Durante años, la Dark Web ha sido descrita como un territorio casi mitológico: un océano infinito de mercados ilegales, foros clandestinos, anonimato absoluto y amenazas invisibles. Una especie de subsuelo digital donde todo parece posible y donde la ley, supuestamente, apenas alcanza. Pero la realidad que empieza a dibujar la investigación científica es más incómoda y, al mismo tiempo, más útil: la Dark Web no es necesariamente tan grande como se ha contado, ni tan sólida como imaginan sus usuarios, ni tan opaca como creen muchos delincuentes.
Un equipo de investigadores españoles de IMDEA Networks y la Universidad Carlos III de Madrid ha realizado una de las radiografías más amplias hasta la fecha sobre la red Tor y sus servicios ocultos, los conocidos dominios .onion. El trabajo, publicado en IEEE Transactions on Information Forensics and Security, no se limita a repetir los lugares comunes sobre la internet oscura. Su principal valor está precisamente en desmontarlos.
La investigación muestra una Dark Web mucho más volátil, fragmentada y duplicada de lo que suele asumirse. Muchos sitios aparecen y desaparecen rápidamente. Otros existen bajo decenas, cientos o incluso miles de direcciones distintas, pero en realidad son copias o variaciones mínimas de una misma página. Y esa diferencia importa: si no se separa lo original de lo replicado, cualquier medición sobre el tamaño, el contenido o la peligrosidad de la Dark Web puede estar profundamente distorsionada.
El problema de medir lo que se oculta
La dificultad de estudiar Tor no está solo en acceder a sus páginas. También está en entender qué se está midiendo realmente. A diferencia de la web convencional, los servicios ocultos no se indexan de forma normal, no se resuelven mediante los sistemas tradicionales de nombres de dominio y cambian con frecuencia. Un sitio puede estar disponible durante unas horas, desaparecer, reaparecer bajo otra dirección o replicarse en múltiples dominios .onion.
Por eso, medir la Dark Web como si fuera un catálogo estable de páginas equivaldría a contar sombras como si fueran edificios. Puede parecer que hay miles de mercados, foros o servicios distintos cuando, en realidad, una parte importante del ecosistema está formada por réplicas. Esta es una de las aportaciones centrales del estudio: no basta con rastrear dominios; hay que identificar qué contenido es verdaderamente único y qué contenido es un espejo.
Para lograrlo, los investigadores desarrollaron una infraestructura de monitorización llamada Mimir, en referencia al guardián del pozo de la sabiduría de la mitología nórdica. La herramienta fue diseñada para rastrear servicios ocultos de forma sistemática, recoger información textual, analizar enlaces, estudiar la estructura de las páginas y clasificar contenidos mediante técnicas de aprendizaje automático.
El enfoque no fue explorar cada sitio hasta el fondo, sino ampliar el mapa. Es decir, priorizar la cobertura horizontal frente a la navegación profunda. Esta decisión tiene una razón técnica, pero también ética: cuanto más se profundiza en determinados espacios de Tor, mayor es el riesgo de topar con contenidos ilegales especialmente sensibles. El rastreo se centró en texto y estructuras, evitando la descarga de material multimedia.
Mimir: una herramienta para separar señales de ruido
La investigación parte de una intuición muy relevante para la ciberseguridad: la Dark Web no puede entenderse solo por lo que muestra, sino también por cómo se replica, cómo enlaza y cómo se oculta.
Mimir no se limita a visitar páginas. Construye una especie de mapa de relaciones entre servicios .onion, identifica conexiones, analiza idiomas, extrae metadatos y observa si un sitio está conectado de algún modo con la web convencional. También incorpora un mecanismo de detección de réplicas, una pieza clave para evitar conclusiones engañosas.
El problema de los “mirrors” o
