalación médica de Arabia Saudita con ingresos de 70-100 millones de dólares, lo que indica una posición sólida en la red. Este tipo de acceso inicial suele usarse para desplegar ransomware o robar datos, por lo que es un objetivo de alto valor. Los defensores del sector salud deben tratarlo como señal de intrusión inminente.

Venta de acceso VPN Pulse Secure a una firma legal turca

Turkish legal services firm ($1B-$5B revenue)

Un vendedor en el mercado Spear ofrece acceso SSL-VPN Pulse Secure a una firma de servicios legales en Turquía con ingresos estimados de entre 1.000 y 5.000 millones de dólares. Un acceso VPN de este tipo suele permitir la entrada directa a la red corporativa, el movimiento lateral y la preparación de ransomware. El post está fechado el 08/10/2026, por lo que el acceso probablemente sigue activo y es accionable para defensores.

Venta de acceso a estaciones terrestres y sistemas de control satelital (2026)

Satellite ground station / control systems operators

Un vendedor afirma tener acceso completo a estaciones terrestres y sistemas de control satelital, un objetivo de infraestructura crítica de alto valor. Si es real, podría permitir la interrupción o el secuestro de comunicaciones satelitales civiles y militares. Los defensores de satélite y telecom deben verificar la afirmación y reforzar el acceso al segmento terrestre.

Acceso de administrador a la Universidad Técnica de Cluj-Napoca en venta

Technical University of Cluj-Napoca (utcluj.ro)

Un actor de amenazas ofrece acceso administrativo a la universidad rumana utcluj.ro, una institución académica real. El acceso de nivel administrador a un portal .edu permite desfiguración del sitio, phishing contra alumnos y personal, y posible movimiento lateral hacia sistemas internos. Importa porque un acceso admin verificado a una organización nombrada es directamente monetizable y accionable para los defensores.

Venta de acceso de administrador al sitio whatsva.id (Indonesia)

whatsva.id (Indonesia)

El usuario OnlineSh0p3 de DarkForums ofrece acceso administrativo al sitio indonesio whatsva.id. El objetivo es un sitio pequeño y no una organización estratégica, por lo que el impacto es limitado y queda fuera de la región de interés. Se incluye solo como un dato de venta de acceso de baja prioridad.

Venta de acceso interno con webshells y credenciales a entidades gubernamentales

Un vendedor en DarkForums anuncia paquetes de acceso interno con webshells, credenciales y bases de datos, mencionando explícitamente objetivos gubernamentales. Este tipo de acceso da al atacante un punto de apoyo para moverse lateralmente y exfiltrar datos sensibles. La publicación tiene unos dos meses y no nombra una víctima ni región concreta, por lo que su urgencia actual es baja.