La evolución del panorama CSAM: Los vendedores aprovechan cada vez más la IA para volver a la Dark Web

Criptomoneda aprovechada por los actores del CSAM

A principios de este mes, las autoridades tailandesas detuvieron a un ciudadano alemán por gestionar una plataforma web oscura que facilitaba la venta de material de abuso sexual infantil (CSAM). El incidente puso de relieve el papel de las fuerzas de seguridad y del rastreo de criptomonedas en el descubrimiento de redes mundiales de abusos. 

Durante años, los actores del CSAM han aprovechado las criptomonedas bajo la idea errónea de que los activos digitales proporcionan anonimato y protección frente a la detección. Los autores de las amenazas han utilizado criptomonedas como pago por contenidos, para hacer donaciones a plataformas y como incentivos financieros para quienes suben contenidos, recompensando a las personas con criptomonedas por compartir material. 

En los últimos dos años, se ha producido al menos una criptotransacción a una dirección CSAM cada dos minutos. TRM identificó que entre 2022 y 2024, el volumen de criptotransacciones vinculadas a direcciones relacionadas con CSAM aumentó un 130 %, lo que indica una trayectoria ascendente preocupante. 

En el último año, TRM ha observado un cambio significativo en el panorama de las amenazas CSAM, con vendedores que han pasado de alojar contenidos en la web de superficie a mercados más sofisticados en la web oscura. Es probable que esta migración responda a la intensificación de las medidas coercitivas y a los cambios en la dinámica de los mercados ilícitos. Este aumento de los mercados se ha producido paralelamente a un incremento del uso de criptomonedas en el ecosistema CSAM. Los actores del CSAM también aprovechan cada vez más la inteligencia artificial (IA) en sus operaciones.

Este panorama en evolución plantea un entorno desafiante para las fuerzas de seguridad, pero también presenta oportunidades para rastrear las transacciones e identificar a los operadores de CSAM a través de Inteligencia en Blockchain.

Principales tendencias del ecosistema CSAM

TRM Labs ha observado las siguientes tendencias desde 2023 en el ecosistema CSAM:

• Los proveedores de CSAM migran a la web oscura
• La IA desempeña un papel cada vez más importante en las operaciones de CSAM
• Disminuyen las estafas CSAM en la web oscura y aumentan en las redes sociales
• Los consumidores de CSAM utilizan cada vez más direcciones de intermediarios

Los proveedores de CSAM migran a la web oscura

Los desmantelamientos por parte de las fuerzas de seguridad de dos redes de CSAM en la web oscura, Welcome to Video en 2019 y Dark Scandals en 2020, demostraron cómo Inteligencia en Blockchain podría ayudar a desmantelar dichas redes. Tras estos desmantelamientos, se produjo un aumento del alojamiento relacionado con CSAM en la web de superficie.

En respuesta a esta migración, las líneas directas de CSAM y los grupos de activistas intensificaron sus esfuerzos para eliminar los contenidos ilegales de los servicios gratuitos de alojamiento de archivos en la web de superficie. Así, muchas plataformas empezaron a aplicar medidas de cumplimiento más estrictas. Esto provocó frecuentes retiradas y la interrupción del acceso de los delincuentes que utilizaban habitualmente estos servicios.

Ante los crecientes desafíos en la web de superficie, desde 2023 los actores del CSAM han trasladado cada vez más operaciones a la web oscura, impulsados por el deseo de establecer una infraestructura más estable, independiente de las plataformas principales y menos susceptible a los esfuerzos de desmantelamiento. Debido a los costes de mantenimiento y funcionamiento de los servidores en la red oscura, los operadores de CSAM han optado en general por un modelo de mercado.

Estos mercados de CSAM en la web oscura utilizan principalmente dos estructuras operativas:

• Admin-owned: los administradores mantienen el control exclusivo sobre los contenidos, cargan los archivos y retienen todos los beneficios.
• Contributiva: los administradores proporcionan la infraestructura de la plataforma y comparten los beneficios con los uploaders en función de los ingresos que generan.

La IA desempeña un papel cada vez más importante en la CSAM

Como se destaca en el informe de TRM The Rise of AI-Enabled Crime, los actores del CSAM están aprovechando cada vez más la IA para producir y distribuir CSAM, lo que complica los esfuerzos de detección y plantea nuevos desafíos éticos y legales. 

La Internet Watch Foundation (IWF) publicó un informe en julio de 2024 en el que revelaba que se habían subido más de 3.500 imágenes de abusos sexuales a menores generadas por IA a un foro de la web oscura analizado por última vez en octubre de 2023. La IWF también informó de que los autores de las amenazas utilizaban imágenes reales de víctimas para entrenar a modelos de IA en la producción de contenidos. 

Además, en febrero de 2025, una operación de Europol en apoyo de las autoridades de 19 países se saldó con la detención de 25 individuos que formaban parte de un grupo delictivo responsable de distribuir imágenes de menores generadas por IA. Estos ejemplos ponen de manifiesto la creciente amenaza de los actores de la delincuencia organizada que abusan de la IA. 

Dado que los modelos de IA de código cerrado aplican estrictas salvaguardas contra el uso indebido, los autores de amenazas están recurriendo a alternativas de código abierto que pueden personalizar para fines ilícitos. Aunque estos modelos requieren una mayor competencia técnica, permiten a los ciberdelincuentes crear CSAM muy realistas que pueden monetizarse. Además de utilizar la IA generativa para crear vídeos, las amenazas también aprovechan la tecnología deepfake para añadir rostros de menores a la pornografía para adultos.

Aunque los delincuentes del CSAM abusan cada vez más de la IA, la tecnología también puede utilizarse como escudo contra esta actividad. Las investigaciones de Inteligencia en Blockchain están incorporando la IA a las herramientas existentes, como las que ofrece TRM, para ayudar a identificar transacciones en la cadena vinculadas a sitios web, foros y vendedores de CSAM, así como para interrumpir las redes financieras que apoyan este comercio atroz. 

Disminuyen las estafas CSAM en la web oscura y aumentan en las redes sociales

Además de los vendedores de CSAM, los delincuentes también se aprovechan de la demanda de CSAM afirmando fraudulentamente que venden esos contenidos para obtener beneficios económicos. Estos malhechores suelen distribuir CSAM para atraer a particulares antes de solicitarles el pago de un acceso ampliado a "colecciones ocultas" que no existen. Una vez revelada su naturaleza fraudulenta, los operadores de estas estafas suelen cambiar las URL y los nombres de las entidades.

Los datos de inteligencia de TRM han ayudado a las fuerzas de seguridad a identificar y desmantelar varios sitios web fraudulentos. Nuestra Inteligencia en Blockchain también ha vinculado muchas de estas operaciones a un único grupo de actores de amenazas, revelando patrones de actividad coordinada.

Sin embargo, TRM ha observado un descenso de los sitios web fraudulentos de CSAM que operan en la dark web en el último año. En cambio, se ha producido un aumento de este tipo de estafas en las redes sociales y plataformas de mensajería. Han proliferado las redes que afirman fraudulentamente vender CSAM, a menudo expuestas por otros actores de amenazas CSAM como estafas. Este cambio pone de manifiesto la capacidad de adaptación de los actores ilícitos, que evolucionan continuamente sus tácticas para explotar la demanda.

Los consumidores de CSAM utilizan cada vez más direcciones de intermediarios

Debido a la vigilancia continua de los pagos en criptomoneda dirigidos a entidades conocidas de CSAM, los consumidores emplean cada vez más técnicas de ofuscación para enmascarar sus transacciones ilícitas. En particular, los individuos están utilizando estratégicamente direcciones intermediarias para crear una capa de separación, dificultando así la atribución directa de los fondos a actividades relacionadas con el CSAM. 

Estudios de casos: La disrupción de los operadores de CSAM en todo el mundo

Como ya se ha mencionado, en marzo de 2025 las autoridades tailandesas detuvieron a un internacional alemán que operaba una plataforma en la web oscura que facilitaba la venta de CSAM a cambio de criptomoneda. La detención se produjo a raíz de una remisión de las Investigaciones de Seguridad Nacional (HSI) de Estados Unidos a la Real Policía Tailandesa.

Este es solo un ejemplo de las organizaciones policiales que utilizan Inteligencia en Blockchain chain para identificar y detener a personas implicadas en redes de CSAM, así como para desmantelar sitios web de CSAM. En el último año, las fuerzas de seguridad de Brasil, Estados Unidos, España, Australia, Chequia, Reino Unido, Reunión y Canadá han logrado desarticular este tipo de operaciones con la ayuda de Inteligencia en Blockchainchain.

En un caso, la Policía Federal Brasileña (BFP) identificó y detuvo a un hombre de 20 años por producir y distribuir material de abusos sexuales a menores. Según la BFP, el hombre anunciaba el acceso a fotografías y vídeos en una aplicación de mensajería. El hombre también producía nuevos vídeos de abusos sexuales a menores a la carta con un familiar menor de edad.

Creyendo erróneamente que los activos digitales le proporcionarían anonimato, el sospechoso dejó en cambio un rastro que los investigadores utilizaron para rastrear las transacciones hasta una red más amplia de actividades ilícitas. Otro caso en Brasil condujo a la detención de un productor de CSAM vinculado a una red comercial. La detención evitó que una víctima de dos años sufriera más daños.

Por último, en Chequia, las autoridades rastrearon flujos financieros para desarticular una red de múltiples sitios web de CSAM en la dark web. Estos casos ponen de relieve el creciente papel de Inteligencia en Blockchain para descubrir redes delictivas ocultas y apoyar a las fuerzas de seguridad en su misión de llevar a los delincuentes ante la justicia.

Inteligencia en BlockchainEl papel de Inteligencia en Blockchainen el desmantelamiento de las redes CSAM

A medida que los actores de las amenazas perfeccionan continuamente sus métodos para ofuscar sus actividades ilícitas y eludir la detección, el análisis de blockchain en tiempo real se ha convertido en una herramienta fundamental para desbaratar sus operaciones. La capacidad de organizaciones como TRM Labs para rastrear las transacciones de criptomoneda envía un mensaje claro a estos actores de amenazas: su actividad no es invisible, y serán encontrados. 

Inteligencia en Blockchain chain y las investigaciones basadas en IA están sacando a la luz la percepción errónea de los actores malignos de que las criptomonedas ofrecen anonimato. Las fuerzas de seguridad, en colaboración con las empresas de Inteligencia en Blockchain chain, ahora pueden rastrear pagos ilícitos, exponer redes y desmantelar mercados CSAM con precisión.

El panorama normativo de las criptomonedas también está cambiando, y los legisladores se centran cada vez más en reforzar las normas de cumplimiento para los intercambios e introducir medidas para evitar que los activos digitales faciliten actividades ilícitas, incluidos los pagos relacionados con el CSAM. Mediante la integración de Inteligencia en Blockchain, la supervisión impulsada por IA y el cumplimiento normativo, los investigadores pueden interrumpir permanentemente las redes de CSAM y llevar a los autores ante la justicia. TRM Labs se mantiene a la vanguardia de este esfuerzo, proporcionando inteligencia crítica a las fuerzas de seguridad y reforzando el poder de Inteligencia en Blockchain chain para el bien social.