Rehub y las tiendas de datos robados: cómo el mercado de logs sobrevive a sus takedowns
El 10 de agosto de 2025 abrió sus puertas una plataforma en lengua rusa llamada Rehub, lanzada por un exmoderador de XSS, semanas antes uno de los foros centrales del hampa hasta que la policía lo desmanteló. Según los investigadores de Flashpoint, Rehub abrazó lo que su rival DamageLib, iniciado por otros moderadores de XSS el 1 de agosto, abandonó deliberadamente: el comercio ilícito. Su sección Supermarket anuncia programas de afiliados de ransomware, accesos de red comprometidos, malware, datos financieros robados y bases de datos filtradas, y el sitio funciona tanto en la clearnet como en Tor. Rehub es el rostro más nuevo de un comercio más antiguo - el mercado de inicios de sesión, cookies, huellas y accesos robados - que lleva años desmantelándose y rearmándose a la vista del público.
Qué es realmente una línea de inventario
La mercancía central es el stealer log: el botín automatizado extraído de una sola máquina infectada. Los investigadores de Kaspersky, que vigilan los rincones de la darknet donde se venden estos archivos, los definen como colecciones automatizadas de datos robados por malware ladrón. Según el catálogo del equipo de investigación de Sekoia, un log típico agrupa detalles del sistema y datos del navegador - URL y credenciales guardadas, cookies, autorrelleno, tarjetas almacenadas - además de material de aplicaciones de escritorio como clientes de correo, mensajerías, monederos de criptomonedas y herramientas VPN. Sekoia situó los precios del stock cualificado y exclusivo entre 5 y 100 dólares según el volumen de datos, el país de la víctima y la precisión; las tiendas permiten filtrar por dominio, buscando portales VPN corporativos, cuentas de administrador y herramientas de seguridad. El nivel premium no es la contraseña sino la sesión. Las cookies y los datos de huella del navegador permiten a un comprador reanudar una sesión autenticada y aparentar que usa el propio navegador de la víctima. Ese empaquetado fue el producto central de Genesis Market: cada identidad se vendía como un bot, completo con un navegador propio para reproducirla. Las contraseñas se pueden restablecer; las sesiones y las huellas viajan con el comprador. Abril de 2023: el punto de inflexión que movió el mercado
El 5 de abril de 2023 una operación en 17 países sacó a Genesis Market de la red, con 119 detenciones, 208 registros y 97 visitas de advertencia a usuarios, según Europol; el mercado había listado las identidades de más de dos millones de personas cuando fue clausurado. La acción retiró el escaparate más pulido del oficio. No retiró la mercancía. Los investigadores de Sekoia, escribiendo semanas después del asalto, describían el comercio activo en tiendas centralizadas como Russian Market y 2easy y sugerían que la caída aceleraría las ventas descentralizadas - comunidades de suscripción y bots de Telegram. Nubes, bots y revendedores: la capa de sindicación
Esa capa ya estaba documentada. Sekoia describió las 'clouds of logs', comunidades privadas que vendían acceso por suscripción a inventario masivo por entre 200 y 900 dólares al mes; un presunto operador, BSC, ofrecía 10.000 logs frescos al día por 2.299 dólares al mes, con más de 300.000 logs acumulados en diciembre de 2022, un cuarto de ellos de víctimas europeas. Los bots de Telegram funcionaban como escaparates a demanda: una búsqueda de una sola aerolínea en un bot devolvía 500 logs coincidentes. Entre los operadores de malware y las tiendas se sitúan herramientas de procesamiento como BLTools y Crystal, que normalizan, deduplican y validan líneas, a veces comprobando saldos antes de la venta. Los investigadores señalaron el defecto estructural de la capa: los compradores revenden, así que el inventario se filtra entre sedes - un efecto de sindicación por el que las mismas líneas aparecen en varios escaparates. La propia caída alimentó la circulación. Trend Micro informó en noviembre de 2023 de operaciones que reflejaban técnicas de Genesis, incluida una extensión maliciosa de navegador del tipo que Genesis vendía, y señaló informes de que la infraestructura y el inventario de Genesis se habían vendido en el hampa tras la incautación. Que existiera un regreso auténtico quedó sin confirmar; que los métodos persistieran, no. Rehub y la consolidación de los foros
La secuencia posterior sigue el patrón que Flashpoint ha trazado para el nivel de los foros. XSS fue desmantelado el 23 de julio de 2025 y sus usuarios desplazados se enfrentaron a una lista de sucesores; Rehub mantuvo abiertamente el comercio. Cuando el foro centrado en ransomware RAMP fue incautado el 28 de enero de 2026, migraron de nuevo. Para julio de 2026, Flashpoint contaba más de 8.300 usuarios activos y 15.000 publicaciones, con marcas de ransomware como DragonForce - evaluada como probable patrocinador o socio del foro - gestionando programas de afiliados a la vista. Las membresías cuestan de 100 a 5.000 dólares al año, las disputas pasan por un arbitraje con una lista pública de estafadores y, desde mediados de abril de 2026, las cuentas nuevas quedan confinadas a una sandbox hasta pasar la verificación. Lo que cambió la aplicación de la ley, y lo que no
Leída como secuencia - Genesis en 2023, las disrupciones de stealers y loaders en 2025, XSS y RAMP hasta 2026 - la aplicación de la ley ha desplazado el comercio de forma constante sin terminarlo. Cada acción elimina infraestructura con nombre, expone a algunos participantes y eleva los costes operativos; cada una desplaza también inventario y compradores hacia el formato siguiente. La tienda centralizada dio paso a la nube de suscripción, la nube a los escaparates de bots, y el supermercado de foro agrupa hoy programas de afiliados, bases de datos y ventas de accesos tras un banner de patrocinador. Describimos la capa actual de escaparates y los límites de la ola de disrupciones de stealers de 2025 en nuestra pieza anterior sobre los mercados de stealer logs tras las caídas. Para quien observa la categoría, las señales que vale la pena seguir son estructurales: si el comercio sigue consolidándose en foros con patrocinio financiero, con qué rapidez se mueve el precio de los logs cualificados y si la custodia por arbitraje aguanta. Los nombres cambian con horario fijo. La cadena de suministro - un navegador infectado cada vez - no.
