Cae LeakBase, el foro clandestino donde se vendían contraseñas y datos personales para fraudes y ciberataques
La Guardia Civil y la Policía Nacional han participado en una operación internacional coordinada por Europol que ha permitido actuar contra el foro clandestino LeakBase, una de las plataformas más relevantes dedicadas a la compraventa de datos personales robados en internet.
El operativo, desarrollado de forma simultánea en 14 países, ha permitido intervenir contra la infraestructura del foro y contra algunos de sus usuarios más activos. En España, las actuaciones se han saldado con una detención y dos registros domiciliarios en las provincias de A Coruña y Bizkaia, donde los agentes han intervenido abundante material informático y documentación relevante para la investigación.
LeakBase funcionaba como un mercado clandestino de datos filtrados y credenciales robadas. La plataforma contaba con más de 142.000 usuarios registrados y operaba como un foro donde se podían comprar, vender o intercambiar bases de datos comprometidas, muchas de ellas procedentes de grandes empresas o de ordenadores personales infectados con distintos tipos de malware.
Estos datos robados eran utilizados posteriormente para cometer delitos como fraudes económicos, suplantaciones de identidad, robo de cuentas o accesos ilícitos a sistemas informáticos.
El portal, activo desde 2021 y accesible desde la denominada clearweb, combinaba el formato de foro tradicional con funciones propias de un mercado digital. En él se compartían bases de datos filtradas, pares de credenciales formados por correos electrónicos y contraseñas, así como los conocidos como “stealer logs”, archivos generados por programas maliciosos diseñados específicamente para robar credenciales almacenadas en dispositivos infectados.
Los investigadores consideran que LeakBase se había consolidado como un centro clave dentro del ecosistema internacional del cibercrimen, al albergar un amplio repositorio de datos comprometidos que incluía tanto filtraciones antiguas como información recientemente sustraída.
Además, la plataforma mantenía un sistema interno destinado a reforzar la confianza entre los miembros de la comunidad clandestina. Entre sus normas destacaba una curiosa restricción: la prohibición expresa de vender o publicar datos relacionados con Rusia.
En diciembre de 2025, el foro registraba más de 142.000 usuarios, cerca de 32.000 publicaciones y más de 215.000 mensajes privados, lo que evidencia la dimensión y alcance internacional de esta red de intercambio de información robada.
Las actuaciones policiales se desarrollaron entre los días 3 y 4 de marzo mediante acciones coordinadas en múltiples jurisdicciones. En total, las autoridades llevaron a cabo cerca de 100 intervenciones dirigidas contra 37 de los usuarios más activos de la plataforma, que incluyeron detenciones, registros domiciliarios y actuaciones conocidas como “knock-and-talk”, un método policial que consiste en acudir a los domicilios de sospechosos para advertirles de la investigación en curso.
Entre los países participantes en el operativo se encuentran Australia, Estados Unidos, Canadá, Bélgica, Alemania, Grecia, Kosovo, Malasia, Países Bajos, Polonia, Portugal, Rumanía, España y Reino Unido.
La coordinación internacional se desarrolló desde la sede de Europol en La Haya, donde se estableció un centro de análisis de datos con especialistas encargados de examinar de forma rápida la información incautada. También se creó un Puesto de Mando Conjunto que permitió compartir información en tiempo real entre los países participantes.
En el caso de España, los investigadores lograron identificar a dos usuarios con elevados conocimientos técnicos, presuntamente vinculados con la actividad del foro. Ambos habrían utilizado complejos sistemas de anonimización y técnicas avanzadas para ocultar su huella digital y dificultar su localización.
Tras su identificación, los agentes procedieron a la detención de uno de los sospechosos, mientras que el segundo permanece pendiente de localización y arresto.
Durante los registros realizados en A Coruña y Bizkaia se incautaron ordenadores, dispositivos de almacenamiento y documentación que ahora están siendo analizados por los especialistas en ciberdelincuencia.
Uno de los avances clave de la operación ha sido la incautación de la base de datos completa del foro, lo que ha permitido desanonimizar a numerosos usuarios que creían operar de forma anónima. Los investigadores continúan analizando la información para identificar a más implicados y relacionarlos con posibles delitos cometidos en diferentes países.
Las autoridades recuerdan además que cuando se produce una filtración de datos personales, la información robada no desaparece, sino que puede circular durante años en foros clandestinos de internet y ser utilizada para nuevos delitos.
Por ello, los expertos recomiendan utilizar contraseñas únicas y robustas para cada servicio y activar sistemas de autenticación multifactor, medidas que ayudan a reducir considerablemente el riesgo en caso de que una cuenta se vea comprometida.
