Measuring onion website discovery and Tor users' interests with honeypots

Este estudio utiliza honeypots en la red Tor para demostrar que la mayoría de los usuarios humanos descubren sitios a través de Ahmia.fi y que, entre las categorías de contenido ilegal monitoreadas, los sitios temáticos de abuso sexual infantil (CSAM) generan un nivel de interacción significativamente superior, especialmente en sus versiones en inglés.

Lo esencial

Imagina que el Tor es como una ciudad subterránea gigante y laberíntica donde la gente puede visitar tiendas y foros sin que nadie sepa quién es ni de dónde viene. A estos lugares se les llama "sitios de cebolla" (onion sites).

Los investigadores de esta universidad finlandesa querían responder a una pregunta sencilla: ¿Qué es lo que la gente realmente quiere ver en esa ciudad subterránea?

Antes, los expertos intentaban adivinar esto contando cuántas veces aparecían ciertos temas en los mapas de la ciudad (crawling). Pero eso es como contar cuántas tiendas de "armas" hay en un mapa, sin saber si la gente realmente entra a comprarlas o solo pasa caminando.

Para saber la verdad, estos investigadores decidieron construir trampas de miel (honeypots).

🍯 La Trampa de la Miel: ¿Cómo funcionó?

Imagina que construyes 32 tiendas falsas, pero muy realistas.

• El Gancho: Todas tienen una fachada neutra que dice "Página de inicio de sesión de cebolla".
• El Candado: Para entrar, tienes que resolver un rompecabezas (un CAPTCHA). Esto es crucial porque los robots no suelen poder resolverlos, pero los humanos sí. Así, los investigadores sabían que detrás de la pantalla había una persona real.
• El Contenido: Una vez que la persona resolvía el rompecabezas, veía una de las 8 categorías de "tiendas" falsas:
  1. Material de abuso sexual infantil (CSAM).
  2. Violencia.
  3. Malware (virus).
  4. Mercancía robada.
  5. Armas ilegales.
  6. Drogas ilegales.
  7. Falsificaciones.
  8. Una tienda "confusa" (para comparar).

📢 ¿Cómo encontraron la gente las tiendas?

Los investigadores pusieron los enlaces a estas tiendas en tres lugares diferentes, como si fueran carteles en diferentes partes de la ciudad:

1. Ahmia: El "Google" de la ciudad subterránea (un motor de búsqueda).
2. Pastebin: Un sitio donde la gente pega enlaces temporales.
3. Stronghold: Otro sitio similar de "pegar enlaces".

El resultado fue sorprendente:

• La gran mayoría de las visitas vinieron de Ahmia (el buscador).
• Los enlaces pegados en Pastebin y Stronghold fueron visitados por millones de "robots" y arañas de internet, pero casi ningún humano real entró por ahí.
• Conclusión: Si quieres encontrar gente real en el Tor, tienes que usar el buscador, no los enlaces pegados en foros públicos.

🏆 ¿Qué "tienda" era la más popular?

Aquí viene la parte más impactante. Los investigadores contaron cuántas personas intentaron registrarse o iniciar sesión en cada tienda falsa (después de resolver el rompecabezas).

1. 🥇 El ganador inesperado: La tienda de Material de Abuso Sexual Infantil (CSAM) fue, por mucho, la más visitada. Más del 37% de todas las interacciones reales fueron hacia este tema.
   • Analogía: Es como si, en una feria de negocios, la gente ignorara las tiendas de tecnología o ropa y se abalanzara masivamente hacia una tienda de "crímenes horribles".
2. 🥈 El segundo lugar: La tienda de Violencia.
3. 🥉 Los lugares medios: Malware, mercancía robada y armas.
4. 📉 Los últimos lugares: ¡Las drogas y la falsificación!
   • La sorpresa: Todo el mundo habla de los mercados de drogas en el Tor, pero en este estudio, la gente que llegaba por el buscador apenas mostraba interés en ellos. Los investigadores creen que los compradores de drogas ya saben exactamente dónde ir (tienen sus "callejones privados") y no necesitan buscar en el buscador público.

🌍 ¿Qué idioma prefieren?

Pusieron las mismas tiendas en inglés, alemán, finlandés y ruso.

• El inglés fue el idioma rey. La gente lo prefirió por mucho.
• El ruso, a pesar de ser muy común en el Tor, fue el menos popular en este estudio.
• El finlandés tuvo más visitas de lo esperado, probablemente porque el buscador (Ahmia) es de Finlandia y atrae a más gente local.

🛡️ ¿Es ético hacer esto?

Los investigadores fueron muy cuidadosos.

• No hubo contenido ilegal real: Sus tiendas falsas solo tenían texto y fotos legales. No mostraron nada dañino.
• Privacidad: No rastrearon a las personas, solo contaron los clics.
• El objetivo: Entender el comportamiento para proteger mejor a la sociedad, no para atrapar a los criminales en ese momento.

💡 En resumen

Esta investigación nos dice que, cuando la gente "navega" por el Tor usando un buscador público:

1. No son robots: Son personas reales que buscan cosas muy específicas.
2. Lo más buscado es lo más oscuro: Contrario a la creencia popular de que el Tor es solo para drogas, los usuarios que llegan por búsqueda están más interesados en el abuso y la violencia que en el mercado negro de estupefacientes.
3. El idioma importa: El inglés es el rey, pero el inglés es la lengua franca de internet, así que tiene sentido.

Es como si hubieran puesto un espejo en la ciudad subterránea y, por primera vez, han podido ver claramente qué es lo que la gente realmente quiere ver, en lugar de solo adivinarlo.

Resumen técnico

Aquí tienes un resumen técnico detallado del artículo en español, estructurado según los puntos solicitados:

Título: Medición del descubrimiento de sitios web Onion y los intereses de los usuarios de Tor mediante cebos (honeypots)

1. Problema de Investigación

La investigación actual sobre la "dark web" (específicamente la red Tor) se ha centrado predominantemente en el rastreo automatizado (crawling) y el análisis de contenido de los sitios .onion para inferir su popularidad. Sin embargo, existe una brecha significativa en la comprensión de qué intentan acceder realmente los usuarios humanos. Los métodos anteriores no distinguen eficazmente entre el tráfico de bots/crawlers automatizados y el comportamiento humano genuino, ni miden la intención real de interacción (como el intento de registro o inicio de sesión) más allá de un simple clic. Además, se desconoce qué canales de descubrimiento (motores de búsqueda vs. servicios de paste) son más efectivos para atraer a usuarios reales hacia diferentes categorías de contenido ilícito.

2. Metodología

Los autores diseñaron un estudio basado en cebos (honeypots) desplegados entre marzo y abril de 2025 para medir el compromiso humano real.

• Diseño de los Cebos: Se crearon 32 sitios web únicos (8 categorías temáticas × 4 idiomas). Cada sitio constaba de:
  1. Una página de aterrizaje neutral con un CAPTCHA para filtrar bots.
  2. Una segunda página accesible tras resolver el CAPTCHA, que simulaba foros de actividades delictivas específicas con campos de registro/inicio de sesión (sin funcionalidad real, pero con registro de intentos).
• Categorías Temáticas: CSAM (Material de Abuso Sexual Infantil), violencia, malware, bienes robados, armas ilegales, drogas ilegales, falsificación y un foro "incierto" (línea base).
• Idiomas: Inglés, alemán, finlandés y ruso.
• Canales de Distribución: Los enlaces a los cebos se publicaron en tres fuentes distintas para rastrear el origen del descubrimiento:
  1. Ahmia.fi: El motor de búsqueda de Tor más popular (los enlaces aparecían aleatoriamente en resultados de búsqueda).
  2. Stronghold paste: Un servicio de "paste" en Onion.
  3. Pastebin.com: Un servicio de paste convencional.
• Métricas: Se midieron visitas, resoluciones de CAPTCHA (indicador de humanos) y tentativas de registro/inicio de sesión (indicador de interés genuino).
• Ética: El estudio se realizó cumpliendo las normativas de Ahmia, sin recopilar direcciones IP ni cookies, y asegurando que los cebos no contenían contenido ilegal real, solo descripciones textuales e imágenes legales.

3. Contribuciones Clave

• Medición Cuantitativa del Comportamiento Humano: Primera medición directa de qué tipos de sitios Onion intentan iniciar sesión los usuarios, diferenciando claramente entre tráfico humano y automatizado mediante CAPTCHAs.
• Análisis de Canales de Descubrimiento: Comparación empírica entre motores de búsqueda y servicios de paste para determinar cuál genera tráfico humano real.
• Mapa de Intereses Temáticos y Lingüísticos: Identificación de las categorías de contenido y los idiomas que generan mayor compromiso en un entorno de búsqueda filtrado y público.

4. Resultados Principales

• Descubrimiento y Fuentes (RQ1):

  • Aunque los tres canales generaron visitas, Ahmia.fi fue la fuente abrumadora de usuarios humanos.
  • El 87.65% de las visitas provino de Ahmia.
  • Diferencia crítica: Casi el 100% de las resoluciones de CAPTCHA y los intentos de registro ocurrieron exclusivamente a través de Ahmia. Los enlaces en Pastebin y Stronghold generaron tráfico, pero casi todo fue de bots/crawlers (solo 2 CAPTCHas resueltos en total fuera de Ahmia, sin intentos de registro).
  • Al eliminar los enlaces de Ahmia, las visitas humanas cayeron casi a cero.

• Intereses Temáticos (RQ2):

  • Contrario a la percepción común de que el mercado de drogas es el dominante en Tor, los resultados mostraron un interés desproporcionado en CSAM.
  • CSAM: Fue la categoría más popular, representando el 37.67% de todos los intentos de registro/inicio de sesión. La tasa de conversión (intentos por CAPTCHA resuelto) fue del 115.55%, indicando múltiples intentos por usuario.
  • Violencia: Segunda categoría más popular (20.47%).
  • Drogas ilegales: Sorprendentemente, fue la segunda categoría menos popular (3.43%), lo que sugiere que los compradores habituales ya conocen los mercados específicos y no buscan en motores de búsqueda generales.
  • Otras categorías (malware, bienes robados, armas) tuvieron un interés moderado.

• Preferencias Lingüísticas (RQ3):

  • Inglés: Fue el idioma con mayor interacción (43.49% de los intentos) y la tasa de conversión más alta (67.40%).
  • Alemán y Finlandés: Ocuparon el segundo y tercer lugar. El alto rendimiento del finlandés se atribuye a que Ahmia es un motor de búsqueda finlandés, lo que introduce un sesgo de muestra hacia usuarios locales.
  • Ruso: Fue el menos popular (15.97%), a pesar de ser un idioma común en la red Onion, lo que sugiere que los usuarios rusos podrían utilizar otros canales de descubrimiento distintos a Ahmia.

5. Significado e Implicaciones

• Validación de Canales: El estudio demuestra que, para usuarios novatos o generales, los motores de búsqueda públicos (como Ahmia) son el principal punto de entrada para el contenido ilícito, mientras que los servicios de paste son ineficaces para atraer tráfico humano real y están saturados de bots.
• Naturaleza del Contenido Ilícito: Los hallazgos desafían la narrativa predominante de que el tráfico de Tor se centra principalmente en el comercio de drogas. En el contexto de la búsqueda pública, el contenido de abuso sexual infantil genera un compromiso humano significativamente mayor que cualquier otra categoría.
• Sesgo de Descubrimiento: Los resultados reflejan el comportamiento de usuarios que acceden a través de un motor de búsqueda filtrado (Ahmia bloquea consultas explícitas de CSAM). Esto podría indicar que los usuarios que llegan por búsqueda son menos experimentados y más propensos a interactuar con el primer contenido accesible, a diferencia de los actores criminales sofisticados que utilizan canales privados.
• Limitaciones: El estudio no captura el tráfico de usuarios que utilizan canales privados o foros especializados, y la muestra está sesgada hacia los usuarios de Ahmia.

En conclusión, este trabajo proporciona la primera medición cuantitativa basada en comportamiento humano (no solo en contenido) sobre cómo se descubren y consumen los sitios Onion, revelando que el interés por el material de abuso sexual infantil es desproporcionadamente alto en los canales de búsqueda pública.