流出したデータベースの販売が、調査対象となったダークウェブのマーケットプレイスやフォーラムで最大のカテゴリーとなった。RED Security SOCは、違法サービスやデジタル商品の広告約8万件を分析し、この結論に達した。
調査によると、確認された投稿の47％が盗まれた情報を含むデータベースに関するものだった。乗っ取られたアカウントが18％、マルウェアの配布が14％を占めた。約10件に1件は、cardingや銀行商品の取得に使う書類の販売など、金融詐欺に関連していた。
マルウェア分野では、58％がランサムウェア、情報窃取ツール、loader、リモートアクセス型トロイの木馬に関する出品だった。残る42％は暗号資産ウォレットのdrainerで、デジタル資産を盗むためのツールだ。RED Security SOCは、比較的安価で参入障壁が低いことが普及の背景にあるとみている。
企業インフラへのアクセス、zero-day exploit、依頼型のハッキングは大幅に少なく、それぞれ約1％だった。割合は小さいものの、年初からこれらの分野で1,000件を超える新規投稿が確認された。
出品者の活動は2026年第1四半期にピークを迎え、新規広告は4万2,000件を超えた。第2四半期には約23％減少し、3万2,000件をわずかに上回る水準となった。RED Security SOCは、違法サイトの閉鎖に加え、出品者がより閉鎖的なチャネルへ移った可能性を挙げている。