El imparable y cada vez más lucrativo Ciberecruiting

Publicidad

“No hay nada más engañoso que un hecho evidente”.

Ciberecruiting: Cuando los hackers dejan de atacar la puerta y empiezan a contratar a quien tiene las llaves

En el Londres victoriano, el detective no buscaba siempre al ladrón que forzaba una cerradura. Observaba las huellas aparentemente insignificantes: una ceniza, una mancha de barro, una carta mal doblada, una llave que había cambiado de sitio.

En la empresa moderna, la cerradura ya no es solo una puerta. Es una VPN, una consola de administración, un correo corporativo, un sistema de pagos, un panel de logística, una base de datos de clientes o una aplicación de recuperación de cuentas. Y la llave no siempre es una contraseña robada. A veces es una persona. Una persona contratada, formada, identificada, con acceso legítimo y, en muchos casos, protegida por la confianza de la propia organización.

La Asociación Nacional de Tasadores y Peritos Judiciales Informáticos (ANTPJI) alerta sobre el crecimiento del Ciberecruiting: la captación deliberada de empleados, proveedores o colaboradores con acceso autorizado para facilitar fraudes, robos de información, sabotajes, extorsiones o accesos directos a sistemas corporativos.

No es una película de espías. No es una amenaza lejana. Es un mercado clandestino cada vez más organizado que ha descubierto una verdad incómoda: en ocasiones resulta más rápido, barato y eficiente convencer a quien ya está dentro que vulnerar desde fuera una infraestructura protegida.

Imagine la siguiente escena: Una gran empresa presume de contar con firewall de última generación, autenticación multifactorial, monitorización continua, equipos de respuesta ante incidentes y auditorías periódicas. Sus directivos duermen relativamente tranquilos. Han invertido millones en tecnología. Han blindado el perímetro. Han formado a sus empleados para reconocer correos de phishing.

Pero un lunes cualquiera, una persona del área de operaciones recibe un mensaje privado. No es un correo masivo. No contiene faltas de ortografía. No pide que pulse un enlace sospechoso.

La propuesta es directa: una suma considerable de dinero a cambio de aprobar una operación concreta, restablecer una cuenta, consultar una base de datos, modificar el estado de un envío o facilitar una información que, desde fuera, sería muy difícil obtener.

No hace falta quebrar un cifrado. No hace falta descubrir una vulnerabilidad de día cero. No hace falta desplegar malware.

Basta con que alguien con permisos legítimos haga clic donde normalmente hace clic, valide lo que normalmente valida o extraiga lo que puede consultar cada día por razones de trabajo.

Eso es el Ciberecruiting: la transformación del reclutamiento de talento en una herramienta criminal.

La ANTPJI advierte de que los ciberdelincuentes ya no se limitan a atacar empresas desde el exterior. Buscan, atraen y captan perfiles concretos para convertir el acceso autorizado en un producto de mercado. En esta economía clandestina, el trabajador deja de ser únicamente un posible objetivo de ingeniería social y puede convertirse en el vector de acceso más valioso.

La diferencia es decisiva. Un atacante externo debe superar controles. Un insider reclutado ya se encuentra, al menos en parte, al otro lado de ellos.

La ANTPJI lleva tres años realizando auditorías internas al personal, detectando con Inteligencia Artificial a insider potenciales y reclutados.

Angel Bahamontes, presidente de ANTPJI, en las investigaciones corporativas, no empieza su investigación por el servidor. Pregunta siempre, quién tenía acceso a él, quién podía autorizar una operación y quién se beneficiaba de que un registro desapareciera, una cuenta volviera a activarse o una entrega cambiara de estado.

En el ecosistema corporativo, los delincuentes han aprendido a formular esas mismas preguntas, aunque no buscan justicia sino rentabilidad.

Las campañas de Ciberecruiting se dirigen a perfiles que ocupan posiciones funcionales estratégicas dentro de los procesos de negocio:

• Personal capaz de aprobar pagos, devoluciones o transferencias.
• Empleados con acceso a bases de datos comerciales, de clientes o proveedores.
• Operadores de logística que puedan alterar estados de envío, entrega o recepción.
• Personal de telecomunicaciones con capacidad de intervenir en procesos vinculados a tarjetas SIM, portabilidades o recuperación de cuentas.
• Técnicos de soporte que puedan reiniciar credenciales, modificar permisos o validar una identidad.
• Administradores de sistemas con acceso privilegiado.
• Colaboradores de entidades sanitarias con acceso a información especialmente sensible.
• Trabajadores de plataformas digitales capaces de restituir perfiles, eliminar restricciones o efectuar cambios internos.

El objetivo ya no es únicamente obtener una contraseña o “entrar en la red”. El auténtico valor está en controlar, aunque sea durante unos minutos, una decisión empresarial crítica desde dentro.

Por ello se les investiga sus puntos débiles, su nivel de endeudamiento, sus deudas…, ya que un atacante puede tardar semanas en intentar comprometer una infraestructura. Un empleado con permisos puede ejecutar una acción legítima en segundos. Esa asimetría explica el atractivo creciente de esta amenaza.

Los reclutadores de insiders operan sobre todo en una combinación de foros clandestinos/deep web, mercados de acceso ilícito y canales privados de mensajería cifrada. No conviene buscarlos ni entrar en ellos: son entornos asociados a propuestas delictivas; desde la prevención corporativa, lo relevante es conocer sus patrones y monitorizarlos mediante inteligencia de amenazas autorizada.

Dónde se mueven

Foros y plataformas mencionados en inteligencia

Informes recientes sobre el mercado de captación de insiders citan de forma general foros de cibercrimen, mercados ilícitos y canales de mensajería cifrada. Entre los nombres que aparecen en investigaciones públicas figuran XSS, Exploit, BlackHatWorld, DarkForums y RAMP, además de canales y grupos de Telegram. La actividad se desplaza con rapidez entre plataformas, por lo que una lista concreta nunca es completa ni estable.

En el caso de los canales cifrados, Telegram aparece repetidamente citado como un punto de contacto y negociación. Algunos actores también recurren a otros servicios de mensajería privada o a grupos temporales para dificultar la trazabilidad.

Cómo funciona el circuito

No suele ser un único “hacker” escribiendo a un trabajador. En los casos analizados existe una estructura parecida a un proceso comercial:

• Broker o reclutador:identifica empresas y perfiles con capacidad de ejecutar acciones críticas.
• Captación:busca empleados, contratistas o proveedores por su función, no necesariamente por conocimientos técnicos.
• Validación:comprueba si el candidato puede aprobar operaciones, acceder a datos, restaurar cuentas, modificar procesos o facilitar una conexión.
• Negociación:fija pagos, primas, comisión por recomendación o porcentaje de beneficios.
• Garantía:puede intervenir un tercero de confianza o mecanismo de escrow para retener el pago hasta verificar el resultado.
• Operación:el insider realiza una acción autorizada formalmente, pero utilizada con una finalidad ilícita.
• Reutilización:el acceso puede revenderse, mantenerse activo o aprovecharse para otros fraudes.

Qué buscan publicar o comprar

El activo de mayor valor no siempre es una cuenta de administrador. A menudo es la capacidad de actuar sobre un proceso de negocio sin levantar sospechas:

• Autorizar transferencias, pagos o reembolsos.
• Restablecer cuentas y controlar procesos de recuperación.
• Ejecutar o aprobar cambios de SIM, portabilidad o datos de cliente.
• Extraer o consultar bases de datos de clientes y proveedores.
• Alterar el estado de una entrega, envío o devolución.
• Desactivar o eludir controles antifraude.
• Facilitar accesos VPN, RDP, cloud o sesiones privilegiadas.
• Obtener acceso a documentación interna, historiales médicos o procedimientos de organismos públicos.

Qué debe hacer una empresa

La respuesta no debe consistir en que un empleado o un analista interno “entre a investigar” estos foros. Eso puede generar riesgos legales, personales y de contaminación de evidencia. La vigilancia debe realizarse por un equipo de Threat Intelligence, un proveedor especializado o, cuando proceda, mediante coordinación con autoridades.

Medidas prioritarias:

• Implantar principio de mínimo privilegio y revisión periódica de permisos.
• Separar funciones y exigir doble validación en pagos, altas, bajas, recuperaciones y cambios sensibles.
• Monitorizar comportamientos anómalos en procesos críticos, no solo accesos técnicos.
• Establecer alertas sobre descargas masivas, exportaciones, cambios inusuales y operaciones fuera de patrón.
• Formar a empleados y mandos para reconocer ofertas sospechosas, sobornos, coacciones y contactos no solicitados.
• Habilitar un canal confidencial de comunicación interna para reportar intentos de captación.
• Preservar mensajes, perfiles, horarios y evidencias si aparece un contacto sospechoso; no responder, negociar ni borrar información.
• Escalar al responsable de seguridad, legal, compliance y, si hay indicios delictivos, a las autoridades competentes.

La amenaza interna se define precisamente por el potencial uso indebido de un acceso autorizado o conocimiento especial para causar daño. Por eso, la defensa más eficaz combina controles técnicos, prevención humana, trazabilidad y gobernanza de procesos.

ANTPJI define la amenaza interna como el riesgo de que una persona con acceso autorizado o conocimiento especial de una organización utilice ese acceso de manera intencionada o no intencionada para perjudicarla. La figura del insider puede incluir empleados actuales o antiguos, contratistas, proveedores y socios de negocio.

Pero el Ciberecruiting añade una capa especialmente inquietante: la amenaza no surge necesariamente de una deslealtad preexistente. Puede ser construida, cultivada y financiada por terceros.

Los grupos criminales han profesionalizado una actividad que antes se asociaba a contactos aislados, coacciones improvisadas o sobornos puntuales. Ahora existen dinámicas que recuerdan, de manera perturbadora, a procesos de selección de personal.

Primero se define una necesidad. No se busca “un hacker”, sino una función corporativa concreta: alguien que pueda aprobar una devolución, obtener datos de clientes, alterar una operación de transporte, facilitar una cuenta con privilegios o proporcionar acceso continuo a una red.

Después llega la búsqueda de candidatos.

Los reclutadores criminales pueden investigar empresas, estructuras de personal, perfiles profesionales, proveedores, publicaciones en redes sociales, asociaciones sectoriales, universidades y comunidades especializadas. Analizan quién hace qué, qué área gestiona determinados procesos y dónde puede encontrarse la combinación más rentable de acceso, conocimiento y debilidad humana.

La siguiente fase es el contacto. Puede realizarse en canales cifrados, servicios de mensajería, foros clandestinos o mediante aproximaciones aparentemente profesionales. En algunos casos, la oferta se presenta como una colaboración puntual. En otros, como una oportunidad de ingresos complementarios, una consultoría informal, una prueba de lealtad o una propuesta de “negocio” sin aparentes consecuencias.

La realidad es otra: el candidato está siendo captado para facilitar un delito.

Las investigaciones recientes de las periciales elaboradas por peritos de ANTPJI, describen una economía clandestina estructurada, impulsada por foros de ciberdelincuencia y plataformas de mensajería cifrada, en la que operan intermediarios, anuncios de reclutamiento, sistemas de garantía de pagos y acuerdos de colaboración sostenida. Las ofertas incluyen pagos fijos, porcentajes sobre beneficios, incentivos por recomendación y mecanismos de escrow —depósito en garantía— para generar confianza entre delincuentes y colaboradores internos.

Es la lógica de una empresa aplicada al delito: definir el puesto, localizar el perfil, entrevistar, negociar condiciones, incorporar y fidelizar.

El Ciberecruiting no tiene una tarifa única. El precio depende de la utilidad del acceso, la capacidad de ejecutar acciones y el riesgo percibido por la persona reclutada. Nadie puede saber el precio de una llave, sin saber que abre.

En mercados clandestinos se han observado recompensas de cientos o miles de euros por credenciales o acciones aisladas. Sin embargo, los accesos que afectan a procesos críticos, grandes volúmenes de datos, sistemas financieros o controles administrativos pueden alcanzar cantidades mucho más elevadas. La ANTPJI alerta de anuncios y fórmulas de captación con primas que pueden llegar a los 250.000 euros, así como incentivos para recomendar a otros empleados con accesos similares.

La lógica es sencilla y brutal: cuanto mayor sea la capacidad de alterar un proceso de negocio, mayor será el valor criminal del trabajador captado.

Un perito informático, ha documentado, en su pericial un anuncio en el que se ofrecían 50.000 euros como prima de incorporación a un incide que trabaj en una multinacional y otros 25.000 euros como comisión por recomendar a otro compañero con acceso comparable. Otro caso describe una oferta de hasta 5.000 euros por empleado incorporado o un 15% de participación por trabajo completado y lo peor es que en ocasiones, el empleado, cree que el trabajo es legal.

También se han publicado ofertas de 500 euros diarios para una persona capaz de subir o modificar información de seguimiento dentro de sistemas logísticos.

No hablamos de un delincuente solitario enviando correos torpes. Hablamos de modelos de negocio criminales con comisiones, incentivos, intermediación y reparto de beneficios.

Angel Bahamontes, presidente de la ANTPJI, afirma: cuando el método es demasiado ordenado para ser casual, hay que mirar la organización que hay detrás, ya que el enemigo no siempre entra: ya tiene tarjeta de acceso

Durante años, muchas estrategias de ciberseguridad se han diseñado alrededor de un supuesto: el atacante está fuera y quiere entrar.

Ese supuesto sigue siendo válido, pero es insuficiente. La amenaza interna se mueve con credenciales legítimas, conoce el lenguaje de la organización, entiende los procedimientos y, en ocasiones, sabe qué alarmas existen y cómo evitar llamar la atención. Puede realizar operaciones durante su horario habitual, desde equipos autorizados y utilizando aplicaciones corporativas legítimas.

Eso dificulta enormemente la detección. Un pago aprobado por un empleado autorizado puede parecer una transacción normal. Un archivo descargado por un perfil que trabaja habitualmente con datos puede no activar una alerta. Un cambio en el estado de un envío puede ser técnicamente correcto, aunque esté motivado por un fraude.

La pregunta clave no es únicamente “¿quién accedió?”, sino “¿ese acceso era necesario, proporcional, coherente con su función y compatible con el contexto de negocio?”.

Las organizaciones deben pasar de una seguridad basada exclusivamente en perímetros a una seguridad que vigile procesos de confianza.

• No basta con proteger el servidor. Hay que proteger el flujo de aprobación.
• No basta con exigir doble factor. Hay que controlar quién puede restablecerlo.
• No basta con cifrar la base de datos. Hay que limitar, registrar y supervisar quién puede consultarla o exportarla.
• No basta con formar frente al phishing. Hay que preparar a las personas para detectar intentos de reclutamiento, soborno, coacción o manipulación.

Sectores en el punto de mira

Las ofertas detectadas se dirigen a sectores donde un trabajador puede convertir un privilegio funcional en una ventaja criminal inmediata.

• En el ámbito financiero, el objetivo puede ser aprobar pagos, consultar información de clientes, modificar operaciones o facilitar accesos a sistemas internos.
• En telecomunicaciones, puede buscarse capacidad para realizar intercambios fraudulentos de tarjetas SIM, intervenir en procesos de portabilidad o facilitar la recuperación de cuentas vinculadas a códigos SMS.
• En logística, puede interesar la manipulación del seguimiento de paquetes, el cambio de destinatarios, la modificación de rutas o la alteración de registros de entrega.
• En plataformas digitales y comercio electrónico, los delincuentes pueden intentar captar a personas con capacidad para autorizar reembolsos, desbloquear perfiles, eliminar restricciones, acceder a datos de usuarios o intervenir en sistemas de soporte.
• En sanidad, el atractivo es especialmente grave por la sensibilidad de los historiales médicos y por el potencial de extorsión, fraude o daño reputacional asociado a su exposición.
• En organismos públicos, el riesgo se extiende a información administrativa, procedimientos internos, expedientes, datos personales y decisiones que afectan a ciudadanos y empresas.

Las señales que nadie quiere ver

Bahamontes dice que los datos no bastan si no se interpretan. En el ciberecruiting, muchas señales no prueban por sí solas que exista una colaboración ilícita. Pero pueden justificar una revisión proporcionada, respetuosa con la legalidad y basada en gestión de riesgos.

Algunas alertas que deben integrarse en programas de prevención incluyen:

• Solicitudes de acceso que exceden las funciones reales del puesto.
• Consultas frecuentes a información sin una necesidad operativa aparente.
• Descargas masivas, exportaciones inusuales o acceso fuera de horarios coherentes con el trabajo.
• Cambios repetidos en datos de clientes, pagos, envíos o credenciales sin justificación documentada.
• Uso de canales personales para tratar asuntos laborales sensibles.
• Conductas de presión hacia compañeros para obtener acceso, códigos o validaciones.
• Peticiones inusuales vinculadas a viajes, contactos externos, comisiones o actividades incompatibles con la función.
• Incumplimientos reiterados de políticas de seguridad.
• Resistencia injustificada a controles, revisiones o segregación de funciones.

La detección no debe convertirse en una caza de brujas. El error sería sustituir la confianza por vigilancia indiscriminada. La respuesta eficaz exige equilibrio: prevención, cultura ética, controles de acceso, trazabilidad, análisis de anomalías, canales de denuncia y respeto estricto a derechos laborales, privacidad y normativa aplicable.

La seguridad más madura no presupone que todo empleado es sospechoso. Entiende que todo empleado puede ser objetivo.

La ANTPJI subraya que esta amenaza debe entenderse como un riesgo de negocio, no solo como un problema técnico o de recursos humanos, es necesario proteger el negocio, no solo la tecnología.

Cuando una persona reclutada puede autorizar una devolución fraudulenta, extraer una base de datos, modificar una entrega, reiniciar una cuenta o validar una operación, el daño trasciende al departamento de informática. Afecta a ingresos, reputación, cumplimiento regulatorio, continuidad operativa, confianza de clientes y responsabilidad de directivos.

Las empresas deben plantearse preguntas incómodas:

• ¿Qué personas pueden ejecutar acciones irreversibles?
• ¿Existen controles de doble validación en los procesos más sensibles?
• ¿Los permisos se revisan de forma periódica?
• ¿Se aplica el principio de mínimo privilegio?
• ¿Se registran y analizan las acciones críticas?
• ¿Hay segregación real de funciones o una sola persona concentra demasiada capacidad?
• ¿Los proveedores y contratistas están incluidos en la estrategia de prevención?
• ¿La plantilla sabe identificar una aproximación sospechosa?
• ¿Existe un canal seguro y confiable para comunicar intentos de soborno, presión o reclutamiento?

La prevención requiere tecnología, sí. Pero también exige gobernanza.

El acceso privilegiado debe caducar cuando deja de ser necesario. Las operaciones más críticas deben requerir controles cruzados. Las exportaciones de datos deben generar trazabilidad. Las decisiones de alto impacto deben poder explicarse y revisarse. Los equipos deben entender que una oferta económica aparentemente irresistible puede ser el comienzo de un delito, una extorsión posterior y una responsabilidad personal grave.

En las historias de Sherlock Holmes, el criminal suele cometer un error: confía en que nadie prestará atención a lo que parece normal.

En el ciberecruiting, el error que los grupos criminales esperan de las empresas es parecido: que continúen mirando únicamente hacia fuera.

Mientras las organizaciones invierten en blindar sus muros digitales, alguien puede estar estudiando a quienes tienen llaves, permisos y conocimiento interno. No busca derribar la puerta. Busca que se la abran.

La conclusión no es desconfiar de la plantilla. La conclusión es protegerla. Formarla. Acompañarla. Reducir incentivos, limitar privilegios, establecer controles transparentes y hacer visible una amenaza que se alimenta del silencio y de la normalización.

Porque la pregunta ya no es solo si la empresa puede resistir un ataque.

La pregunta es si sabría reconocer que el ataque ha empezado con una oferta de trabajo.

“La mayoría de estos ataques no requieren vulnerar sistemas complejos, sino aprovechar procesos legítimos ejecutados por personas autorizadas. Por eso, las organizaciones deben complementar las medidas tradicionales de ciberseguridad con controles sobre los procesos críticos y programas específicos para concienciar a los empleados de que ellos también son el objetivo de campañas de captación”.

Las mafias cibercriminales no buscan necesariamente al mejor técnico, sino a la persona que puede hacer que un proceso crítico ocurra desde dentro: aprobar, restaurar, modificar, validar, liberar o consultar. Los sectores más expuestos son telecomunicaciones, finanzas, tecnología/plataformas digitales y comercio minorista; también aparecen con frecuencia logística, salud, administración pública, industria y energía.

Sectores más atacados

Telecomunicaciones destaca especialmente porque un cambio fraudulento de SIM puede permitir interceptar códigos de autenticación por SMS y abrir la puerta a cuentas de correo, banca o criptoactivos. Telecom fue el sector con más actividad vinculada a insiders en 2025 y el principal sector de oferta de servicios internos; tecnología lideró la demanda de acceso solicitada por actores maliciosos.

Perfiles prioritarios

La clave no es solo el privilegio técnico. El perfil más valioso es el que tiene autoridad sobre un flujo de trabajo. Trend Micro subraya que los insiders de mayor valor poseen autoridad operativa, no únicamente acceso a sistemas.

Los perfiles que una organización debería proteger y supervisar con especial atención son:

• Gestores de pagos, tesorería, fraude y back office, capaces de autorizar transferencias, devoluciones, retiradas o cambios de datos bancarios.
• Soporte de identidad, IAM y recuperación de cuentas, por su capacidad para resetear credenciales, modificar MFA, emitir accesos o validar identidades.
• Atención al cliente con herramientas de administración, especialmente donde puedan cambiar datos, tramitar portabilidades, activar SIM, efectuar reembolsos o desbloquear cuentas.
• Administradores de sistemas, cloud, redes y bases de datos, por sus permisos elevados y posibilidad de acceder a grandes volúmenes de información.
• DevOps, SRE y desarrollo con acceso a repositorios, CI/CD, secretos, APIs o producción.
• Operaciones logísticas, por su capacidad de alterar entregas, escaneos, estados de paquete y direcciones.
• Personal de Trust & Safety, moderación y operaciones de plataformas, que puede verificar, suspender, recuperar o modificar cuentas.
• Administrativos y gestores de expedientes que trabajan con datos sensibles o decisiones de impacto.
• Proveedores, consultores y contratistas, porque pueden tener acceso persistente, conocimiento interno y menor visibilidad en algunos controles.

Qué está cambiando

El cambio más importante es que el cibercrimen ya no necesita que el colaborador interno entregue una “contraseña maestra”. Puede bastar con que ejecute una acción que parece legítima:

• Aprobar un reembolso.
• Restablecer una cuenta.
• Modificar un número de teléfono.
• Validar una portabilidad.
• Cambiar el estado de una entrega.
• Exportar un listado de clientes.
• Desactivar un control antifraude.
• Crear un usuario temporal o dar acceso a un proveedor.
• Descargar un documento técnico o secreto comercial.

Por eso, en anuncios clandestinos se han identificado necesidades tan diversas como SIM swapping, credenciales y datos de clientes en telecom; fraude de reembolsos en retail; manipulación de seguimiento de envíos en logística; acciones sobre cuentas en redes sociales; y autorizaciones de transferencias o retiradas en finanzas.

Defensa práctica

La medida esencial es proteger los procesos, no solo los equipos:

• Aplicar mínimo privilegio y revisar permisos de forma periódica.
• Separar funciones: quien inicia una operación crítica no debe poder aprobarla en solitario.
• Establecer doble validación para pagos, reembolsos, cambios de SIM, reseteos de MFA, exportaciones masivas y cambios de datos sensibles.
• Monitorizar anomalías de negocio: horarios, importes, volumen de accesos, repetición de excepciones, cambios de destinatario o patrones de aprobación.
• Crear un canal confidencial para que trabajadores reporten ofertas, presiones, chantajes o aproximaciones sospechosas.
• Formar a la plantilla para reconocer que una propuesta económica “demasiado buena” por una gestión aparentemente sencilla puede ser el inicio de una captación criminal.
• Incluir a proveedores y contratistas en controles de acceso, monitorización y planes de respuesta.

El enfoque adecuado no es tratar a los empleados como sospechosos, sino reconocer que pueden convertirse en objetivos y que los procesos críticos deben resistir incluso cuando una persona autorizada intenta abusar de su posición.

No existe una “tarifa oficial” ni estable: las cantidades varían según el sector, el tipo de acceso, el impacto de la acción, el volumen de datos y el riesgo que asume el colaborador interno. Pero los informes públicos sitúan las ofertas más habituales para un acceso puntual o un dato específico en torno a 3.000–15.000 euros, mientras que los accesos privilegiados, el fraude financiero o el espionaje industrial pueden escalar a decenas o cientos de miles.

Rangos observados

Los rangos de 3.000 a 15.000 euros corresponden a anuncios de captación de insiders para accesos puntuales o datos específicos; no deben interpretarse como una cotización universal.

Cómo se estructura el pago

En la práctica, los grupos criminales pueden combinar varios modelos:

• Pago fijo por entregar información, facilitar una credencial o ejecutar una acción concreta.
• Prima de incorporación, cuando se busca mantener a la persona disponible durante un periodo.
• Comisión por recomendación, si el colaborador atrae a otros empleados con más o mejores permisos.
• Porcentaje de beneficios, cuando el insider participa en el fraude posterior.
• Pago recurrente, para conservar acceso activo o disponibilidad operativa.
• Depósito en garantía (escrow), donde un tercero retiene los fondos hasta que ambas partes consideran cumplido el acuerdo.

Esta profesionalización convierte la confianza corporativa en una mercancía: se paga no solo por el conocimiento técnico, sino por la capacidad de ejecutar acciones legítimas dentro de procesos críticos.

Qué encarece el “acceso”

Cuanto más difícil sea sustituir a la persona y más impacto tenga su función, más valiosa resulta para la delincuencia organizada:

• Capacidad para aprobar pagos, devoluciones o transferencias.
• Permiso para reiniciar contraseñas o cambiar factores MFA.
• Acceso a CRM, bases de datos de clientes o expedientes sensibles.
• Capacidad de alterar portabilidades, tarjetas SIM o datos de contacto.
• Administración de cloud, sistemas, redes, repositorios o herramientas DevOps.
• Control sobre trazabilidad de envíos, incidencias y direcciones de entrega.
• Acceso a secretos industriales, documentación estratégica o información de mercado.

Matiz importante sobre los 250.000 €

La cifra de hasta 250.000 euros debe manejarse con cuidado en un artículo o informe. Puede utilizarse como una alegación atribuida a una fuente concreta o a una alerta/informe concreto, pero no como precio estándar del mercado si no se aporta el anuncio original, la plataforma en la que apareció, la fecha, el actor, la moneda y la evidencia preservada.

Una redacción prudente sería:

“Fuentes de inteligencia de amenazas y análisis de mercados clandestinos han documentado ofertas que van de miles de dólares por accesos o información concretos a cantidades de seis cifras en operaciones de alto impacto. La ANTPJI advierte de que, en determinados contextos, las primas de captación podrían alcanzar importes muy superiores, sujetos a verificación caso por caso.”

Enfoque preventivo

Para una empresa, saber el importe no debería llevar a una búsqueda directa de estos anuncios. Lo útil es reconocer que cualquier trabajador con autoridad operativa puede convertirse en objetivo de soborno, presión o engaño.

La defensa debe centrarse en controles de proceso: doble validación, segregación de funciones, mínimo privilegio, revisión de accesos, trazabilidad de operaciones sensibles y un canal confidencial para comunicar intentos de captación.

En 221B Baker Street, Holmes habría buscado una huella en la alfombra.
En 2026, quizá buscaría una oferta demasiado buena para ser cierta en la pantalla de un empleado.