Primero: ¿realmente necesitas ciberinteligencia?
Antes de comparar proveedores, revisa si tu operación está en el punto en que la ciberinteligencia aporta valor real:
- Tienes datos de clientes sensibles (información personal, financiera, salud, propiedad intelectual)
- Tus clientes te exigen evidencia de controles de seguridad (cuestionarios de vendor security, requerimientos contractuales)
- Ya sufriste un incidente y quieres detectar reincidencia de los mismos atacantes
- Operas bajo regulación que exige monitoreo continuo (CNBV para fintechs, PCI-DSS, HIPAA)
- Tu equipo de TI no tiene visibilidad de lo que ocurre fuera del perímetro — foros, dark web, filtraciones
Si cumples 2 o más de estas, la ciberinteligencia deja de ser opcional. Si no cumples ninguna, quizás lo prioritario sigue siendo higiene básica (MFA, backups, EDR) antes de invertir en threat intelligence.
Los 4 componentes reales que debe cubrir un servicio de ciberinteligencia
1. Dark Web Monitoring
Vigilancia continua de mercados y foros en la dark web (Tor, canales de Telegram, foros cerrados) donde se comercializan credenciales, accesos y datos filtrados. Un proveedor serio debe cubrir foros en español, no solo repositorios globales en inglés — la mayoría de la actividad organizada contra empresas mexicanas se organiza en canales hispanohablantes.
2. Credential Leak Detection
Detección de credenciales corporativas de tu dominio filtradas en:
- Breach compilations — bases masivas históricas de brechas conocidas
- Logs de infostealer — malware como RedLine, Raccoon, Vidar, LummaC2 que roba sesiones activas de navegadores
- Canales de venta — ofertas específicas de accesos a empresas concretas
La diferencia clave: los logs de infostealer contienen sesiones activas (cookies vivas, tokens) — son mucho más críticos que un password de hace 3 años en un breach viejo. Un buen proveedor prioriza por vigencia de la exposición, no solo por cantidad.
3. OSINT (Open Source Intelligence)
Reconstrucción de tu superficie de ataque desde fuentes abiertas — lo mismo que hace un atacante antes de comprometerte:
- Activos expuestos a internet (motores como Shodan, Censys)
- Correos filtrados de empleados
- Código fuente y secretos expuestos en GitHub, GitLab, Bitbucket públicos
- Metadatos de documentos publicados en tu sitio web
- Perfiles de LinkedIn de empleados clave (vector de spear-phishing)
4. Brand & Domain Protection
Detección temprana de:
- Dominios typosquatting (variantes de tu dominio para phishing)
- Sitios que suplantan tu marca visualmente
- Campañas de phishing que usan tu logo o tu contexto para atacar a tus clientes o empleados
- Menciones de tu empresa en canales donde se planean acciones específicas
Los 6 criterios para elegir proveedor
Criterio 1 — Cobertura de fuentes en español
Un proveedor global que usa traducción automática de fuentes en inglés te dará un feed lleno de ruido irrelevante para México. Pregunta específicamente: ¿tienen analistas hispanohablantes cubriendo foros en español? ¿Monitorean canales de Telegram en Latinoamérica? ¿Cómo priorizan hallazgos por relevancia local?
Criterio 2 — Actionability sobre volumen
El problema más común con Threat Intelligence de gama baja es demasiadas alertas sin priorización. Un dashboard con 500 hallazgos que nadie mira es peor que 5 alertas priorizadas por semana con recomendación específica de acción. Pregunta: ¿me van a entregar 300 IOCs al mes o 3 acciones a tomar?
Criterio 3 — Formato del reporting
Si tu operación no tiene un CISO dedicado, necesitas reportes en lenguaje ejecutivo, no listas técnicas incomprensibles. Un reporte útil para una PyME tecnológica incluye: (a) resumen ejecutivo para dirección, (b) hallazgos priorizados con acción específica, (c) evidencia técnica anexa para el equipo de TI que la vaya a ejecutar.
Criterio 4 — Integración con tu operación
¿Las alertas críticas te llegan solo por correo electrónico (que se pierde entre 300 mensajes al día) o también por WhatsApp/Slack/Teams al canal correcto? Un buen proveedor se adapta a tu canal de comunicación, no te obliga a revisar otro dashboard más.
Criterio 5 — Escalamiento y respuesta
Cuando aparece una credencial activa filtrada, ¿qué pasa? Un servicio maduro no solo te alerta — te llama, te confirma que ejecutaste la rotación, y valida que la exposición se cerró. Threat Intelligence sin flujo de respuesta es información sin uso.
Criterio 6 — Continuidad con tu ecosistema de seguridad
Si además contratas SOC-as-a-Service, MDR, o pentesting con el mismo proveedor, la ciberinteligencia debe alimentar naturalmente a esos servicios — un hallazgo en dark web se convierte en una regla en el EDR, en un caso a validar en el próximo pentest, en un ítem del reporte de compliance. Un proveedor aislado te da información fragmentada; uno integrado te da defensa continua.
Contratar la herramienta más barata "para tener algo" suele resultar en un dashboard olvidado sin nadie que revise los hallazgos. La ciberinteligencia sin operación es un gasto sin retorno. Prefiere un servicio menor pero con analista activo que un producto amplio sin operación.
Preguntas específicas que debes hacer al proveedor
- ¿Cubren foros en español? ¿Cuáles? ¿Cuántos analistas hispanohablantes tienen?
- ¿Distinguen entre credenciales antiguas y sesiones activas de infostealer?
- ¿Cómo priorizan hallazgos? ¿Recibiré 3 alertas o 30 al día?
- ¿Los reportes están en español? ¿Con lenguaje ejecutivo o solo técnico?
- ¿Qué pasa entre alertas mensuales si aparece un hallazgo crítico?
- ¿Los reportes son válidos como evidencia para auditorías de LFPDPPP / ISO 27001 / CNBV?
- ¿Puedo empezar con un diagnóstico gratuito para ver qué encuentran de mi empresa?
- ¿Puedo cancelar sin permanencia si el servicio no me sirve?
- ¿Detectan también secretos en cloud (AWS keys, tokens de GitHub) o solo credenciales de usuario?
- ¿Cómo se integra con mi EDR / SIEM / herramientas existentes?
Señales de un proveedor confiable
- Ofrece diagnóstico gratuito inicial sin compromiso
- Trial sin permanencia para probar antes de firmar contrato anual
- Referencias verificables de otros clientes en tu sector
- Comunicación transparente sobre metodología y limitaciones
- Reportes en tu idioma con contexto local
- Analistas identificables (equipo real, no solo automatización)
- Historial demostrable atendiendo incidentes reales en tu geografía
Señales de un proveedor a evitar
- Solo ofrece paquetes anuales sin trial
- No permite ver ejemplos de reportes reales antes de contratar
- Cobertura genérica global sin especialización en tu región
- Ausencia de analistas humanos — todo automatizado sin curaduría
- Precios exclusivamente por número de indicadores procesados (incentiva ruido)
- Falta de flujo definido para hallazgos críticos entre reportes mensuales
¿Quieres ver cómo lo hacemos nosotros?
Ofrecemos diagnóstico gratuito de OSINT y monitoreo básico de credenciales filtradas sin compromiso. Solo dinos tu dominio.
Solicitar Diagnóstico Gratis