¿Qué son los Infostealers?
Un infostealer es un tipo de malware diseñado específicamente para robar credenciales, cookies de sesión, datos de tarjetas guardados en el navegador y cualquier otra información sensible del equipo infectado. A diferencia del ransomware, el infostealer opera en silencio: no cifra archivos ni genera alertas visibles. Su objetivo es exfiltrar datos sin ser detectado.
Los más conocidos son RedLine, Raccoon, Vidar y LummaC2. Se distribuyen principalmente a través de software pirata, extensiones de navegador maliciosas, correos de phishing y anuncios falsos en Google que llevan a descargas trampa.
La Agencia Nacional de Ciberseguridad (ANCI) confirmó en mayo de 2026 que credenciales filtradas por infostealers fueron usadas para acceder a sistemas institucionales. Los atacantes no necesitaron vulnerar los sistemas — solo usaron contraseñas reales robadas previamente.
Cómo Operan Estos Ataques de Credenciales Robadas
El ciclo de ataque es el siguiente: un empleado instala software de fuente no verificada en su computador personal (o corporativo). El infostealer incluido en esa descarga extrae silenciosamente todas las contraseñas guardadas en Chrome, Firefox u otros navegadores, junto con cookies de sesión activas. Esas credenciales son vendidas en mercados de la dark web como plataformas tipo "Rutify", donde cualquier actor malicioso puede comprarlas por pocos dólares.
El atacante compra las credenciales, accede al sistema corporativo usando las credenciales legítimas del empleado, y opera como si fuera ese empleado. El sistema no detecta nada anormal — el acceso es con usuario y contraseña correctos.
El problema de ClaveÚnica y sistemas de gobierno
Cuando las credenciales robadas incluyen ClaveÚnica u otros accesos a sistemas gubernamentales, el impacto potencial es mayor. La ANCI aclaró que no existe evidencia de una filtración masiva del sistema de ClaveÚnica en sí — el problema son las contraseñas individuales robadas por malware en los equipos de los usuarios.
El Riesgo Real para su Empresa
Cualquier organización cuyos empleados usen contraseñas guardadas en navegadores para acceder a sistemas corporativos está expuesta. Esto incluye: acceso al correo corporativo (Microsoft 365, Google Workspace), VPN corporativa, sistemas ERP, plataformas SaaS (CRM, RRHH, contabilidad), y paneles de administración web.
Si un empleado tiene una contraseña de acceso al sistema de RRHH guardada en Chrome en su computador de casa, y ese computador tiene un infostealer, esa contraseña puede estar circulando en la dark web sin que nadie en la empresa lo sepa.
Cómo Protegerse Hoy
1. Implementar MFA en todos los sistemas críticos
El MFA (autenticación multifactor) es la defensa más efectiva contra el robo de credenciales. Aunque un atacante tenga la contraseña correcta, no puede acceder sin el segundo factor (código en el teléfono del empleado legítimo). Esto detiene el ataque incluso si las credenciales están comprometidas.
2. Gestión de contraseñas corporativa
Prohibir el uso de gestores de contraseñas del navegador (Chrome/Firefox) para credenciales corporativas. Implementar un gestor de contraseñas corporativo con almacenamiento cifrado y centralizado. Las contraseñas guardadas en el navegador son el objetivo número uno de los infostealers.
3. Monitoreo de credenciales filtradas
Existen servicios que monitorean continuamente las bases de datos de credenciales filtradas y alertan cuando aparecen emails corporativos. Configurar alertas para el dominio de su empresa permite reaccionar rápido cuando una credencial es comprometida, antes de que sea usada.
4. EDR en todos los endpoints
Un EDR (Endpoint Detection and Response) detecta comportamientos típicos de infostealers: acceso masivo a archivos del navegador, conexiones a dominios de command-and-control, exfiltración de datos. A diferencia del antivirus tradicional, el EDR detecta comportamientos maliciosos incluso de malware no conocido previamente.
La ANCI recomienda estar alerta a campañas de phishing que pueden surgir tras filtraciones de datos, ya que los atacantes usan la información robada para crear mensajes más creíbles y personalizados. No haga clic en links de correos no solicitados.
Conclusión
Las filtraciones por infostealers demuestran que la ciberseguridad es una cadena: el eslabón más débil no es el firewall ni el servidor, sino el equipo personal del empleado sin protección adecuada. MFA, EDR en endpoints y gestión de contraseñas corporativa son las tres medidas que cortan esta cadena de ataque.