Credenciales filtradas e infostealers: el acceso inicial silencioso

Los atacantes no siempre necesitan un exploit para entrar. Muchas veces simplemente inician sesión. Un usuario y una contraseña válidos, o mejor aún una cookie de sesión activa, abren la puerta al correo, la VPN, las consolas SaaS y las cuentas cloud sin que salte ningún escáner de vulnerabilidades. Buena parte de ese acceso procede del malware infostealer, que recolecta credenciales de equipos infectados y las envía a mercados criminales sin hacer ruido.

Lo incómodo es que el equipo infectado con frecuencia no es tuyo: el portátil de un proveedor, el ordenador de casa que un empleado usa para mirar el correo o un móvil personal. Tu parcheo puede ser impecable y aun así tus identidades pueden estar a la venta. En este artículo vemos cómo se generan los logs de stealers, dónde acaban, por qué pueden esquivar el MFA y qué hacer en cuanto aparece tu dominio en uno.

Qué es un infostealer

Un infostealer es malware diseñado para una sola tarea: recopilar todo lo que tenga valor en un equipo y enviarlo al operador lo antes posible. Suele llegar mediante software pirateado, instaladores falsos, anuncios maliciosos, resultados de búsqueda manipulados o adjuntos de phishing. Una vez ejecutado, normalmente no busca quedarse ni propagarse: se lleva lo que encuentra y lo exfiltra, a menudo en cuestión de minutos.

Lo que recoge depende de la familia, pero un botín típico incluye:

• Contraseñas guardadas en el navegador y datos de autocompletado de todos los sitios.
• Cookies y tokens de sesión de aplicaciones web con la sesión iniciada.
• Monederos de criptomonedas, ficheros de gestores de contraseñas y datos de apps de mensajería.
• Datos del sistema: nombre del equipo, IP, software instalado, capturas de pantalla.

El paquete de un equipo infectado se llama log. Un solo log puede contener credenciales de decenas de servicios personales y corporativos a la vez.

Dónde acaban los logs

Los logs son una mercancía. Los operadores ofrecen el malware como servicio y venden o comparten el resultado por varios canales:

• Mercados clandestinos que indexan los logs y permiten buscar por dominio, de modo que un delincuente puede filtrar por el nombre de tu empresa o por tu portal SSO.
• Canales de Telegram que publican archivos de logs, a veces gratis como reclamo y a veces con suscripción de pago.
• Foros de hacking y sitios de paste, donde circulan listas combinadas de credenciales que se siguen compartiendo mucho después de la infección original.

Entre los compradores están los brokers de acceso inicial, que validan las credenciales, comprueban qué desbloquean y revenden el "acceso a la empresa X" a afiliados de ransomware. Así es como un PC doméstico infectado acaba convirtiéndose en una intrusión en tu red. Para una visión más amplia de estas fuentes, consulta nuestra guía de monitorización de la dark web.

Por qué las cookies de sesión esquivan el MFA

La autenticación multifactor protege el inicio de sesión. No protege la sesión que existe después de que el inicio de sesión tiene éxito. Cuando un usuario se autentica y completa el MFA, la aplicación emite una cookie o token de sesión que viene a decir "este navegador ya está verificado". El infostealer copia esa cookie.

Un atacante que la importa en su propio navegador a menudo puede retomar la sesión directamente, sin contraseña ni segundo factor, hasta que la sesión caduque o se revoque. Por eso "tenemos MFA en todo" no es una respuesta completa frente a los logs de stealers. El MFA sigue siendo imprescindible, porque neutraliza la mayoría de filtraciones de contraseñas, pero debe combinarse con sesiones de corta duración, revocación de sesiones y, si tu proveedor de identidad lo permite, controles que vinculen la sesión al dispositivo o detecten contextos de acceso inusuales.

Qué hacer cuando aparece tu dominio

Trata un log reciente con tu dominio como un posible incidente activo, no como una tarea de higiene. Una secuencia práctica:

1. Evalúa la exposición. Qué cuentas aparecen, qué servicios (SSO, VPN, correo, consolas cloud, paneles de administración) y qué antigüedad tiene el log. Los logs recientes con cookies de sesión son los más urgentes.
2. Restablece las credenciales de todas las cuentas corporativas afectadas y de cualquier cuenta compartida o de servicio cuya contraseña estuviera guardada en el navegador.
3. Revoca las sesiones y tokens activos en el proveedor de identidad y en las aplicaciones SaaS críticas. Cambiar la contraseña no siempre invalida las sesiones existentes.
4. Revisa el endpoint. Si el equipo es corporativo, aíslalo, investígalo y reinstálalo. Si es personal o de un proveedor, el usuario necesita indicaciones claras, y conviene plantearse restringir el acceso desde dispositivos no gestionados.
5. Busca indicios de abuso. Revisa los registros de inicio de sesión de esas cuentas en torno a la fecha de infección y después: dispositivos nuevos, ubicaciones extrañas, reglas de buzón, nuevos métodos MFA registrados, concesiones de tokens.
6. Ataca la causa raíz. Desaconseja guardar contraseñas corporativas en el navegador, impón un gestor de contraseñas gestionado y endurece las políticas de instalación de software.

La rapidez importa. El margen entre que se publica un log y que un broker lo prueba puede ser corto.

Errores habituales

• Vigilar solo las grandes filtraciones. Los logs de stealers son continuos y pequeños; rara vez salen en las noticias.
• Cambiar la contraseña sin revocar las sesiones. La cookie sigue funcionando.
• Olvidar a terceros. Las cuentas de proveedores y contratistas con acceso a tus sistemas también son tu riesgo.
• Verlo solo como un problema del equipo de identidades. Una credencial de administrador filtrada de un sistema expuesto a Internet también es un problema de exposición y debería subir la prioridad de bastionar ese sistema. Mira cómo enfocamos la exposición a Internet en la priorización.

Preguntas frecuentes

¿Un log de stealer es lo mismo que una brecha de datos? No. Una brecha suele significar que un servicio que usas fue comprometido. Un log de stealer significa que el equipo de un usuario fue comprometido, exponiendo credenciales de muchos servicios a la vez.

Si tenemos MFA obligatorio, ¿estamos a salvo? Más protegidos, no a salvo. Las cookies de sesión robadas pueden saltarse el MFA hasta que caducan o se revocan.

¿A partir de qué antigüedad deja de importar? Las credenciales antiguas siguen importando si se reutilizaron o nunca se rotaron, pero los logs recientes, sobre todo con datos de sesión, requieren acción inmediata.

Cómo ayuda priorIQ.ai

OnGuardIQ, el módulo de inteligencia de amenazas de priorIQ.ai, realiza búsquedas inteligentes en la deep y dark web, foros de hacking, mercados clandestinos, canales de Telegram y sitios de paste para localizar credenciales filtradas de tus dominios, así como accesos iniciales o datos de tu empresa puestos a la venta. Cada hallazgo incluye un resumen generado con IA y se prioriza por relevancia, para que tu equipo vea primero lo que importa en lugar de un feed en bruto. Los hallazgos llegan a PriorIQ Core, donde conviven con el resto de tus datos de exposición y se siguen hasta su resolución, dentro de un programa de gestión continua de la exposición.

Solicita una demo.