El mundo cibercriminal clandestino presenció un desarrollo notable el 22 de marzo de 2026, cuando apareció en la dark web un nuevo sitio de filtraciones basado en Tor llamado “ALP-001”, promocionándose abiertamente como un “Mercado de Filtraciones de Datos / Accesos”. La aparición de esta plataforma refleja una tendencia creciente en la que actores de amenazas consolidados, que tradicionalmente venden acceso a redes corporativas.

La aparición de esta plataforma señala una tendencia creciente en la que actores de amenazas establecidos, que tradicionalmente venden acceso a redes corporativas, ahora están incursionando en la extorsión a gran escala.

Los investigadores de seguridad advierten que esto podría representar un cambio significativo en cómo operan los brokers de acceso inicial, fusionando el robo de datos con la exposición de víctimas para obtener el máximo apalancamiento.

ALP-001 no apareció de la nada. El sitio lleva marcas claras de un actor de amenazas bien organizado que ha estado construyendo presencia en múltiples foros de la dark web desde al menos julio de 2024.

Durante ese tiempo, el grupo era conocido principalmente por vender accesos no autorizados a sistemas empresariales comprometidos, con especial enfoque en dispositivos perimetrales expuestos a internet y puertas de enlace de acceso remoto.

Este movimiento marca una escalada brusca en sus intenciones, sugiriendo que el grupo ahora ve la extorsión como parte central de su operación.

Analistas de ReliaQuest identificaron a ALP-001 y vincularon directamente al grupo con un broker de acceso inicial (IAB) activo en foros subterráneos prominentes, incluyendo Exploit y DarkForums.

Al cruzar referencias de los IDs de Tox y Session mostrados en el sitio de filtraciones, los investigadores confirmaron que los mismos identificadores de contacto ya estaban siendo usados por una cuenta conocida de IAB en foros.

Este grupo había operado previamente bajo los nombres “Alpha Group” y “DGJT Group”, proporcionando a los investigadores suficientes datos históricos para construir una línea de tiempo de actividad que se remonta casi dos años.

Una fuerte evidencia corroborante surgió cuando los analistas compararon las víctimas listadas en ALP-001 con publicaciones previas de venta de accesos en foros subterráneos.

Una empresa manufacturera francesa con ingresos anuales reportados de $543 millones, mostrada en el sitio de filtraciones como una nueva víctima, coincidió exactamente con una venta de acceso que la misma cuenta del foro publicó en enero de 2026.

Este vínculo directo entre el sitio de filtraciones y la actividad en el foro dejó pocas dudas sobre la atribución y confirmó la transición del grupo de la venta de accesos a la extorsión de datos.

La superficie de ataque que este grupo apunta es amplia y deliberada. El IAB ha obtenido ganancias históricamente de tecnologías perimetrales comprometidas, enfocándose en infraestructura empresarial ampliamente utilizada que otorga acceso profundo a entornos corporativos una vez vulnerada.

Sus vectores de ataque conocidos abarcan servidores FTP y SSH, appliances VPN de Fortinet y FortiGate, equipos Cisco, gateways Citrix y RDWeb, y sistemas de acceso remoto GlobalProtect.

Estos objetivos son seleccionados cuidadosamente porque casi siempre están expuestos a internet, llevan privilegios significativos y aparecen consistentemente en grandes organizaciones a nivel mundial.

Huella en la Dark Web y Modelo de Extorsión en Crecimiento

Analistas de ReliaQuest señalaron que ALP-001 ha sido vinculado a al menos 10 cuentas de IAB distribuidas en seis foros de la dark web, con la actividad más temprana conocida del grupo datando de julio de 2024.

A través de estas cuentas, el grupo ha anunciado repetidamente accesos no autorizados a organizaciones empresariales mediante servidores FTP comprometidos, VPNs de Fortinet/FortiGate, GlobalProtect y entornos Citrix.

Este nivel de actividad en múltiples plataformas señala un actor de amenazas que ha mantenido deliberadamente identidades paralelas para extender su alcance y reducir el riesgo de ser interrumpido en cualquier foro individual.

Lo que hace esta escalada más preocupante es la credibilidad establecida del grupo dentro de círculos criminales. En foros subterráneos, el grupo operaba con estatus verificado por escrow, lo que significa que los compradores confiaban en que entregarían lo prometido.

Aunque sus capacidades reales de exfiltración de datos no han sido confirmadas, la lista pública de víctimas en un sitio basado en Tor sugiere fuertemente que ya están en posesión de datos robados o trabajando para obtenerlos poco después de ganar acceso inicial.

Los defensores que enfrentan esta amenaza deberían auditar y parchear todos los dispositivos perimetrales expuestos a internet, particularmente soluciones de Fortinet, Cisco y Citrix, ya que representan los puntos de entrada más frecuentemente explotados por el grupo.

Los equipos de seguridad también deberían buscar señales de acceso persistente, incluyendo sesiones no autorizadas, transferencias salientes inusuales por FTP o SCP, y comportamiento irregular de cuentas privilegiadas.

Implementar autenticación multifactor en todos los puntos de acceso remoto y realizar auditorías exhaustivas de cuentas privilegiadas son pasos críticos que las organizaciones deben tomar para reducir su exposición.