- Operación internacional coordinada por Europol en 14 países contra el foro de datos robados LeakBase
- LeakBase operaba en la clearweb desde 2021, con más de 142.000 usuarios y miles de publicaciones
- En España se realizó una detención y dos registros en A Coruña y Bizkaia, con incautación de abundante material informático
- La base de datos del foro fue intervenida, permitiendo desanonimizar a numerosos usuarios y abrir nuevas líneas de investigación
Una macrooperación policial internacional ha desarticulado uno de los principales mercados clandestinos de datos robados en Internet. El foro LeakBase, activo desde 2021 y accesible desde la web convencional, se había convertido en un punto de encuentro clave para cibercriminales de todo el mundo especializados en el tráfico de credenciales y bases de datos filtradas.
Coordinada por Europol y desarrollada de forma simultánea en 14 países, la actuación ha tenido un impacto directo en España, donde se ha practicado una detención y dos registros domiciliarios en las provincias de A Coruña y Bizkaia. En estos dispositivos, los agentes intervinieron abundante material informático y documentación relacionada con la actividad del foro.
Qué era realmente LeakBase y por qué preocupaba tanto
LeakBase se había consolidado como uno de los mayores foros de compraventa de datos personales en el ecosistema del cibercrimen. A diferencia de otras plataformas alojadas en la dark web, este foro funcionaba en la llamada clearweb, es decir, la parte pública de Internet a la que cualquier persona puede acceder con un navegador corriente.
La página combinaba elementos de un foro tradicional con el funcionamiento de un mercado negro digital. Los usuarios podían debatir, intercambiar información y, al mismo tiempo, comprar o vender grandes volúmenes de datos sensibles obtenidos tras ciberataques a empresas, servicios en línea y equipos domésticos infectados con malware.
Entre el material ofertado destacaban pares de credenciales —combinaciones de correo electrónico y contraseña—, así como bases de datos filtradas de grandes compañías e información extraída de ordenadores personales comprometidos. Esa información se reutilizaba después para fraudes económicos, suplantaciones de identidad, robos de cuentas y accesos ilícitos a sistemas informáticos.
El foro mantenía un repositorio en constante crecimiento, que abarcaba desde filtraciones antiguas ampliamente difundidas hasta bases de datos recientemente vulneradas. Este archivo se nutría, entre otros, de los llamados “stealer logs”, registros generados por programas maliciosos diseñados para capturar credenciales y otros datos almacenados en los dispositivos infectados.
Dimensión de la plataforma: miles de publicaciones y una comunidad masiva
Según los datos difundidos por las autoridades, LeakBase había alcanzado unas cifras que evidencian su peso dentro del entramado delictivo global. A finales de 2025, la plataforma contabilizaba más de 142.000 usuarios registrados, cerca de 32.000 publicaciones y algo más de 215.000 mensajes privados intercambiados entre los miembros.
Estas magnitudes situaban al foro como un verdadero eje del mercado internacional de datos robados. No se trataba únicamente de un repositorio fijo, sino de una comunidad muy activa donde se negociaban nuevos lotes de información, se ofrecían servicios de hacking y se compartían técnicas para explotar las credenciales comprometidas.
Para reforzar la confianza entre los participantes, la propia estructura del sitio incluía sistemas internos de reputación y normas específicas sobre qué tipo de datos se podían comerciar. Una de las reglas más llamativas era la prohibición expresa de publicar o vender información relacionada con Rusia, un patrón que se ha observado en otros foros similares y que suele interpretarse como un intento de evitar conflictos con determinados actores o autoridades.
La mezcla de accesibilidad —al estar en la web convencional— y la sensación de anonimato que ofrecían sus mecanismos de registro y comunicación contribuyó a que el foro atrajera a miles de usuarios de todo el mundo, incluidos perfiles con un alto nivel técnico y otros menos experimentados que buscaban explotar datos ya robados.
España en el foco: registros en A Coruña y Bizkaia
Dentro de la operación global, el caso español ha tenido un peso particular. Los investigadores identificaron a dos usuarios vinculados con nuestro país, considerados especialmente activos dentro de la comunidad y con competencias avanzadas en ciberseguridad ofensiva y técnicas de ocultación en la red.
Según la información facilitada por Guardia Civil y Policía Nacional, estos sospechosos habrían implementado complejos sistemas de anonimización y desarrollado métodos sofisticados para enmascarar su huella digital, lo que complicó durante meses su localización y seguimiento.
Una vez recopilada la información necesaria y confirmadas las identidades, se desplegó la fase operativa en España, que incluyó una detención y dos registros domiciliarios en las provincias de A Coruña y Bizkaia. Durante los cacheos, se incautaron ordenadores, dispositivos de almacenamiento y diversa documentación que ahora está siendo analizada de forma minuciosa.
El segundo sospechoso permanece todavía pendiente de localización, por lo que la investigación en territorio nacional sigue abierta. Los indicios apuntan a que ambos habrían tenido un papel relevante en la gestión o explotación de los datos comercializados en el foro, aunque el grado exacto de su implicación se determinará a medida que avance el examen de las pruebas.
Las actuaciones en España se enmarcan en un esfuerzo más amplio por vincular identidades reales con perfiles aparentemente anónimos que operaban en LeakBase. La información obtenida en los registros podría ser clave para trazar conexiones con otros usuarios de la plataforma y con posibles víctimas nacionales afectadas por el tráfico de datos.
Una operación internacional coordinada en múltiples jurisdicciones
La caída de LeakBase no se ha producido de la noche a la mañana. Detrás de este golpe hay meses de cooperación policial y judicial entre distintas jurisdicciones, coordinadas desde la sede de Europol en La Haya. El operativo principal se concentró entre los días 3 y 4 de marzo, cuando se activaron de forma simultánea diversas órdenes de registro y detención.
En la operación participaron autoridades de Australia, Estados Unidos, Canadá, Bélgica, Alemania, Grecia, Kosovo, Malasia, Países Bajos, Polonia, Portugal, Rumanía, España y Reino Unido. Cada país centró sus esfuerzos en los usuarios y la infraestructura localizada en su territorio, siguiendo una estrategia conjunta diseñada para desarticular la actividad del foro y limitar cualquier intento de reactivación.
Durante la fase operativa se llevaron a cabo cerca de un centenar de actuaciones policiales, que incluyeron detenciones, registros domiciliarios y las llamadas intervenciones “knock-and-talk”, en las que los agentes se presentan directamente ante sospechosos para obtener información o asegurar pruebas.
El objetivo prioritario era actuar contra 37 de los usuarios más activos de la plataforma, considerados piezas clave en el engranaje delictivo: administradores, vendedores recurrentes de grandes bases de datos y perfiles encargados de difundir herramientas para explotar las credenciales comprometidas.
Paralelamente, en la sede de Europol se habilitó un Puesto de Mando Conjunto, desde el que especialistas de distintos países analizaron en tiempo real la información que se iba incautando. Este centro de coordinación permitió cruzar datos sensibles de manera segura y acelerar la identificación de conexiones entre sospechosos, víctimas y evidencias digitales.
Incautación de la base de datos del foro y desanonimización de usuarios
Uno de los logros más relevantes de la operación ha sido la incautación de la base de datos completa del foro. Este paso no solo supone el cierre práctico de la plataforma, sino que abre la puerta a desvelar la identidad de muchos de los usuarios que actuaban bajo seudónimos, convencidos de que su actividad pasaría inadvertida.
Gracias a esta intervención, los investigadores disponen ahora de un retrato detallado de la comunidad: historiales de acceso, mensajes privados, transacciones realizadas y direcciones asociadas a las cuentas. Todo ello se está utilizando para reconstruir la red de relaciones entre compradores, vendedores y posibles intermediarios.
El análisis de estos datos permitirá, en los próximos meses, vincular perfiles digitales con personas concretas, así como identificar a nuevas víctimas cuyos datos hayan sido comercializados sin su conocimiento. Para ello será necesario un trabajo prolongado de verificación y contraste con otras investigaciones abiertas en Europa y en otros continentes.
Las autoridades han destacado que la desanonimización de usuarios no solo afectará a los grandes vendedores o administradores, sino también a numerosos participantes que creían moverse en un entorno de impunidad. Este aspecto podría derivar en nuevas imputaciones por delitos relacionados con el acceso ilícito a sistemas informáticos, estafas o blanqueo de capitales.
Los cuerpos policiales recuerdan, además, que la incautación de la infraestructura del foro dificulta que los responsables puedan levantar de inmediato una plataforma equivalente, ya que gran parte de su base de clientes y colaboradores ha quedado expuesta y bajo vigilancia.
Un aviso sobre el ciclo de vida de los datos robados y la importancia de la protección
Más allá del impacto inmediato en LeakBase, la operación sirve como recordatorio de que los datos robados no desaparecen por arte de magia cuando se produce una filtración. Al contrario, pueden circular durante años por foros y mercados clandestinos, reaparecer en nuevas plataformas y emplearse reiteradamente en distintos tipos de fraudes.
Las credenciales obtenidas en una brecha de seguridad de una gran empresa, o a través de un malware instalado en un ordenador doméstico, pueden terminar a la venta junto a millones de otras combinaciones de usuario y contraseña. Los delincuentes las utilizan para probar accesos en masa a servicios bancarios, redes sociales, plataformas de comercio electrónico o correos corporativos.
Por eso, los expertos insisten en la necesidad de adoptar buenas prácticas de seguridad digital. Entre las recomendaciones básicas destacan el uso de contraseñas robustas y únicas para cada servicio, la activación de sistemas de autenticación multifactor y la revisión periódica de los accesos a cuentas sensibles.
También resulta aconsejable vigilar posibles signos de actividad inusual, como mensajes de recuperación de contraseña no solicitados, inicios de sesión desde ubicaciones desconocidas o cargos extraños en medios de pago vinculados a servicios en línea. Ante cualquier sospecha, conviene cambiar inmediatamente las claves afectadas y contactar con el proveedor o entidad correspondiente.
Las fuerzas de seguridad subrayan que operaciones como la de LeakBase demuestran que la cooperación internacional puede golpear con fuerza el cibercrimen, pero recuerdan que la primera línea de defensa sigue estando en manos de los propios usuarios y de las organizaciones que gestionan grandes volúmenes de información personal.
El desmantelamiento de LeakBase marca un hito en la lucha contra el comercio ilegal de datos, al sacar de circulación una plataforma que concentraba a decenas de miles de usuarios y enormes volúmenes de información comprometida; al mismo tiempo, deja claro que mientras exista demanda de credenciales robadas y bases de datos filtradas, estas redes seguirán intentando reorganizarse, por lo que la prevención, la vigilancia y la cooperación internacional continuarán siendo esenciales para contener el impacto del cibercrimen en España y en el resto de Europa.