--- id: CP-234 slug: tor-deep-web-dark-web lang: es title: Tor, Deep Web y Dark Web description: Cómo funciona Tor, el enrutamiento cebolla, y por qué un empleado no debe instalarlo en un equipo de trabajo sin la aprobación del departamento de TI. canonical_url: https://startbrain.io/cyberpedia/es/articles/tor-deep-web-dark-web/ markdown_url: https://startbrain.io/cyberpedia/es/articles/tor-deep-web-dark-web.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Tor, Deep Web y Dark Web», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/tor-deep-web-dark-web/ (CC BY 4.0) wing: 3 theme: browse_safely reflex: cr-077 schema: G3 updated: "2026-11-03" translations: es: https://startbrain.io/cyberpedia/es/articles/tor-deep-web-dark-web/ fr: https://startbrain.io/cyberpedia/fr/articles/tor-deep-web-dark-web/ en: https://startbrain.io/cyberpedia/en/articles/tor-deep-web-vs-dark-web/ de: https://startbrain.io/cyberpedia/de/articles/tor-deep-web-dark-web/ it: https://startbrain.io/cyberpedia/it/articles/tor-deep-web-dark-web/ sources: - "n": 1 title: Tor publisher: MITRE ATT&CK url: https://attack.mitre.org/software/S0183/ accessed: "2026-11-03" - "n": 2 title: "Proxy: Multi-hop Proxy" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1090/003/ accessed: "2026-11-03" - "n": 3 title: Encrypted Channel publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1573/ accessed: "2026-11-03" - "n": 4 title: Proxy publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1090/ accessed: "2026-11-03" - "n": 5 title: "Application Layer Protocol: Web Protocols" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1071/001/ accessed: "2026-11-03" --- # Tor, Deep Web y Dark Web Tor es un software y una red que sirven para hacer la navegación más anónima. Su nombre aparece a menudo junto a «Deep Web» y «Dark Web», dos expresiones que se confunden con facilidad. Esta ficha explica cómo funciona Tor y qué supone para una empresa. Las fuentes reunidas aquí proceden de la base MITRE ATT&CK, que describe las técnicas de los atacantes. Dicen sobre todo cómo se desvía el uso de Tor y poco sobre su uso ordinario. La ficha se limita a lo que ellas establecen. ## En 30 segundos - Dónde ocurre: grupos maliciosos usan Tor para su tráfico [1]. - Lo que quiere el atacante: ocultar el origen de su tráfico, para que la empresa no pueda llegar hasta él [2]. - El reflejo: no instalar Tor en un equipo de trabajo sin la aprobación del departamento de TI, y no descargar ningún «navegador Tor» de una fuente no confirmada por el departamento de TI. - Si ya lo ha hecho: avise al departamento de TI sin esperar, sin eliminar nada por su cuenta. ## Preguntas directas ### ¿Qué es Tor? MITRE ATT&CK lo describe como un conjunto de software y una red que ofrecen un mayor anonimato en Internet. Crea una red de relés encadenados (un «multi-hop proxy») y emplea un cifrado en varias capas para proteger tanto el mensaje como la información de enrutamiento [1]. Existe para Linux, Windows y macOS [1]. ### ¿Qué significa «enrutamiento cebolla»? Los mensajes se cifran con varias capas. En cada etapa de la red de relés, se descifra la capa exterior y el contenido se transmite al nodo siguiente, hasta el destino [1]. La imagen es la de una cebolla de la que cada relé quita una capa. ### ¿Por cuántos relés pasa el tráfico? La fuente dice que el tráfico se transmite a varios nodos antes de salir de la red Tor y continuar hacia su destino [1]. No da ninguna cifra. El número de tres relés, citado a menudo, no figura en ninguna de las fuentes citadas aquí. ### ¿Es ilegal la Dark Web? Ninguna de las fuentes citadas aquí trata el estatus jurídico de la Dark Web ni el de Tor. Por eso la ficha no zanja este punto. Las fuentes establecen otro hecho: grupos maliciosos usan Tor [1]. ### ¿Qué diferencia hay entre Deep Web y Dark Web? Las fuentes citadas aquí no definen ninguno de estos dos términos. Solo describen Tor, una red de anonimización. Para distinguir entre contenidos no indexados y servicios accesibles mediante una red de anonimización, el interlocutor sigue siendo el departamento de TI de la empresa. ## Cómo funciona Tor combina dos mecanismos. El primero es el salto múltiple: el tráfico atraviesa varios nodos antes de llegar a su destino [1]. El segundo es el cifrado: Tor encapsula el tráfico en varias capas de cifrado y usa TLS por defecto [1]. Para un equipo de seguridad, el efecto es el siguiente. Normalmente, un defensor puede identificar el último proxy que atravesó el tráfico antes de entrar en su red. Puede identificar o no los proxys anteriores [2]. Encadenar varios proxys obliga a seguir el tráfico de relé en relé para encontrar su origen [2]. MITRE cita la red Tor, de acceso público, como ejemplo de red de enrutamiento cebolla [2]. Respecto a las comunicaciones de mando y control del software malicioso, MITRE señala que, aunque el algoritmo sea seguro, una implementación puede ser vulnerable a la ingeniería inversa si hay claves secretas codificadas o generadas en las muestras de software malicioso o en sus archivos de configuración [3]. Los atacantes también emplean proxys para evitar conexiones directas hacia su infraestructura, gestionar sus comunicaciones de mando y control o utilizar vías de comunicación ya consideradas fiables, con el fin de evitar sospechas [4]. ## Qué hace usted - No instale Tor, ni ningún software de anonimización, en un equipo de trabajo sin la aprobación del departamento de TI. - Si una información parece accesible solo por este medio, pregunte al departamento de TI en lugar de buscarla usted mismo. - Si un mensaje le propone comprar, consultar o verificar datos de la empresa en un sitio de este tipo, no haga clic y avise al departamento de TI. - Si ya ha instalado un software así, dígaselo al departamento de TI, aunque nada parezca anormal. ## Las trampas La primera es creer en un anonimato absoluto. El cifrado y los relés complican el trabajo de un defensor: MITRE habla de dificultad para identificar el origen, no de imposibilidad [2]. Tor también sirve a los atacantes. MITRE menciona redes cebolla para transportar tráfico de mando y control cifrado a través de un conjunto de máquinas comprometidas [2]. Además, el tráfico de un atacante puede confundirse con el tráfico web ordinario: HTTP/S y WebSocket son muy habituales en los entornos de empresa, y un atacante puede aprovecharlos para imitar un tráfico normal [5]. La red alberga sitios de grupos criminales. Water Galura mantiene un sitio de filtraciones de datos alojado en Tor para el ransomware Qilin y sus afiliados [1]. El grupo ShinyHunters empleó Tor para su propio sitio de filtraciones [1]. Ver el nombre de una empresa en un sitio así no prueba por sí solo un ataque: la comprobación corresponde al departamento de TI. Las fuentes no tratan los falsos navegadores Tor, ni las descargas trampa, ni las ofertas de datos robados. La cautela que se pide en estos puntos responde a la instrucción del departamento de TI, no a un hecho establecido aquí. Un caso ilustra, sin embargo, el riesgo de un software instalado sin control: el software malicioso Dok descarga e instala Tor mediante Homebrew [2]. ## Casos reales ### 2025 Poland Wiper Attacks En los ataques con software destructivo de 2025 en Polonia, los atacantes utilizaron nodos Tor para su mando y control [1][2]. En la campaña CostaRicto, los atacantes gestionaron servidores de mando a través de Tor [1]. ### Scattered Spider y la extracción de datos de Salesforce Según MITRE, el grupo Scattered Spider utilizó Tor para comunicarse con las organizaciones objetivo [1]. En la campaña Salesforce Data Exfiltration, los atacantes usaron direcciones IP de Tor para llamadas de voz y para la recopilación de datos [1]. ### Operation Wocao Durante la operación Wocao, los atacantes emplearon nodos de salida de Tor para ejecutar comandos [1]. ## Fuentes 1. MITRE ATT&CK, «Tor». https://attack.mitre.org/software/S0183/ (consultado el 3 de noviembre de 2026) 2. MITRE ATT&CK, «Proxy: Multi-hop Proxy». https://attack.mitre.org/techniques/T1090/003/ (consultado el 3 de noviembre de 2026) 3. MITRE ATT&CK, «Encrypted Channel». https://attack.mitre.org/techniques/T1573/ (consultado el 3 de noviembre de 2026) 4. MITRE ATT&CK, «Proxy». https://attack.mitre.org/techniques/T1090/ (consultado el 3 de noviembre de 2026) 5. MITRE ATT&CK, «Application Layer Protocol: Web Protocols». https://attack.mitre.org/techniques/T1071/001/ (consultado el 3 de noviembre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/tor-deep-web-dark-web/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.