¿Cuánto vales para un ciberdelincuente? Anatomía económica de una identidad robada

Hay una pregunta que probablemente nunca nos hemos hecho cuando introducimos nuestros datos en una web, rellenamos un formulario, enviamos una fotografía del DNI o pagamos con tarjeta: ¿Cuánto valen esos datos una vez dejan de pertenecernos? La respuesta resulta bastante menos espectacular de lo que suele imaginarse.

Un número de tarjeta puede costar unos pocos euros. Una dirección de correo electrónico puede valer céntimos. Un paquete completo de identidad puede encontrarse por decenas de euros. Y determinados documentos de identidad, cuentas verificadas o accesos financieros pueden alcanzar cientos o incluso miles. La paradoja es que nuestros datos no tienen un precio fijo. Tienen un precio en función de lo que permiten hacer con ellos. Y ahí es donde empieza la verdadera historia.

Durante años hemos hablado de la dark web como si fuese una especie de bazar clandestino donde un delincuente entra, busca una tarjeta robada y paga por ella. La realidad es bastante más industrial. 

Europol describía en su IOCTA 2025 una economía en la que los datos se han convertido en una auténtica mercancía: se roban, clasifican, enriquecen, venden, revenden y finalmente utilizan como materia prima para otros delitos. El dato robado es sólo el primer eslabón.

El precio de una persona

Imaginemos que alguien consigue una base de datos con información sobre nosotros.

El primer nivel puede ser algo tan sencillo como:

Nombre
Apellidos
Fecha de nacimiento
Dirección
Teléfono
Email

No parece gran cosa. Y, económicamente, tampoco lo es.

La abundancia ha convertido determinados datos personales en una commodity. Un correo electrónico o un teléfono aparecen tantas veces en filtraciones, bases de datos comerciales y recopilaciones que su precio individual puede caer prácticamente a cero. Pero entonces alguien añade una pieza. Por ejemplo:

Nombre
Fecha de nacimiento
Dirección
DNI

Y después otra:

Nombre
Fecha de nacimiento
Dirección
DNI
Selfie

Y después:

Nombre
Fecha de nacimiento
Dirección
DNI
Selfie
Cuenta bancaria

Lo que inicialmente era un conjunto de datos dispersos comienza a parecerse a una persona digital completa.

En el underground existe desde hace años el concepto de fullz: conjuntos de información suficientemente completos como para representar una identidad y permitir diferentes tipos de fraude.

Y aquí aparece una de las primeras reglas de este mercado: cuantos más sistemas pueda atravesar una identidad, más valor tiene. Es decir, un email permite poco, un email con contraseña permite más, un documento de identidad permite también más, un documento acompañado de una fotografía del titular permite todavía más y una identidad que además puede superar procesos de verificación KYC puede convertirse en algo mucho más valioso.

El precio no está en el dato. Está en la posibilidad de explotarlo.

Esta diferencia explica por qué las cifras que encontramos al estudiar estos mercados pueden parecer absurdas.

Un estudio reciente de Flare, basado en 348 puntos de precio procedentes de mercados clandestinos, investigaciones académicas y publicaciones de seguridad, estimó valores muy diferentes según el tipo de información.

Los números son reveladores: datos de salud aparecían alrededor de los 300 dólares, PIN bancarios alrededor de 196 dólares, números de cuenta bancaria alrededor de 69 dólares, permisos de conducir alrededor de 68 dólares, números de pasaporte unos 33 dólares y números de tarjeta alrededor de 18 dólares.

La tarjeta de crédito, ese elemento que normalmente imaginamos como el gran tesoro de una filtración, ocupa en realidad una posición bastante más modesta. ¿Por qué? Porque una tarjeta tiene una característica que reduce drásticamente su vida útil: puede ser cancelada. 

Es decir, una vez el banco detecta el fraude y bloquea la tarjeta, el número deja de tener prácticamente valor. Un documento de identidad es diferente. Una identidad puede utilizarse para solicitar servicios, abrir cuentas, superar procesos de identificación o combinarse con otras piezas de información. Por eso el mercado no está valorando simplemente «datos», está valorando persistencia + utilidad + capacidad de monetización.

Una tarjeta de crédito puede costar menos que una entrada de cine

Los estudios sobre mercados de tarjetas muestran precisamente esa contradicción.

Una investigación de Comparitech encontró valores medios de alrededor de 17 dólares para los datos básicos de una tarjeta —número, CVV, caducidad, nombre y código postal—, mientras que las tarjetas físicas clonadas podían alcanzar valores muy superiores.

Más recientemente, una investigación de NordVPN sobre más de 50.000 registros publicados durante 2025 situó el precio medio mundial de una tarjeta robada alrededor de 7 euros, aunque con enormes diferencias geográficas. En ese estudio, las tarjetas españolas alcanzaban aproximadamente 10 euros de media, mientras que las japonesas rondaban los 20 euros. 

Es una cifra casi ridícula si pensamos en lo que puede llegar a perder el titular y precisamente ahí está el negocio: el atacante no necesita que cada tarjeta produzca miles de euros, necesita que una fracción de miles o millones de tarjetas resulte rentable. Es economía de escala.

El problema de las tarjetas no es sólo la tarjeta

Además, una tarjeta rara vez aparece completamente aislada. Los investigadores de Rapid7 observaron que buena parte de los registros de tarjetas encontrados en determinados mercados incluían también información adicional, como direcciones de correo electrónico o números de teléfono. En algunos mercados, esa información complementaria aparecía asociada a prácticamente todos los registros analizados. Y esto cambia completamente el escenario.

Una tarjeta:

4111 1111 .... 

es un dato financiero.

Una tarjeta asociada a:

Nombre
Dirección
Email
Teléfono

es también una pieza de identidad.

Y una identidad puede ser utilizada para otros ataques.

Por eso una filtración de tarjetas no debe interpretarse únicamente como un problema de fraude con tarjeta, puede convertirse en un problema de suplantación, phishing dirigido, account takeover y fraude de identidad.

Entonces, ¿cuánto cuesta una identidad completa?

Aquí las cifras comienzan a subir. Un análisis académico de mercados de fullz encontró precios desde cantidades prácticamente insignificantes hasta más de 200 dólares por identidad, con una media de aproximadamente 23,94 dólares en la muestra estudiada. Pero las cifras históricas tienen que interpretarse con cuidado: el mercado ha cambiado, la industrialización del fraude ha creado productos mucho más elaborados. 

Hoy no se comercializa necesariamente «un DNI». Se comercializa una identidad preparada para superar un determinado proceso, y eso es bastante diferente.

Una investigación publicada en 2025 encontró, por ejemplo, paquetes de identidad británicos que incluían documento, selfie y datos personales por cantidades inferiores a 30 libras, mientras que determinados productos de identidad y documentos de mayor calidad podían alcanzar miles de libras.

El precio depende de algo fundamental: ¿qué nivel de confianza puede comprar el atacante con esa identidad?

El verdadero lujo: una identidad que parece real

Aquí aparece una de las partes más interesantes del mercado.

Supongamos dos registros:

IDENTIDAD A

Nombre
Dirección
Fecha de nacimiento

y:

IDENTIDAD B

Nombre
Dirección
Fecha de nacimiento
Documento
Selfie
Teléfono
Email
Cuenta financiera
Historial consistente

Ambas representan aparentemente a la misma persona, pero desde el punto de vista del atacante no valen lo mismo. La segunda tiene algo mucho más importante que información: coherencia. Nombre, dirección, documento, fotografía y teléfono encajan. Cuantas más piezas puedan verificarse entre sí, más posibilidades existen de utilizar la identidad en sistemas automatizados de verificación. Es la razón por la que los procesos KYC se han convertido también en un objetivo.

El delincuente no quiere únicamente «saber quién eres». Quiere poder hacerse pasar por ti ante una máquina.

Y entonces aparece el salto de precio

Los documentos de identidad constituyen otro mercado completamente diferente.

La investigación de NordVPN encontró que las copias de pasaportes podían aparecer desde aproximadamente 10 dólares, mientras que determinados pasaportes europeos verificados podían alcanzar varios miles de dólares.

Otro estudio sobre mercados clandestinos observó que los pasaportes se encontraban entre los productos de identidad de mayor precio, llegando en su conjunto hasta varios miles de dólares en determinados periodos y mercados. Los paquetes Fullz ID, por su parte, llegaron a situarse alrededor de los 100 dólares en la muestra analizada.

La diferencia parece desproporcionada, pero vuelve a existir la misma explicación: no se está comprando el documento, se está comprando lo que el documento permite conseguir.

El mercado funciona como una cadena de suministro

Aquí es donde la imagen tradicional de «un hacker robando una tarjeta» empieza a quedarse pequeña.

Imaginemos una cadena:

                    DATOS
                      │
                      ▼
              ┌──────────────┐
              │   Ladrón     │
              └──────┬───────┘
                     │
                     ▼
              ┌──────────────┐
              │  Data broker │
              └──────┬───────┘
                     │
             ┌───────┴────────┐
             ▼                ▼
        Credenciales       Identidad
             │                │
             ▼                ▼
       Access Broker      Fraudster
             │                │
             └───────┬────────┘
                     ▼
                  FRAUDE
                     │
                     ▼
                  DINERO

El actor que roba los datos no tiene por qué ser el mismo que los utiliza. De hecho, cada vez resulta menos necesario que lo sea.

Fortinet describía en su informe de 2025 cómo los Initial Access Brokers venden accesos ya comprometidos y cómo credenciales VPN, RDP, paneles administrativos y otros accesos corporativos forman parte de una auténtica cadena de suministro criminal.

Esto es importante porque introduce un concepto que normalmente asociamos con empresas legítimas: especialización. Uno roba, otro valida, otro clasifica, otro vende, otro compra, otro monetiza y otro mueve el dinero.

La tarjeta es sólo el principio

Podemos representar el valor de una identidad como una pirámide. En la base tenemos los datos baratos y abundantes:

Email
Teléfono
Nombre
Dirección

Después:

Credenciales
Cookies
Documentos
Tarjetas

Más arriba:

Identidad completa
Selfie + documento
Cuenta financiera
Cuenta verificada

Y en otro nivel:

Acceso corporativo
Cuenta privilegiada
Infraestructura comprometida

En este último caso ya ni siquiera estamos hablando de cuánto vale una persona, estamos hablando de cuánto vale el acceso que esa persona proporciona. Y aquí el precio puede cambiar radicalmente.

El informe de Fortinet señalaba que durante 2024 los accesos corporativos ofrecidos por Initial Access Brokers incluían especialmente credenciales VPN, RDP, paneles administrativos y webshells. Una contraseña no vale mucho pero una contraseña que abre la puerta de una empresa puede valer muchísimo.

El dato más caro puede ser el que menos sospechamos

Hay otro resultado que rompe bastante con la narrativa habitual. Los datos de tarjetas reciben una enorme atención porque son fáciles de entender: «Han robado tu tarjeta.»

Pero en la economía underground existen datos mucho más persistentes. Un número de tarjeta puede ser cancelado, un PIN puede cambiarse, una contraseña puede resetearse… pero determinados datos biométricos, documentos o información médica no pueden sustituirse con la misma facilidad.

Precisamente por eso el análisis de Flare sitúa los datos sanitarios por encima de los datos financieros en su valoración media. No porque sean necesariamente más fáciles de monetizar inmediatamente, sino porque son más difíciles de revocar. Y en economía criminal, la permanencia también tiene un precio.

¿Cuánto valdríamos entonces?

Si quisiéramos construir una especie de «valoración» de una identidad digital, podríamos imaginar algo parecido a esto:

                 IDENTIDAD
                     │
          ┌──────────┴──────────┐
          │                     │
       Identidad             Accesos
          │                     │
    ┌─────┴─────┐        ┌──────┴──────┐
    │           │        │             │
   PII      Documentos  Email       Financiero
    │           │        │             │
    ▼           ▼        ▼             ▼
   €€          €€€       €€           €€€
                           /
                          /
                       ▼  ▼
                    MONETIZACIÓN
                        │
                        ▼
                       $$$

Pero existe una conclusión mucho más interesante: no existe un precio para tu identidad. Existe un precio para cada una de las cosas que alguien puede hacer con ella.

• Tu nombre puede valer casi nada.
• Tu email, unos céntimos.
• Tu tarjeta, unos pocos euros.
• Un paquete de identidad, decenas de euros.
• Un documento de identidad convincente, cientos.
• Una identidad verificada y utilizable en determinados contextos, mucho más.
• Y un acceso privilegiado a una organización puede estar en otra liga completamente distinta.

El verdadero negocio es la combinación

Esta es probablemente la conclusión más importante. La economía underground no funciona sumando:

DNI + tarjeta + email = X €

Funciona multiplicando posibilidades:

DNI
 +
Selfie
 +
Teléfono
 +
Email
 +
Cuenta bancaria
 +
Historial consistente
        │
        ▼
Más posibilidades de fraude
        │
        ▼
Mayor demanda
        │
        ▼
Mayor valor

Por eso las filtraciones modernas son tan peligrosas. No necesitamos que alguien consiga «el dato secreto», necesitamos preocuparnos por la correlación de datos.

Una filtración puede aportar el email, otras la dirección, el teléfono, información financiera, un documento…. Por separado pueden parecer piezas de escaso valor pero juntas pueden formar algo mucho más peligroso: una persona digital que puede ser utilizada sin que la persona real esté delante. Y quizá esa sea la mejor manera de entender cuánto valemos en el underground.

No somos una tarjeta de crédito de 7 euros, o un DNI de 50 o un un fullz de 100. Somos un conjunto de piezas que diferentes actores pueden recombinar hasta convertir nuestra identidad en una herramienta de fraude. La mercancía no somos nosotros. Es nuestra capacidad de demostrar que somos nosotros. Y cuando esa capacidad deja de estar bajo nuestro control, alguien puede estar dispuesto a pagar por ella.