En los mercados clandestinos de internet se vende todo lo que necesitas para dejar de ser tú y convertirte en otra persona: documentos escaneados, historiales de crédito inventados, cuentas verificadas en redes sociales y hasta números de teléfono de países que nunca has pisado. El mercado de identidades falsas en el entorno digital mueve cifras que compiten con el tráfico de drogas en algunos foros especializados de la dark web, y funciona con una lógica de oferta y demanda tan mundana como la de cualquier tienda online. Lo que varía es el producto y las consecuencias para quien lo sufre.
Que este mercado exista no es ninguna novedad. Lo que sí ha cambiado en los últimos años es la sofisticación de lo que se vende, la velocidad con la que se renueva el catálogo y la facilidad con la que cualquier persona sin conocimientos técnicos puede comprar una identidad ajena desde su casa. Esto tiene un coste humano concreto: las víctimas de robo de identidad en Estados Unidos reportaron pérdidas superiores a 10.000 millones de dólares en 2023, según la Comisión Federal de Comercio. En España, la cifra es más difícil de rastrear, entre otras razones porque muchos de estos delitos nunca se denuncian.
¿Qué se vende exactamente en el mercado de identidades falsas?
El catálogo es más variado de lo que parece. En los foros más conocidos de la dark web, como los que heredaron el espacio dejado por AlphaBay o Genesis Market (este último desmantelado por el FBI en 2023), el producto más básico es el llamado “fullz”: un paquete completo con nombre, apellidos, fecha de nacimiento, número de seguridad social o equivalente, dirección, número de teléfono y datos bancarios asociados. El precio medio de un fullz de ciudadano estadounidense ronda los 15 y los 40 dólares, dependiendo del historial crediticio de la víctima.
Por encima de eso están los productos más elaborados. Una cuenta bancaria verificada con saldo puede venderse por entre 100 y 3.000 dólares según el saldo disponible. Los perfiles de redes sociales con antigüedad y seguidores reales, que sirven para operaciones de influencia o fraude publicitario, pueden costar desde 10 hasta varios cientos de euros. Las cuentas de plataformas como PayPal o Coinbase ya verificadas con documentación falsa son otro producto de alta demanda.
Hay un tercer nivel todavía más preocupante: los “kits de identidad sintética”. Son identidades que no pertenecen a ninguna persona real, sino que se construyen combinando datos reales de distintas personas con información inventada. Este tipo de fraude es especialmente difícil de detectar porque la víctima no existe: nadie va a denunciar el robo de una identidad que nunca tuvo. Los bancos y aseguradoras estadounidenses calculan que las identidades sintéticas les cuestan más de 6.000 millones de dólares al año.
¿Cómo llegan esos datos al mercado?
La materia prima del mercado de identidades falsas viene de filtraciones de datos, de ataques de phishing y de bases de datos robadas que llevan años circulando. No todo lo que se vende proviene de hackers sofisticados: una parte considerable llega de empleados internos que venden acceso, de formularios fraudulentos disfrazados de servicios legítimos o de malware que lleva meses activo en dispositivos domésticos sin que nadie lo haya detectado.
Las filtraciones masivas alimentan el mercado de forma constante. La brecha de Equifax en 2017 expuso datos de 147 millones de personas. La de Yahoo, entre 2013 y 2014, afectó a 3.000 millones de cuentas. Esos datos no desaparecen: se reciclan, se cruzan con otras bases de datos y se reempaquetan para venderlos años después. Que tu información aparezca en un sitio como Have I Been Pwned no significa que alguien la esté usando ahora mismo; significa que podría usarla en cualquier momento.
El phishing sofisticado es otra fuente de primer orden. Los ataques actuales no llegan como correos con faltas de ortografía: llegan como mensajes de voz generados por IA que imitan la voz de tu banco, como SMS con URLs casi idénticas a las oficiales o como páginas web que superan la inspección visual de cualquier usuario medio. Cada credencial capturada es un producto que alguien puede poner a la venta en cuestión de horas.
¿Cuánto cuesta suplantar a alguien en internet?
Suplantar una identidad en internet tiene precios muy distintos según el objetivo. Para abrir una cuenta fraudulenta en una plataforma de comercio electrónico y hacer compras con tarjetas ajenas, el coste de los materiales puede ser inferior a 20 dólares. Para una operación más ambiciosa, como solicitar un préstamo a nombre de otra persona o crear una identidad que aguante una revisión de antecedentes, el presupuesto escala hasta varios cientos.
Los documentos de identidad falsificados en formato digital son otro capítulo. Se venden como imágenes editadas de carnés, pasaportes y licencias de conducir de distintos países, diseñadas para superar las verificaciones automáticas básicas de plataformas como exchanges de criptomonedas o servicios financieros con procesos KYC (Know Your Customer) poco estrictos. Un pasaporte europeo falsificado en formato digital puede encontrarse por entre 150 y 500 euros en los foros más activos, aunque su utilidad real depende mucho de la sofisticación del sistema que pretenda engañar.
Hay también un mercado de servicios, no solo de productos. Puedes contratar a alguien que gestione todo el proceso: que compre los datos, los valide, cree la identidad y la use para el fin que el cliente pida. Este modelo de “fraude como servicio” (Fraud-as-a-Service, en la jerga del sector) reduce la barrera de entrada al mínimo. No hace falta saber nada de hacking ni de ingeniería social. Solo hace falta saber dónde buscar y tener criptomonedas para pagar. Todo esto conecta directamente con cómo los datos personales se acumulan en lugares que nunca imaginamos.
¿Qué hace que este mercado sea tan difícil de desmantelar?
El mercado de identidades falsas es resistente por diseño. Opera en capas: los foros de la dark web accesibles con Tor son solo la capa más visible. Por debajo hay canales privados en Telegram, grupos de Discord con acceso por invitación y redes de confianza personal entre vendedores que no tienen ninguna presencia pública rastreable. Cuando las autoridades cierran un mercado, el tráfico migra en días a otro nodo.
Genesis Market fue desmantelado en abril de 2023 tras una operación coordinada entre el FBI, Europol y cuerpos policiales de 17 países. Era uno de los mercados más sofisticados: vendía “bots” con las credenciales de víctimas reales, incluyendo cookies de sesión activas que permitían suplantar al usuario sin necesidad de contraseña. La operación fue un éxito técnico, pero el impacto real fue limitado: los vendedores se dispersaron y la oferta reapareció en otros espacios en semanas. Los mercados digitales ilegales no mueren, se reorganizan.
La criptomoneda es otro factor que complica la persecución. Bitcoin dejó de ser la opción preferida porque su blockchain es rastreable. Monero, que ofrece transacciones opacas por diseño, se ha convertido en la divisa dominante en estos intercambios. Rastrear pagos en Monero es técnicamente posible en algunos casos, pero requiere recursos y tiempo que la mayoría de fiscalías no tienen. Que este tipo de fraude sea tan difícil de perseguir explica también por qué los investigadores de seguridad se han convertido en una pieza clave de la defensa.
La jurisdicción es el tercer obstáculo. Un vendedor puede estar en Rumanía, los servidores en Bielorrusia, el comprador en México y la víctima en Alemania. Coordinar una investigación entre cuatro países con sistemas legales distintos, distintos niveles de cooperación y distintas prioridades policiales es un proceso que puede tardar años. Tiempo suficiente para que el negocio siga funcionando.
El impacto real sobre personas que nunca compraron nada
La cara menos visible del mercado de identidades falsas es la de las víctimas. Alguien que descubre que tiene deudas que nunca contrajo, que su nombre aparece asociado a una dirección donde nunca vivió o que no puede acceder a un crédito porque su historial está contaminado. El proceso de recuperar la propia identidad puede llevar meses y, en algunos países, requiere abogados, declaraciones notariales y comunicaciones con decenas de entidades.
Los menores son un objetivo frecuente, precisamente porque sus datos no se consultan durante años. Un niño puede llegar a la mayoría de edad y descubrir que alguien ha estado usando su número de identidad desde que tenía seis años para abrir cuentas, contratar servicios o cometer fraudes. Para entonces, el rastro es antiguo y casi imposible de limpiar del todo. Las víctimas infantiles del robo de identidad son uno de los colectivos más difíciles de rastrear estadísticamente porque el daño aparece mucho después del delito.
Que tus datos estén en el mercado no siempre viene de que hayas hecho algo mal. Las empresas que guardan tus datos tienen la responsabilidad de protegerlos, y cuando fallan, el coste lo pagan sus usuarios. Lo que ocurre con esos datos cuando una empresa cierra es una pregunta que muy poca gente se hace antes de que sea tarde. Las contraseñas robadas en brechas antiguas siguen siendo útiles porque muchas personas reutilizan las mismas credenciales durante años: una contraseña débil o reutilizada es una puerta que el mercado ya sabe cómo abrir.
Hay también un impacto sistémico más difuso. Cuando el fraude de identidad escala, los sistemas financieros responden endureciendo los procesos de verificación para todos. Los controles más estrictos, las verificaciones biométricas, las preguntas de seguridad adicionales: son medidas que pagamos en fricción todos los usuarios para compensar el daño que hace una minoría. El coste del fraude no lo asumen solo las víctimas directas.
Una parte de este mercado también alimenta operaciones que van más allá del fraude económico. Las identidades falsas son la materia prima de las cuentas automatizadas que pueblan las redes sociales, de las campañas de desinformación y de algunos de los esquemas de manipulación de opinión pública más sofisticados documentados en los últimos años. El mercado de identidades digitales falsas no existe solo para robar dinero: también sirve para fabricar realidades que influyen en decisiones colectivas.
¿Tiene solución técnica el problema de la identidad digital, o solo vamos a gestionarlo?
La identidad digital soberana es la propuesta más seria sobre la mesa. La idea es que cada persona controle sus propios datos de identidad en un sistema descentralizado, sin depender de que una empresa los guarde en su servidor y los proteja bien. La Unión Europea lleva años trabajando en el llamado European Digital Identity Wallet, una cartera de identidad digital que pretende funcionar en todos los países miembros para 2026. Si funciona como promete, reduciría la superficie de ataque: en vez de que tus datos estén en cien bases de datos distintas, los controlarías tú.
La biometría se presenta como otra capa de protección, aunque tiene sus propios problemas. Los sistemas de reconocimiento facial pueden ser engañados con deepfakes de calidad suficiente, algo que ya se ha demostrado en entornos de prueba. La carrera entre los sistemas de verificación y los de falsificación no tiene un ganador definitivo: cada mejora defensiva genera una respuesta ofensiva. Que algunos de los datos que alimentan esa carrera vengan de vigilancia masiva añade una capa de incomodidad ética que el debate técnico suele dejar fuera.
Lo que parece claro es que confiar en que el problema se resolverá solo, o que las autoridades lo tendrán bajo control, es una expectativa difícil de sostener. Los mercados de identidades falsas llevan décadas creciendo y adaptándose a cada ola de persecución. Hay precedentes de tecnologías de control que terminaron generando los problemas que pretendían resolver. La pregunta real no es si el mercado de identidades falsas va a desaparecer, sino quién va a pagar el precio mientras la solución llega.
Preguntas frecuentes
¿Cómo puedo saber si alguien está usando mi identidad en internet?
Las señales más comunes son movimientos en tu historial crediticio que no reconoces, deudas o cuentas a tu nombre que no abriste, o correos de servicios a los que no te has suscrito. Puedes revisar tus datos en servicios como Have I Been Pwned para saber si tus credenciales han aparecido en alguna filtración conocida. Consultar tu informe crediticio periódicamente también ayuda a detectar usos fraudulentos.
¿Qué es una identidad sintética y en qué se diferencia del robo de identidad tradicional?
Una identidad sintética no pertenece a ninguna persona real: se construye combinando datos reales de distintas personas con información inventada. El robo de identidad tradicional usa los datos completos de una víctima existente. La identidad sintética es más difícil de detectar porque nadie la denuncia: no hay una víctima que note el fraude y avise a las autoridades. Los bancos la consideran especialmente costosa por ese motivo.
¿Es ilegal comprar datos personales de terceros aunque no los uses para cometer un fraude?
En la mayoría de países europeos, adquirir datos personales de terceros sin su consentimiento es ilegal bajo el Reglamento General de Protección de Datos, con independencia del uso posterior. En la práctica, la persecución penal se centra en quienes los usan para cometer delitos concretos, pero la mera tenencia en contextos claramente ilícitos puede tener consecuencias legales dependiendo de la legislación nacional.
¿Los menores pueden ser víctimas del robo de identidad aunque no tengan cuentas bancarias?
Sí, y con frecuencia son los más vulnerables. Los datos de un menor pueden usarse para abrir cuentas, solicitar servicios o cometer fraudes durante años antes de que nadie lo detecte, precisamente porque nadie consulta el historial de un niño. El daño aparece cuando llegan a la mayoría de edad e intentan acceder a crédito, alquilar un piso o abrir una cuenta bancaria por primera vez.
¿Qué es el Fraud-as-a-Service y quién lo usa?
El Fraud-as-a-Service es un modelo en el que alguien ofrece el fraude de identidad como un servicio completo: compra los datos, construye la identidad falsa y la usa según el encargo del cliente, que no necesita ningún conocimiento técnico. Lo usan tanto delincuentes individuales como organizaciones más estructuradas. El pago suele hacerse en criptomonedas, lo que dificulta el rastreo.
¿El European Digital Identity Wallet resolverá el problema del mercado de identidades falsas?
Es poco probable que lo resuelva por completo, aunque podría reducir el daño. La cartera de identidad digital europea busca centralizar el control de los datos en manos del ciudadano, lo que reduciría el número de bases de datos vulnerables. Pero cualquier sistema nuevo genera nuevas superficies de ataque, y la adopción masiva llevará años. El mercado de identidades falsas se adaptará, como lo ha hecho siempre.
