Los ladrones de información en línea están robando cookies de navegador a gran escala, exponiendo a los usuarios a riesgos que van desde el robo de identidad hasta el secuestro de cuentas, según un informe publicado el lunes por un proveedor de servicios VPN.
Desde junio de 2025 hasta junio de 2026, los investigadores de NordVPN analizaron más de 52,4 mil millones de cookies de navegador encontradas en registros de ladrones de información puestos a la venta en foros de la web oscura y mercados de Telegram.
Aunque un pequeño porcentaje de las cookies robadas permanecieron activas, las cookies de autenticación activa pueden brindar a los atacantes acceso inmediato a las cuentas en línea.
«Esta escala muestra por qué las cookies de los navegadores se han convertido en un objetivo tan valioso», escribió Domantas Lapinskas en un blog de NordVPN.
Señaló que las cookies de publicidad y seguimiento representaron la mayor proporción de las cookies robadas en el estudio, aunque los expertos dicen que las cookies de autenticación, aunque mucho menos comunes, representan el mayor riesgo de seguridad.
«Todos sabemos que las cookies son valiosas porque algunas de ellas te mantienen conectado», dijo Rich Pleeth, cofundador de Finmile, una empresa SaaS de logística de IA en Londres.
«Pero si un delincuente roba la cookie correcta, es posible que pueda acceder a su correo electrónico, cuenta bancaria o cuenta de empresa sin necesidad de su contraseña y, a veces, sin activar la autenticación de dos factores», dijo.
Una cookie de sesión sirve como prueba para el servidor de que un usuario ya se ha autenticado, explicó Sila Özeren Hacioglu, ingeniera asociada de investigación de seguridad en Picus Security, una empresa global de simulación de ciberataques.
«Cuando inicias sesión con una contraseña y borras MFA [autenticación multifactor], el sitio emite una cookie de sesión para que deje de preguntar quién eres», dijo. «Si un atacante roba esa cookie y la reproduce desde su propio navegador, el servidor ve una sesión válida y ya autenticada: sin contraseña, sin solicitud de MFA, sin desafío de clave de acceso».
«Por eso ahora decimos ‘la cookie es la nueva contraseña'», añadió.
Los datos de la sesión se valoran más que las credenciales.
Hacioglu sostuvo que los ladrones de información apuntan a las cookies precisamente porque provocan un cortocircuito en todos los controles de tiempo de inicio de sesión. «El conjunto de datos más reciente de NordVPN encontró que los registros de cookies aparecían 4,6 veces más frecuentemente que las contraseñas, los detalles de las tarjetas de pago y los archivos combinados», dijo. «Esto podría ser evidencia de que los operadores ahora están valorando los datos de la sesión por encima de las credenciales».
«Las cookies de las cuentas de Google y Microsoft son doblemente valiosas», continuó, «porque esas mismas identidades son el inicio de sesión único y la puerta de entrada MFA a docenas de servicios posteriores».
«La mayoría de las cookies no tienen valor comercial para los ladrones de información», explicó. «Una cookie de seguimiento te describe, una cookie de autenticación te avala. Sólo la segunda categoría importa, y es una pequeña fracción de cualquier botín enorme».
«Por eso el titular ‘miles de millones robados’ es engañoso», argumentó. «El volumen no es la historia. Un puñado de tokens de sesión en vivo sí lo es».
El robo de una cookie de sesión equivale digitalmente a robar una tarjeta de acceso ya validada en lugar de forzar una cerradura; así lo afirmó Francis West, director ejecutivo de Security Everywhere, una empresa de ciberseguridad con sede en Hemel Hempstead (Inglaterra).
«Precisamente por eso vemos que el malware de tipo *infostealer* (diseñado para robar información) se centra cada vez más en los navegadores», declaró. «Un solo dispositivo infectado puede proporcionar docenas de sesiones activas —correo electrónico, banca, almacenamiento en la nube, herramientas SaaS corporativas— simultáneamente, y los lotes de cookies robadas se comercializan activamente en mercados delictivos».
En los últimos dos años, el robo de cookies de sesión ha pasado de ser un beneficio secundario del robo de credenciales a convertirse en el objetivo principal del malware de este tipo, añadió Adrian Cheek, investigador sénior de ciberdelincuencia en Flare, una empresa de inteligencia de amenazas con sede en Montreal.
«Además, altera la secuencia estándar de respuesta ante incidentes», comentó. «Cambiar la contraseña no afecta a una cookie robada. La sesión permanece activa hasta que se revoca explícitamente o caduca por sí sola».
Malware rápido y sigiloso.
Cheek explicó que, en la gran mayoría de los casos, las cookies son sustraídas por malware de tipo *infostealer* que se ejecuta en el dispositivo de la víctima. «Es un malware rápido y sigiloso», señaló. «No requiere privilegios de administrador ni necesita persistir en el sistema».
«Una sola ejecución basta para leer todos los perfiles de navegador del equipo y finalizar el proceso», continuó. «El registro resultante es un archivo ZIP que contiene cookies, credenciales guardadas, datos de autorrelleno, historial de navegación, software instalado, contenido del portapapeles y una captura de pantalla del escritorio tomada en el momento de la intrusión».
«Los procesos de contratación falsos y los proyectos de software infectados con troyanos son otros ganchos cada vez más frecuentes, especialmente dirigidos a desarrolladores y otros usuarios con perfil técnico», añadió Bogdan Botezatu, director sénior de investigación y análisis de amenazas en Bitdefender, una empresa global de tecnología de ciberseguridad.
«Un mecanismo de distribución muy popular, conocido como ‘ClickFix’, ayuda a los ciberdelincuentes a instalar *infostealers* mediante la suplantación de cuadros CAPTCHA que manipulan el portapapeles del usuario para ejecutar comandos peligrosos en la terminal del sistema», explicó.
Asimismo, señaló que las cookies pueden capturarse a través de extensiones de navegador maliciosas, sitios web comprometidos o páginas de *phishing* de tipo «adversario en el medio» (*adversary-in-the-middle*), las cuales retransmiten un inicio de sesión legítimo e interceptan la sesión resultante. «El HTTPS moderno hace que la simple interceptación a través de la red local sea mucho menos útil que infectar el dispositivo final o manipular el propio proceso de autenticación», explicó.
Se necesita algo más que un antivirus.
NordVPN también informó haber encontrado cookies robadas procedentes de dispositivos que tenían instalado software de seguridad. Entre los registros de los programas de robo de información (*infostealers*) que identificaban el software de seguridad instalado, el 96,3% mencionaba Windows Defender, mientras que el resto hacía referencia a paquetes antivirus comerciales, señaló la empresa.
«Los antivirus pueden detectar y eliminar la mayoría de las variantes de programas de robo de información», declaró Paul Bischoff, defensor de la privacidad del consumidor en Comparitech, un sitio web de reseñas, consejos e información sobre productos de seguridad para usuarios.
«Sin embargo», añadió, «no te hacen inmune».
El antivirus sigue siendo importante, pero no es un control estricto, advirtió Deric Palmer, director de riesgos digitales de ASC3ND Technologies Group, una empresa de ciberseguridad y modernización de TI en Washington, D.C.
«Los ladrones de información cambian con frecuencia su código, métodos de entrega y comportamiento para evadir la detección basada en firmas, y los usuarios pueden anular las advertencias de seguridad o instalar ellos mismos software malicioso», dijo.
Recomendó que el antivirus debería tratarse como una sola capa junto con parches rápidos, monitoreo de terminales, controles del navegador, listas de aplicaciones permitidas y un comportamiento de usuario más seguro.
Una solución más duradera al problema es inutilizar la cookie robada, argumentó Chris Boehm, director de tecnología de Zero Networks, un proveedor de microsegmentación automatizada, redes de confianza cero, control de acceso basado en identidad y acceso remoto seguro en Tel Aviv, Israel.
«Eso es lo que Google envió en Chrome 146, con credenciales de sesión vinculadas al dispositivo, vinculando la sesión a una clave dentro del TPM o Secure Enclave», dijo. «Los sitios tienen que adoptarlo por su parte, por lo que la cobertura llevará tiempo».
Contraseñas seguras, MFA no es suficiente.
Palmer, de ASC3ND, sostuvo que el robo de cookies expone un punto ciego en la forma en que la gente piensa sobre la seguridad de las cuentas. «Las contraseñas seguras y la autenticación multifactor protegen el proceso de inicio de sesión, pero es posible que no detengan a un atacante que roba la sesión autenticada después de que el inicio de sesión ya se haya producido», observó.
«La industria necesita poner mayor énfasis en las sesiones de corta duración, la autenticación vinculada a dispositivos, la evaluación continua de riesgos y la rápida revocación de sesiones», afirmó.
«La mayoría de la gente asume que los banners de consentimiento de cookies son una característica de seguridad, pero provienen de la ley europea bajo la Directiva de Privacidad Electrónica y GDPR, y gobiernan lo que un sitio web puede colocar en su dispositivo en lugar de lo que el malware elimina de su computadora portátil», agregó Boehm de Zero Networks.
«La industria pasó 15 años diciéndole a la gente que una contraseña segura más MFA significaba que estaban seguros, y estos datos muestran que el asesoramiento estaba incompleto», señaló. «Los atacantes dejaron de atacar la puerta principal y comenzaron a robar la prueba de que ya habías entrado por ella».
