Durante años, la estrategia de defensa de la mayoría de organizaciones se construyó alrededor de una idea sencilla: proteger la contraseña. Políticas de complejidad, rotación periódica, gestores de credenciales y, finalmente, autenticación multifactor. El razonamiento parecía sólido: si el atacante no tiene la clave, no entra.
Ese razonamiento ya no describe cómo operan las campañas de robo de identidad actuales. Un estudio publicado este año, elaborado a partir del análisis de bases de datos comercializadas en foros clandestinos, identificó más de 52.400 millones de cookies de sesión sustraídas en un solo periodo anual. Más relevante aún para el contexto local: al cruzar el volumen de datos robados con la población de cada país, Perú aparece entre los territorios con mayor concentración de cookies comprometidas por habitante, junto con Uruguay y Chile.
El dato no es una curiosidad estadística. Describe un cambio de método que deja fuera de juego a buena parte de los controles de acceso que las organizaciones peruanas implementaron en los últimos cinco años.
Qué es una cookie de sesión y por qué vale más que una contraseña
Cuando un colaborador inicia sesión en el correo corporativo, en un ERP o en una consola de administración, el servidor no le pide la contraseña en cada clic posterior. En su lugar, emite un token de sesión que el navegador almacena como cookie. Ese archivo es la prueba de que la autenticación ya ocurrió y de que el usuario tiene derecho a seguir navegando.
Aquí está el problema. Una contraseña robada todavía obliga al atacante a superar el segundo factor. Una cookie de sesión válida, en cambio, representa una autenticación ya completada. Quien la posee no necesita usuario, no necesita clave y no necesita el código del token ni la aprobación en el celular. Simplemente inyecta la cookie en su propio navegador y el servicio lo reconoce como el usuario legítimo.
Esta técnica se conoce como secuestro de sesión o session hijacking, y explica por qué las cookies aparecen en las bases de datos analizadas con una frecuencia 4,6 veces mayor que la suma de contraseñas, archivos y datos de tarjetas de crédito. No es que los atacantes hayan perdido interés en el fraude financiero directo. Es que descubrieron un activo que rinde más y encuentra menos resistencia.
Cómo terminan las cookies corporativas en manos de terceros
El vector principal son los infostealers: familias de malware diseñadas específicamente para extraer, en cuestión de segundos, todo lo que el navegador guarda localmente. Credenciales almacenadas, historial, tokens de sesión activos, datos de autocompletado y billeteras digitales.
La distribución sigue patrones reconocibles en la región:
- Instaladores de software pirateado o "activadores" de licencias descargados en equipos que también acceden a recursos corporativos.
- Extensiones de navegador con permisos excesivos, instaladas sin revisión del área de TI.
- Documentos adjuntos y enlaces de campañas de correo dirigidas, cada vez mejor redactadas en español.
- Anuncios patrocinados que suplantan páginas de descarga de herramientas legítimas de productividad.
Una vez ejecutado, el infostealer no permanece en el equipo generando ruido. Extrae el paquete de datos, lo envía a su servidor de control y frecuentemente se elimina. La víctima no percibe nada: no hay archivos cifrados, no hay ventanas emergentes, no hay lentitud evidente. El registro completo termina publicado en un mercado clandestino, donde se comercializa por montos que rara vez superan los pocos dólares.
Por qué el trabajo remoto y el BYOD amplían el riesgo
El escenario se agrava cuando el equipo comprometido no pertenece a la organización. Un colaborador que revisa el correo institucional desde su laptop personal, o desde una computadora familiar compartida, está generando tokens de sesión corporativos que residen en un dispositivo sobre el cual el área de TI no tiene visibilidad, ni control de parches, ni capacidad de respuesta.
Ese es el punto ciego que aprovechan las campañas actuales. La infraestructura de la entidad puede estar correctamente segmentada y monitoreada, pero el token de acceso vive fuera de ese perímetro.
El dato que incomoda: la seguridad tradicional estaba activa
El hallazgo más relevante del estudio para cualquier responsable de tecnología es el siguiente: más del 96% de los registros de infección analizados provenían de dispositivos que tenían software de seguridad funcionando en el momento del compromiso.
No se trataba de equipos sin protección. Se trataba de equipos protegidos con herramientas que operan bajo un modelo de detección: identificar la amenaza conocida y bloquearla. Cuando el ejecutable es nuevo, está ofuscado o abusa de procesos legítimos del sistema operativo, ese modelo llega tarde. Y en el robo de tokens, llegar tarde equivale a no llegar: la extracción se completa en menos tiempo del que toma actualizar una firma de detección.
Esto explica por qué las estrategias que ganan terreno en entornos corporativos ya no se apoyan únicamente en detectar, sino en contener por defecto cualquier ejecución desconocida, permitiendo que el archivo corra en un entorno aislado sin acceso real al sistema de archivos, al registro ni a los datos del navegador mientras se determina su naturaleza. Es exactamente el enfoque que aplica Xcitium con su tecnología de contención Zero Trust.
Qué queda expuesto cuando se compromete una sesión corporativa
En el ámbito institucional, un token robado puede habilitar:
- Acceso al correo electrónico y, con ello, a toda la cadena de comunicaciones históricas de esa persona.
- Fraude por suplantación interna, redirigiendo pagos o solicitando transferencias desde una cuenta legítima y con historial coherente.
- Consolas administrativas de servicios en la nube, plataformas de gestión documental o sistemas de información sensibles.
- Movimiento lateral, usando la confianza de esa identidad para solicitar accesos adicionales sin levantar sospechas.
- Exfiltración silenciosa de información protegida por la Ley de Protección de Datos Personales, con el consiguiente riesgo sancionatorio.
Para entidades públicas y organizaciones que manejan información de terceros, la exposición no termina en el incidente técnico: continúa en el ámbito regulatorio y reputacional. El mismo riesgo aplica cuando el vector de entrada es el correo electrónico —algo que abordamos en detalle en nuestro artículo sobre phishing y BEC en Perú.
Controles concretos para reducir la exposición
Las recomendaciones de nivel usuario —cerrar sesión y limpiar el navegador— son correctas pero insuficientes en un entorno corporativo. Estos son los controles que sí modifican la ecuación:
1. Acortar la vida útil de los tokens. Muchas plataformas mantienen sesiones activas durante semanas por comodidad. Reducir esa ventana disminuye directamente el valor de una cookie robada.
2. Habilitar acceso condicional. Restringir la validez de una sesión según dispositivo registrado, ubicación geográfica o red de origen provoca que un token reutilizado desde otro contexto sea rechazado.
3. Aplicar vinculación de token al dispositivo. Las tecnologías de token binding atan la sesión a características del equipo que la originó, de modo que la cookie deja de funcionar al ser trasladada.
4. Establecer un procedimiento de revocación masiva de sesiones. Ante sospecha de compromiso, cambiar la contraseña no basta: la sesión activa sobrevive. Es necesario invalidar todos los tokens emitidos para esa identidad.
5. Restringir el almacenamiento de credenciales en el navegador mediante política corporativa, y controlar qué extensiones pueden instalarse.
6. Adoptar protección de endpoint con capacidad de contención, no solo de detección, especialmente en equipos que acceden a recursos institucionales desde fuera de la red.
7. Monitorear filtraciones de credenciales asociadas a los dominios de la organización, para detectar exposiciones antes de que sean explotadas.
8. Formar al personal en el vector real. El riesgo hoy no es solo el correo sospechoso, sino la descarga aparentemente inofensiva de software en el equipo desde el que también se trabaja.
Señales de que una sesión pudo ser secuestrada
- Inicios de sesión registrados desde ubicaciones o direcciones IP inconsistentes con la actividad del colaborador.
- Reglas de reenvío automático de correo creadas sin autorización.
- Sesiones activas en dispositivos no reconocidos dentro del panel de seguridad de la cuenta.
- Actividad administrativa fuera del horario habitual de la persona.
- Correos enviados desde la cuenta que no figuran en la carpeta de elementos enviados.
Conclusión
La autenticación multifactor sigue siendo indispensable, pero dejó de ser una garantía. Protege el momento del inicio de sesión; no protege lo que ocurre después con la credencial temporal que ese proceso genera.
Para las organizaciones peruanas, con una concentración de exposición notablemente alta en el ranking global, el planteamiento correcto ya no es únicamente cómo impedir que alguien adivine una contraseña, sino cuánto tiempo puede sobrevivir una sesión robada dentro del entorno y con qué velocidad la organización es capaz de invalidarla.
La ciberseguridad de la identidad dejó de ser un problema de puertas y cerraduras. Es un problema de llaves que quedaron puestas. Si su organización requiere evaluar la exposición de sus sesiones corporativas y la capacidad de contención de sus endpoints, en Inforland Perú podemos acompañarlo en ese diagnóstico.
