Cuando un ciberataque acapara titulares, suele ser por ransomware, una gran filtración de datos o una transferencia bancaria fraudulenta. Lo que rara vez se menciona es cómo el atacante logró entrar en primer lugar. Cada vez más, la respuesta es el malware infostealer: un software silencioso y poco glamoroso diseñado para hacer una cosa extremadamente bien: recolectar nombres de usuario, contraseñas, cookies del navegador y detalles financieros de un dispositivo infectado sin que la víctima lo note.
Comprender cómo funciona el malware infostealer y por qué se ha convertido en el punto de entrada preferido de los ciberdelincuentes es el primer paso para defenderse contra la ola de brechas impulsadas por credenciales que ahora dominan los informes de seguridad.
Cómo el malware infostealer realmente roba tus datos
Los infostealers no son llamativos. No bloquean tus archivos ni exigen un rescate de inmediato. En cambio, se cuelan en un dispositivo a través de una descarga de software crackeado, un archivo adjunto de correo malicioso, una actualización falsa del navegador o un anuncio comprometido, y luego se ponen a trabajar silenciosamente en segundo plano.
Una vez instalado, el malware escanea la bóveda de contraseñas guardadas del navegador, las cookies de inicio de sesión en caché, los datos de autocompletado e incluso los archivos de billeteras de criptomonedas. Empaqueta todo lo que encuentra en lo que los investigadores de seguridad llaman un "registro de stealer" y luego transmite ese registro al atacante, quien a menudo lo revende al por mayor en mercados criminales. Una sola máquina infectada puede entregar docenas de sesiones activas, desde correo electrónico y banca hasta VPN corporativa y paneles de administración en la nube, todo sin activar una sola alerta antivirus si el malware está bien diseñado.
Este es exactamente el patrón observado en la exposición de registros de stealer de SunCloudNew, donde casi 6,000 registros que contenían contraseñas en texto plano, direcciones de correo electrónico y URL de inicio de sesión surgieron de un solo conjunto de datos comprometido. Las víctimas en ese caso probablemente nunca hicieron clic en un enlace de phishing vinculado a una cuenta específica; el malware simplemente aspiró las credenciales que estaban en sus navegadores.
Por qué las credenciales robadas ahora impulsan la mayoría de las brechas y el ransomware
Durante años, los correos de phishing y las vulnerabilidades de software sin parches fueron los puntos de entrada preferidos para los atacantes que buscaban irrumpir en redes corporativas. Eso ha cambiado. Como se detalla en el informe sobre cómo los registros de infostealer han superado al phishing como principal causa de brechas, los investigadores de seguridad están viendo cómo se utilizan credenciales de inicio de sesión válidas y robadas para simplemente entrar por la puerta principal en lugar de forzar una entrada.
El cambio tiene sentido desde la perspectiva del atacante. El phishing requiere convencer a un objetivo para que actúe en tiempo real, y explotar una vulnerabilidad de software requiere encontrar una que aún no haya sido parcheada. Comprar un lote de credenciales ya recolectadas de un registro de stealer es más rápido, más barato y mucho menos probable que levante sospechas, especialmente cuando esas credenciales incluyen cookies de sesión activas que pueden eludir completamente las solicitudes de inicio de sesión.
Esta dinámica ahora también está integrada en las operaciones de ransomware. Según informes que encontraron que cuatro de cada cinco ataques de ransomware comienzan con identidades robadas en lugar de una explotación de red, los atacantes inician sesión cada vez más como un empleado en lugar de piratear como un intruso estereotipado con sudadera con capucha. La brecha en Stewart Home & School, que expuso 3,677 registros, siguió el mismo guion: un incidente de ransomware arraigado en el robo de credenciales en lugar de una explotación técnica sofisticada.
Señales de que tus credenciales ya pueden estar comprometidas
Debido a que el malware infostealer está diseñado para ser invisible, la mayoría de las personas nunca se dan cuenta de que están infectadas hasta que el daño ya está hecho. Vale la pena estar atento a algunas señales de advertencia: alertas de inicio de sesión desconocidas o correos de restablecimiento de contraseña que no solicitaste, nuevos dispositivos o sesiones de navegador que aparecen en el historial de inicio de sesión activo de tu cuenta, cambios inesperados en la información de recuperación de la cuenta, o ralentizaciones repentinas y procesos desconocidos ejecutándose en tu dispositivo.
Los servicios de monitoreo de credenciales y las herramientas de notificación de brechas también pueden alertar cuando tu dirección de correo electrónico o contraseñas aparecen en un registro de stealer filtrado, a menudo antes de que notes algo inusual por ti mismo. Dado lo rutinariamente que estos registros salen a la superficie, desde pequeñas brechas en distritos escolares hasta incidentes más grandes en portales de atención médica, verificar si tu información ha aparecido en uno es un hábito razonable en lugar de paranoia.
Defensas prácticas: gestores de contraseñas, 2FA y hábitos de navegación seguros
La buena noticia es que el malware infostealer, a pesar de todo su sigilo, es derrotado por una higiene bastante básica practicada de manera constante. Un gestor de contraseñas elimina las contraseñas guardadas en el navegador que los stealers están diseñados específicamente para raspar, y hace que usar una contraseña única para cada cuenta sea realista en lugar de agotador. Habilitar la autenticación de dos factores, idealmente a través de una aplicación de autenticación en lugar de SMS, significa que una contraseña robada por sí sola no es suficiente para otorgar acceso. Mantener el software y los navegadores actualizados cierra algunos de los canales de distribución en los que el malware confía, y evitar el software pirateado, las extensiones de navegador no oficiales y los archivos adjuntos no solicitados elimina por completo los vectores de infección más comunes.
Lo que esto significa para ti
El robo de credenciales por malware infostealer no requiere que seas un ejecutivo de una gran empresa o un objetivo de alto valor. Los registros de stealer a menudo son indiscriminados, recopilando cualquier credencial que se encuentre en una máquina infectada, ya sea de un administrador de hospital, un empleado escolar o un consumidor común. El incidente del portal Hartford HealthCare HUSKY Medicaid mostró cómo incluso los inicios de sesión rutinarios de atención médica tienen un valor real para los atacantes una vez que terminan en un conjunto de credenciales robadas. La lección no es que una persona en particular hizo algo mal, sino que las credenciales en sí mismas se han convertido en la moneda con la que comercian los criminales.
La respuesta más efectiva no es entrar en pánico cada vez que aparece un nuevo registro de stealer, sino hacer que tus propias cuentas sean menos útiles para quien pueda comprar uno. Usa un gestor de contraseñas, activa la autenticación de dos factores en todos los lugares donde se ofrezca y trata las alertas de inicio de sesión desconocidas como algo que vale la pena investigar en lugar de ignorar. El malware infostealer prospera en la invisibilidad y las contraseñas reutilizadas. Eliminar ambas es una de las decisiones de seguridad más simples y de mayor impacto disponibles para cualquier persona con una cuenta en línea.
