N° 06 · Edición 2026 Inteligencia dark web · ingeniería de defensa Castellón · Red Tor · Operativo
00 — Apertura

Tu nombre
ya circula
en algún foro
que nunca verás.

01
El problema

La amenaza no es nueva.
Es que no la estás viendo.

Casi todos los incidentes graves dejan rastro antes de estallar: credenciales en venta, accesos iniciales en subasta, infraestructura de mando y control preparándose. La diferencia entre una crisis de prensa y un viernes normal es verlo tres días antes en vez de tres semanas después.

i.

Tu SIEM no entra en Tor.

Las plataformas defensivas convencionales trabajan con logs propios y feeds comerciales. No rastrean foros cerrados, markets de accesos iniciales ni canales privados en Tor. Lo que no se mira, no existe en el radar — hasta que alguien de prensa pregunta.

ii.

Setenta y dos horas cambian la película.

Enterarte de que tus credenciales VPN están en subasta con dos o tres días de ventaja significa poder rotar, aislar y preparar la comunicación interna. Enterarte después significa redactar un comunicado a clientes y una notificación a la Agencia.

iii.

El feed crudo no es inteligencia. Es ruido.

Recopilar datos de Tor es la parte fácil — y la que ya hacen diez proveedores. Lo difícil es clasificarlos, correlacionarlos con MITRE ATT&CK y convertirlos en algo que un analista pueda ejecutar, un CISO pueda defender ante dirección y un juzgado pueda aceptar como prueba. Eso es lo que entregamos.

02
Nuestro motor

Ghostnet.
El motor que hace lo
que el resto no puede.

Motor propio de rastreo, descubrimiento y análisis de la red Tor. Indexa fuentes abiertas y foros cerrados, extrae entidades con modelos propios, correlaciona con MITRE ATT&CK y emite informes forenses con cadena de custodia RFC 3161 y bundle STIX 2.1. Lo usamos a diario en pentests reales, respuesta a incidentes y vigilancia continua para clientes corporativos.

Una plataforma de inteligencia operativa, no un feed más.

Ghostnet responde a las dos preguntas que ninguna herramienta defensiva te resuelve: ¿estoy expuesto ahora mismo? y ¿quién me tiene en la agenda para la semana que viene? El resto son grises: contexto, recomendaciones, evidencia para dirección y, cuando toca, un informe sellado para instruir una denuncia.

RastreoMulti-motor · descubrimiento semántico
IOC11 tipos · crypto, IPs, PGP, DNI, emails
Amenaza13 categorías · MITRE ATT&CK
AlertasSSE · SMTP · webhook · <5 min
OSINTPerfilado · correlación · historial
ForensePDF con cadena de custodia
Ver Ghostnet completo Solicitar acceso técnico
Portfolio
2026

Un catálogo que encaja entre sí.
Un mismo ecosistema.

Lo que Ghostnet encuentra en dark web alimenta la vigilancia del cliente. Un indicador de ingeniería inversa termina en la watchlist. Los informes se sellan con el mismo formato forense. Infraestructura en España, datos en la Unión Europea, sin depender de plataformas de terceros países.

Operativo · endpoint
GhostShield EDR
Endpoint detection & response con copiloto en castellano. Windows, Linux, macOS y contenedores. Infraestructura y datos en la Unión Europea. Despliegue en semanas.
Operativo · ingeniería inversa
NG RE-Triage
Autopsia binaria con cadena de custodia RFC 3161 y bundle STIX 2.1. Pack sellado verificable offline. Entregable medio en menos de una hora. En uso en casos reales.
Operativo · modelo propio
DarkForensic-7B
Modelo de lenguaje propio para inteligencia y análisis forense en castellano. Inferencia local, sin dependencia de proveedores externos. Despliegue gestionado u on-premise.
Operativo · marca blanca
DPD as a Service
Delegación de protección de datos para despachos, consultoras y asesorías. Ellos facturan al cliente, nosotros ejecutamos el servicio y firmamos los informes técnicos.
Operativo · retainer mensual
vCISO retainer
Dirección de ciberseguridad por tramos. Comité mensual con el comité de dirección, roadmap trimestral medible, ejecución continua. Tres ventanas de disponibilidad al mes.
Ver catálogo completo
03
Servicios

Seis líneas de trabajo,
una sola cosa entregada:
decisiones útiles.

Cada servicio acaba con algo que puedes usar al día siguiente: un informe con hallazgos priorizados, un sistema endurecido o un equipo que ya sabe lo que tiene que hacer. Ningún entregable de relleno, ninguna página de PowerPoint para engordar la factura.

NG-001 Alta demanda

Adecuación NIS2

La Directiva es ya derecho aplicable en España. Si entras en los 18 sectores obligados, la responsabilidad se traslada al órgano de dirección y las multas pueden alcanzar los 10 M€. En cinco días hábiles te decimos si te aplica, qué te falta, cuánto cuesta cerrarlo y en qué orden hacerlo.

  • Diagnóstico exprés — 5 días
  • Auditoría + plan de adecuación — 2 a 3 semanas
  • Cumplimiento + vigilancia 6 meses
  • Compatible ENS, DORA, ISO 27001, RGPD
Ver paquetes →
NG-002

Ghostnet Watch

Vigilancia continua de la red Tor sobre los activos que te importan: dominios, marcas, ejecutivos, credenciales corporativas, infraestructura en producción. Cuando algo aparece donde no debería, te llega la alerta antes de la reunión del lunes — no después de la llamada del cliente.

  • Watchlist personalizada
  • Alertas por email y webhook
  • Informe mensual de exposición
  • Dashboard de amenazas activas
Ver servicio →
NG-003

Auditoría de exposición digital

Diagnóstico completo de la huella de tu organización fuera del perímetro: red Tor, foros cerrados, mercados de accesos iniciales, repositorios públicos con secretos olvidados. En 48–72 horas tienes un informe priorizado con lo encontrado, el riesgo asociado y un plan de respuesta ordenado por prioridad, no por capítulos.

  • Búsqueda exhaustiva en red Tor
  • Informe de hallazgos priorizado
  • Plan de respuesta y remediación
  • Sesión ejecutiva de presentación
Ver servicio →
NG-004

Investigación OSINT

Expediente sobre un objetivo concreto: persona, empresa, dominio, infraestructura o grupo delictivo. Cruzamos fuentes abiertas de la red Tor, superficie pública, registros mercantiles, filtraciones y blockchain. Lo que recibes es un perfil de inteligencia con cronología y relaciones — no una carpeta de capturas de pantalla.

  • 11 tipos de IOC extraídos
  • Correlación entre fuentes
  • Línea de tiempo de exposición
  • Informe forense exportable
Ver servicio →
NG-005

Hardening y defensa

Después del informe, el trabajo real: cabeceras de seguridad, CSP, segmentación de red, bastionado de servidores, rotación de secretos, reducción de superficie de ataque. Verificación post-implantación con evidencia y documentación operativa para que el siguiente deploy no tire lo que acabamos de arreglar.

  • Análisis de superficie de ataque
  • Implementación de controles
  • Verificación y prueba
  • Documentación operativa
Ver servicio →
NG-006

Seguridad y gobierno de IA

Tu organización ya usa modelos de lenguaje en atención al cliente, en código, en contratos. Evaluamos y auditamos esos sistemas — inventario, prompt injection, fuga de información, agentes, conectores MCP — alineados con OWASP LLM Top 10, ISO/IEC 42001 y NIST AI RMF. Informe con evidencias y plan corrector a 90 días.

  • Inventario y gobierno de IA
  • AI red team (LLM, RAG, agentes)
  • Supervisión gestionada de IA
  • Informe y plan corrector 90 días
Descargar PDF →

¿Necesitas algo que no aparece arriba? Ofrecemos también advisory mensual y retainers a medida. Cuéntanos.

04
Formación

Nueve programas que no
se imparten desde un PowerPoint.

Formación corporativa en ciberseguridad e inteligencia impartida por el mismo equipo que trabaja los casos. Casos reales anonimizados, laboratorios con infraestructura real, evaluaciones con criterio. Presencial, online o a demanda — sin diapositivas recicladas del año pasado.

General4–8 h

Ciberseguridad para empleados

Phishing, smishing, vishing. Contraseñas, MFA, dispositivos corporativos y protocolo de incidentes.

Toda la organización
Técnico16–24 h

Hacking ético e introducción al pentesting

OWASP Top 10, reconocimiento, Metasploit, Burp Suite y laboratorios CTF.

Equipos IT
Inteligencia8–16 h

OSINT e inteligencia en dark web

OSINT Framework, Maltego, Ghostnet y metodología de investigación de actores de amenaza.

Analistas
Defensa8–16 h

Detección y respuesta a incidentes

Log analysis, forensia básica, SIEM y gestión de crisis. Casos reales: ransomware, APT, breach.

Equipos SOC
Simulacro1 día

Red team corporativo — tabletop

Ataque narrado en tiempo real. El equipo practica contención, comunicación y continuidad.

Dirección + IT
Directivo3–4 h

Ciberseguridad para dirección y C-suite

NIS2, RGPD, DORA en lenguaje de negocio. Riesgo, inversión y gestión de crisis.

C-suite
Campañas30 días

Phishing simulado + formación reactiva

Campañas de phishing controlado. Métricas por departamento, formación inmediata para quien cae.

Toda la organización
Desarrollo8–16 h

Seguridad en aplicaciones web para devs

OWASP aplicado al código: SQLi, XSS, CSRF, auth rota. Labs con vulnerabilidades reales.

Equipos dev
Avanzado16 h

Threat Intelligence operacional

MITRE ATT&CK, análisis de IOC, perfilado de APT y Diamond Model. Casos con datos de Ghostnet.

Analistas senior
Ver detalle completo de cada curso Solicitar presupuesto
05
Sectores

Trabajamos con quien no
puede permitirse una sorpresa.

Organizaciones que gestionan datos sensibles, infraestructura crítica o reputación pública. Si una mala mañana cuesta titulares, sanción regulatoria o vidas, este es tu sitio.

i.Landing dedicada →

Fuerzas de seguridad y sector público

Adecuación ENS y NIS2, formación CCN-STIC, monitorización dark web e investigación OSINT para CCAA, ayuntamientos, organismos autónomos y unidades policiales.

ENSNIS2CCN-STICCCN-CERT
ii.

Empresa y equipos SOC

Detecta cuándo tu marca, ejecutivos o infraestructura aparecen en la dark web. Respuesta activada antes del incidente, no después.

Protección de marcaVigilancia ejecutivaSIEM/SOAR
iii.Landing dedicada →

Banca y servicios financieros

Adecuación DORA + NIS2, vigilancia de fraude, AML intelligence y formación al órgano de gobierno. Para bancos, cooperativas, EDE/EP, gestoras y fintech.

DORANIS2BdE · CNMV · SEPBLACPCI-DSS 4.0
iv.Landing dedicada →

Sector sanitario

NIS2 entidad esencial, RGPD reforzado, prevención de ransomware sanitario y formación específica. Hospitales, clínicas, mutuas, laboratorios y servicios de salud.

NIS2 esencialRGPDENSISO 27799
v.Landing dedicada →

Retail y e-commerce

Prevención de fraude de pago, brand abuse, tarjetas en mercados darknet y plan de respuesta para temporadas críticas. Para marketplaces, retailers y D2C.

PCI-DSSRGPDBrand protection
vi.

MSSPs y consultoras

Añade inteligencia dark web a tu catálogo. API multi-tenant, aislamiento por cliente, informes en tu marca y programa de partners.

White-labelMulti-tenantPartners
06
Casos

Lo que encontramos
una mañana cualquiera.

Patrones recurrentes en los sectores donde operamos, anonimizados. Los testimonios con logo del cliente sólo se publican con autorización firmada — nunca por defecto.

Caso GN-2026-0214 Banca · DORA

Credenciales VPN en mercado de accesos iniciales

SituaciónEntidad financiera mediana española. Ghostnet detecta credenciales SSO en mercado IAB en red Tor.
AcciónAlerta al SOC en menos de cinco minutos con evidencia hash-verificada. Rotación de credenciales y MFA reforzado en 24 h.
ResultadoVentana cortada antes del intento de acceso. Notificación al supervisor en plazo DORA.
Caso GN-2026-0119 Sanidad · RGPD

Filtración de historiales médicos vía proveedor

SituaciónHospital privado. Un proveedor TIC sufre un incidente y datos de pacientes aparecen en un foro privado Tor antes de que la víctima lo detecte.
AcciónGhostnet correlaciona el dataset con el dominio del proveedor. Alerta inmediata, dossier forense y notificación a AEPD en plazo.
ResultadoTrazabilidad para reclamación contractual y respuesta coordinada con la autoridad de protección de datos.
Caso GN-2025-1102 Sector público · ENS

C2 identificado antes de campaña de ransomware

SituaciónAdministración autonómica mencionada en discusiones de un grupo RaaS en foro privado, con planificación de la campaña.
AcciónMapeo de infraestructura C2, IPs y TTPs con MITRE ATT&CK. Informe forense para la unidad de ciberseguridad y CCN-CERT.
ResultadoBloqueo preventivo de la infraestructura del atacante. IOCs ingeridos en SIEM antes del intento de cifrado.
Caso GN-2026-0307 Industria · NIS2 pilar 4

Vigilancia continua de cadena de proveedores

SituaciónFabricante obligado por NIS2. Necesita evidencia continua de vigilancia sobre 12 proveedores TIC críticos para el pilar 4 de cadena de suministro.
AcciónWatch simultáneo sobre activos del cliente y de sus proveedores. Informe mensual de exposición agregado.
ResultadoDocumentación viva de cumplimiento NIS2, sin reuniones trimestrales con cada proveedor.

Casos descritos como patrones representativos del sector. Cuando los clientes autorizan publicar testimonios y logos, los incluimos con consentimiento expreso.

08
Método

Del dato oscuro a la decisión segura.

Cuatro pasos. Trazables. Auditables. Sin magia.

PASO 01

Rastreo continuo

Ghostnet indexa la red Tor 24/7 a través de varios motores y rastreo recursivo, descubriendo contenido nuevo en tiempo real.

PASO 02

Análisis

Cada captura pasa por nuestro pipeline: extracción de indicadores de compromiso con modelos propios, categorización de amenaza y puntuación de riesgo correlacionada con MITRE ATT&CK.

PASO 03

Alerta inmediata

Si tus activos aparecen en Tor o el riesgo supera el umbral acordado, la alerta llega a tu equipo en minutos — por correo, webhook, SIEM o canal privado de Matrix, el que uses de verdad.

PASO 04

Informe accionable

Dossier forense con hallazgos, evidencias con hash, cadena de custodia RFC 3161 y pasos de respuesta ordenados. Listo para dirección, SOC o para instruir una denuncia ante Policía Judicial.

Tecnología y metodología alineadas con los marcos que aplican
NIS2DORAENSRGPD MITRE ATT&CKSTIX / TAXIISIEM · SOAR Cadena de custodiaINCIBE-CERT · CCN-CERT
09
Sobre nosotros

No somos una consultora.
Tampoco una academia.

Neural Ghost, S.L.U. es una firma española de inteligencia y defensa digital construida alrededor de un activo técnico real: Ghostnet, un motor de rastreo Tor con extracción de indicadores de compromiso que lleva meses operando en campo, no en PowerPoint. Sede en Castellón, infraestructura en España, datos en la Unión Europea.

Nuestros servicios no parten de marcos teóricos. Parten de lo que encontramos cuando conectamos Ghostnet a la red Tor y buscamos el nombre de tu organización. Esa diferencia —entre teoría y observación— es lo que separa un informe de relleno de un dossier que sirve para tomar decisiones incómodas: cortar un acceso, notificar a la Agencia, llamar a un cliente antes de que llame él.

Trabajamos sólo con uso defensivo legítimo: sector público, banca, sanidad, industria regulada y empresas con responsabilidad real sobre datos y reputación. Lo medimos por una vara muy concreta — si al terminar el proyecto el cliente puede entrar a la siguiente reunión con una decisión tomada, hemos hecho nuestro trabajo. Si no, no.

10
Preguntas

Lo que nos preguntan antes de contratar.

¿Qué es Ghostnet y qué lo diferencia de un feed más?

Ghostnet es nuestro motor propio de rastreo, descubrimiento y análisis de la red Tor. La diferencia con un feed comercial clásico: Ghostnet rastrea, no se limita a revender lo que ya tienen otros. Descubre nuevos sitios .onion con búsqueda semántica, extrae once tipos de indicadores con modelos propios y permite investigaciones OSINT cruzadas sobre un objetivo concreto. Código auditable, despliegue en nube propia o en la infraestructura del cliente.

¿Cómo sé si mi organización ya tiene exposición en la dark web?

Solicita el diagnóstico inicial gratuito o contrata una Auditoría de Exposición Digital. En 48–72 horas obtienes un informe con cualquier mención de tu organización, dominios, emails corporativos o infraestructura que haya aparecido en la red Tor en los últimos meses.

¿Vuestros servicios son legales?

Sí. Todo el trabajo se enmarca en uso defensivo legítimo: vigilancia de información ya publicada en fuentes abiertas de la red Tor, investigación OSINT bajo encargo del titular de los datos y formación corporativa. Antes de abrir caso pedimos acreditación del encargo — razón social, firmante autorizado y propósito. Si el encargo no encaja, se rechaza y queda registrado.

¿Cuánto tarda en estar operativa la monitorización?

Ghostnet Watch queda configurado y operativo en 24–48 h desde la contratación. Onboarding de una hora para definir los activos a vigilar (dominios, marcas, correos, infraestructura), configurar la watchlist y fijar canales de alerta.

¿Ofrecéis despliegue on-premise para entornos clasificados?

Sí. Para sector público, fuerzas de seguridad o entornos con restricciones de conectividad, desplegamos Ghostnet en tu infraestructura. Incluye instalación, configuración, formación técnica y soporte. Consulta condiciones en el plan Enterprise.

¿Los informes valen para procedimientos judiciales?

Los informes forenses incluyen cadena de custodia con sello de tiempo RFC 3161, capturas hash-verificadas (SHA-256), metadatos de descubrimiento, bundle STIX 2.1 y estructura de evidencias que un juzgado puede admitir. Para requisitos específicos de admisibilidad coordinamos el formato con el equipo legal del cliente y, si hace falta, con la unidad de Policía Judicial que instruya el procedimiento.

11
Contacto

Una carta. Una respuesta.

Cuéntanos qué proteges y qué te preocupa. Te respondemos en menos de 24 horas en horario laboral con un análisis inicial de tu exposición real. Sin coste y sin compromiso — lo útil de ese primer contacto ya lo verás en el informe, contrates o no.

Si lo que necesitas es ir directo al grano, reserva tú mismo media hora en mi agenda. Sin formulario.

Reservar 30 min con José

Otros canales

neural@neural-ghost.com

Lunes a viernes · 09:00–19:00 CET

Sin tracking RGPD TLS 1.3
FORMULARIO · NG-CONTACT/12
Cómo prefieres que respondamos

Respuesta en <24 h en horario laboral. Tus datos se tratarán exclusivamente para gestionar tu solicitud, conforme al RGPD. No los cedemos a terceros. Puedes ejercer tus derechos en neural@neural-ghost.com.

Hablar