Infostealers: cómo las credenciales robadas impulsan el ransomware

¿Por qué las credenciales robadas superan las defensas tradicionales? Porque el atacante no irrumpe: inicia sesión. Un usuario, una contraseña y, cada vez más, una cookie de sesión válidos son idénticos a los de un empleado legítimo, y las herramientas de perímetro no ven nada extraño.

Tres factores agravan el problema en empresas de EE. UU. y Latinoamérica. Primero, la velocidad: las credenciales suelen pasar del robo a un listado clandestino en 48 horas, y los afiliados de ransomware han usado el acceso comprado en otras 48. Segundo, el precio: los registros sin filtrar se venden desde 1 a 50 dólares, mientras que los intermediarios de acceso inicial revenden accesos corporativos por entre 500 y 5.000 dólares. Tercero, el robo de sesiones: una cookie robada puede eludir por completo la autenticación multifactor, porque el usuario ya superó la verificación.

El incidente de Snowflake de 2024, que afectó a 165 organizaciones, mostró el costo de esta brecha: ninguna de las cuentas comprometidas tenía MFA activado. El trabajo remoto, el uso de dispositivos personales y los contratistas amplían la superficie de ataque, pues la infección ocurre fuera de la red corporativa.

¿Por qué las empresas latinoamericanas están especialmente expuestas? La rápida adopción de la nube, el uso intensivo de dispositivos personales para trabajar y la dependencia del inicio de sesión único de Microsoft 365 hacen que una sola sesión filtrada abra correo, archivos y Teams a la vez.

¿Cómo funciona la cadena de infostealer a ransomware? Sigue una secuencia previsible que los equipos de defensa pueden interrumpir en cada paso.

1. Infección. Un usuario ejecuta un instalador pirata, un falso CAPTCHA, un anuncio malicioso o una actualización manipulada.
2. Recolección. El malware copia contraseñas, cookies, tokens y perfiles de VPN o RDP, y los exfiltra como un «log».
3. Venta. El log se vende en un mercado automatizado o llega a un intermediario que filtra cuentas corporativas.
4. Acceso. Un afiliado de ransomware compra el acceso e ingresa por VPN, escritorio remoto o consola en la nube, a menudo en 48 horas.
5. Escalamiento. Se mueve lateralmente, obtiene privilegios de administrador y desactiva las herramientas de seguridad.
6. Extorsión. Roba datos, ataca respaldos y copias sombra e inicia una cuenta regresiva.

La defensa gana acortando el tiempo de detección: MFA resistente al phishing, sesiones más cortas, acceso condicional según el estado del dispositivo y monitoreo de inicios de sesión anómalos. A ello se suma la segmentación de red, que el diseño de conectividad multioperador y SD-WAN de HIT hace viable entre sedes y países.

¿Cómo saber si sus credenciales ya están a la venta? Monitoree las fuentes de logs de infostealers y de la dark web en busca de sus dominios corporativos, revoque las sesiones de inmediato cuando aparezca una coincidencia y fuerce el cambio de contraseña de esa identidad. Toda credencial corporativa hallada en un log debe tratarse como comprometida, aunque tenga MFA, porque la cookie ya podría estar en uso.

¿Qué ganan las empresas al frenar el robo de credenciales a tiempo? La economía favorece claramente la prevención. En salud, el costo promedio de una brecha llega a 7,42 millones de dólares, y los sectores más afectados por incidentes con infostealers son servicios profesionales, manufactura y salud. Detener al atacante en el inicio de sesión cuesta una fracción de recuperar servidores cifrados.

Los beneficios son concretos: menor probabilidad de ransomware, porque se cierra el punto de entrada más común; menor tiempo de permanencia del atacante, ya que el monitoreo 24/7 detecta accesos sospechosos en minutos; protección de datos regulados y auditorías más sencillas; y continuidad operativa frente a los ataques de doble extorsión.

La resiliencia también cuenta. Grupos como n0n amenazan explícitamente los respaldos, así que las copias deben estar aisladas y probadas. Combinar detección con protección externa reforzada mediante servicios gestionados de TI y respaldo en la nube permite restaurar en sus propios términos, sin negociar.

¿Qué implica para el cumplimiento normativo? Normas como la LGPD de Brasil, la Ley 1581 de Colombia y las leyes estatales de privacidad de EE. UU. exigen proteger los datos personales con controles razonables. Contar con MFA, monitoreo de sesiones y registros de respuesta a incidentes facilita demostrar la debida diligencia ante reguladores, auditores y aseguradoras, que cada vez preguntan más por las defensas contra infostealers antes de renovar una póliza.

¿Cómo ayuda HIT Communications? Con más de 30 años operando servicios de telecomunicaciones y TI en Latinoamérica, Estados Unidos y Europa, HIT une la red y la seguridad, las dos capas que esta amenaza atraviesa.

Nuestra práctica de ciberseguridad ofrece SOC, SIEM y MDR gestionados que vigilan señales de identidad, endpoints y red las 24 horas, las correlacionan con indicadores conocidos de infostealers y responden cuando se usa una credencial robada. Nuestro equipo de conectividad diseña redes segmentadas y multioperador para que una cuenta comprometida no se mueva libremente. Y nuestros servicios de TI refuerzan los equipos, aplican acceso condicional y mantienen respaldos inmutables.

Como HIT opera la red, la plataforma de voz y la seguridad bajo una sola relación, no quedan espacios entre proveedores donde un atacante pueda esconderse. Empresas en Colombia, México, Panamá, Brasil, EE. UU. y España usan este modelo integrado para reducir el tiempo entre una contraseña filtrada y un incidente contenido.

¿Qué hacer ahora? Empiece este trimestre con tres acciones: exigir MFA resistente al phishing en todas partes, acortar y monitorear los tokens de sesión, y confirmar que los respaldos estén aislados y sean restaurables. Después, verifique que alguien vigile la actividad con credenciales robadas las 24 horas, porque el reloj de 48 horas empieza mucho antes de que usted vea una alerta.

Los infostealers convirtieron el robo de credenciales en una cadena de suministro industrial, y los grupos de ransomware son sus clientes. Las empresas que tratan la identidad como el nuevo perímetro, respaldada por monitoreo continuo, les niegan una venta fácil.

¿Listo para medir su exposición? Contacte a HIT Communications para una evaluación de seguridad y un plan a la medida de su entorno.