Tor, Deep Web y Dark Web
Cómo funciona Tor, el enrutamiento cebolla, y por qué un empleado no debe instalarlo en un equipo de trabajo sin la aprobación del departamento de TI.
En 30 segundos
- Dónde ocurre
- Grupos maliciosos usan Tor para su tráfico1.
- Lo que quiere el atacante
- Ocultar el origen de su tráfico, para que la empresa no pueda llegar hasta él2.
- El reflejo
- No instalar Tor en un equipo de trabajo sin la aprobación del departamento de TI, y no descargar ningún «navegador Tor» de una fuente no confirmada por el departamento de TI.
- Si ya lo ha hecho
- Avise al departamento de TI sin esperar, sin eliminar nada por su cuenta.
De qué se trata
Tor es un software y una red que sirven para hacer la navegación más anónima. Su nombre aparece a menudo junto a «Deep Web» y «Dark Web», dos expresiones que se confunden con facilidad. Esta ficha explica cómo funciona Tor y qué supone para una empresa.
Las fuentes reunidas aquí proceden de la base MITRE ATT&CK, que describe las técnicas de los atacantes. Dicen sobre todo cómo se desvía el uso de Tor y poco sobre su uso ordinario. La ficha se limita a lo que ellas establecen.
Preguntas directas
¿Qué es Tor?
MITRE ATT&CK lo describe como un conjunto de software y una red que ofrecen un mayor anonimato en Internet. Crea una red de relés encadenados (un «multi-hop proxy») y emplea un cifrado en varias capas para proteger tanto el mensaje como la información de enrutamiento1. Existe para Linux, Windows y macOS1.
¿Qué significa «enrutamiento cebolla»?
Los mensajes se cifran con varias capas. En cada etapa de la red de relés, se descifra la capa exterior y el contenido se transmite al nodo siguiente, hasta el destino1. La imagen es la de una cebolla de la que cada relé quita una capa.
¿Por cuántos relés pasa el tráfico?
La fuente dice que el tráfico se transmite a varios nodos antes de salir de la red Tor y continuar hacia su destino1. No da ninguna cifra. El número de tres relés, citado a menudo, no figura en ninguna de las fuentes citadas aquí.
¿Es ilegal la Dark Web?
Ninguna de las fuentes citadas aquí trata el estatus jurídico de la Dark Web ni el de Tor. Por eso la ficha no zanja este punto. Las fuentes establecen otro hecho: grupos maliciosos usan Tor1.
¿Qué diferencia hay entre Deep Web y Dark Web?
Las fuentes citadas aquí no definen ninguno de estos dos términos. Solo describen Tor, una red de anonimización. Para distinguir entre contenidos no indexados y servicios accesibles mediante una red de anonimización, el interlocutor sigue siendo el departamento de TI de la empresa.
1Cómo funciona1 min
Tor combina dos mecanismos. El primero es el salto múltiple: el tráfico atraviesa varios nodos antes de llegar a su destino1. El segundo es el cifrado: Tor encapsula el tráfico en varias capas de cifrado y usa TLS por defecto1.
Para un equipo de seguridad, el efecto es el siguiente. Normalmente, un defensor puede identificar el último proxy que atravesó el tráfico antes de entrar en su red. Puede identificar o no los proxys anteriores2. Encadenar varios proxys obliga a seguir el tráfico de relé en relé para encontrar su origen2. MITRE cita la red Tor, de acceso público, como ejemplo de red de enrutamiento cebolla2.
Respecto a las comunicaciones de mando y control del software malicioso, MITRE señala que, aunque el algoritmo sea seguro, una implementación puede ser vulnerable a la ingeniería inversa si hay claves secretas codificadas o generadas en las muestras de software malicioso o en sus archivos de configuración3.
Los atacantes también emplean proxys para evitar conexiones directas hacia su infraestructura, gestionar sus comunicaciones de mando y control o utilizar vías de comunicación ya consideradas fiables, con el fin de evitar sospechas4.
2Qué hace usted1 min
- No instale Tor, ni ningún software de anonimización, en un equipo de trabajo sin la aprobación del departamento de TI.
- Si una información parece accesible solo por este medio, pregunte al departamento de TI en lugar de buscarla usted mismo.
- Si un mensaje le propone comprar, consultar o verificar datos de la empresa en un sitio de este tipo, no haga clic y avise al departamento de TI.
- Si ya ha instalado un software así, dígaselo al departamento de TI, aunque nada parezca anormal.
3Las trampas1 min
La primera es creer en un anonimato absoluto. El cifrado y los relés complican el trabajo de un defensor: MITRE habla de dificultad para identificar el origen, no de imposibilidad2.
Tor también sirve a los atacantes. MITRE menciona redes cebolla para transportar tráfico de mando y control cifrado a través de un conjunto de máquinas comprometidas2. Además, el tráfico de un atacante puede confundirse con el tráfico web ordinario: HTTP/S y WebSocket son muy habituales en los entornos de empresa, y un atacante puede aprovecharlos para imitar un tráfico normal5.
La red alberga sitios de grupos criminales. Water Galura mantiene un sitio de filtraciones de datos alojado en Tor para el ransomware Qilin y sus afiliados1. El grupo ShinyHunters empleó Tor para su propio sitio de filtraciones1. Ver el nombre de una empresa en un sitio así no prueba por sí solo un ataque: la comprobación corresponde al departamento de TI.
Las fuentes no tratan los falsos navegadores Tor, ni las descargas trampa, ni las ofertas de datos robados. La cautela que se pide en estos puntos responde a la instrucción del departamento de TI, no a un hecho establecido aquí. Un caso ilustra, sin embargo, el riesgo de un software instalado sin control: el software malicioso Dok descarga e instala Tor mediante Homebrew2.
4Casos reales1 min
2025 Poland Wiper Attacks
En los ataques con software destructivo de 2025 en Polonia, los atacantes utilizaron nodos Tor para su mando y control12. En la campaña CostaRicto, los atacantes gestionaron servidores de mando a través de Tor1.
Scattered Spider y la extracción de datos de Salesforce
Según MITRE, el grupo Scattered Spider utilizó Tor para comunicarse con las organizaciones objetivo1. En la campaña Salesforce Data Exfiltration, los atacantes usaron direcciones IP de Tor para llamadas de voz y para la recopilación de datos1.
Operation Wocao
Durante la operación Wocao, los atacantes emplearon nodos de salida de Tor para ejecutar comandos1.
Ficha
- Identificador
- CP-234
- Ala
- 3. Protocolos y defensa
- Competencia Brain
- Navegar con seguridad (browse_safely)
- Reflejo Brain
- cr-077
- Esquema
- G3 · Corte anatómico
- Idiomas
- de, en, es, fr
- Fuentes
- 5 fuentes verificadas el 3 de noviembre de 2026
Fuentes5 fuentes
- MITRE ATT&CK, «Tor». https://attack.mitre.org/software/S0183/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Proxy: Multi-hop Proxy». https://attack.mitre.org/techniques/T1090/003/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Encrypted Channel». https://attack.mitre.org/techniques/T1573/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Proxy». https://attack.mitre.org/techniques/T1090/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Application Layer Protocol: Web Protocols». https://attack.mitre.org/techniques/T1071/001/ (consultado el 3 de noviembre de 2026)
Citar este artículo
Brain, «Tor, Deep Web y Dark Web», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp234_es_2026,
author = {Brain},
title = {Tor, Deep Web y Dark Web},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/es/articles/tor-deep-web-dark-web/},
note = {CC BY 4.0}
}