24 mil millones de credenciales robadas. ¿La lección? El navegador es el punto final favorito del ciberdelito.

La enorme base de datos de credenciales revela cómo los infostealers están convirtiendo los navegadores en puertas de acceso a los sistemas empresariales.

Conclusiones principales

• La base de datos de 24 mil millones de registros descubierta en junio destaca el crecimiento de la economía de los ladrones de información.
• Los atacantes cada vez más apuntan a identidades digitales completas, no solo a contraseñas.
• Los navegadores ahora almacenan activos comerciales valiosos que comprenden identidades completas, incluidos tokens, sesiones y acceso a la nube.
• Las organizaciones deben centrarse en la protección de identidad, la seguridad de sesiones y la prevención de la usurpación de cuentas.
• Las capacidades de seguridad en capas y detección gestionada pueden ayudar a reducir el impacto de las credenciales robadas.

Cuando se publicó la noticia de en junio de que los investigadores habían descubierto una base de datos que contenía 24 mil millones de registros robados, los titulares eran previsibles. Otra fuga masiva de credenciales, a una escala casi incomprensible. Y, como siempre, un recordatorio para cambiar tus contraseñas.

Pero el tamaño absoluto de la base de datos puede estar desviando la atención de la verdadera importancia de este descubrimiento, que es que los datos parecen provenir en gran medida de malware infostealer, reflejando un cambio más amplio en cómo operan los atacantes. El cibercrimen moderno se centra cada vez más en recolectar identidades digitales completas en lugar de simplemente recopilar credenciales.

Ese cambio tiene importantes implicaciones para las empresas porque modifica dónde comienzan los ataques y cómo los defensores deben pensar en proteger a los usuarios.

El navegador es tu punto final más vulnerable

Durante años, las estrategias de ciberseguridad se construyeron en torno a un modelo en el cual los atacantes entregaban malware, explotaban vulnerabilidades o engañaban a los usuarios para que revelaran credenciales mediante ataques de phishing. Pero hoy en día, muchos ataques comienzan en el navegador.

Los navegadores modernos se han convertido en centros neurálgicos tanto para la actividad personal como empresarial. Almacenan contraseñas, mantienen sesiones autenticadas, conectan a los usuarios con aplicaciones SaaS, recuerdan cuentas en la nube y contienen los tokens que mantienen a los usuarios conectados durante todo el día. Como resultado, los navegadores contienen cada vez más todo lo que un atacante necesita para suplantar a un usuario legítimo.

Esta es la razón por la cual el malware infostealer se ha convertido en una herramienta tan valiosa para los ciberdelincuentes. En lugar de robar una sola contraseña, los atacantes pueden recolectar datos del navegador, tokens de autenticación, cookies de sesión, credenciales de la nube y otra información que proporciona acceso inmediato a los sistemas empresariales.

En muchos casos, un atacante no tiene que "hackear" una cuenta en absoluto. El infostealer les permite simplemente heredar una identidad autenticada.

Las contraseñas son datos de mercancía

La base de datos de 24 mil millones de registros también es un recordatorio de que las contraseñas por sí solas ya no tienen el mismo valor que antes. Durante años, los atacantes se centraron en robar contraseñas utilizando una variedad de métodos. A medida que la economía del cibercrimen maduró, se hizo posible simplemente comprar grandes colecciones de contraseñas vulneradas de otros criminales.

Hoy en día, muchas operaciones de ciberdelincuentes están interesadas en algo mucho más útil: identidades digitales completas que incluyen sesiones de navegador, acceso a SaaS, conexiones VPN y tokens de autenticación.

Esa evolución ayuda a explicar por qué el robo de credenciales sigue desempeñando un papel central en los ataques de ransomware, fraude del correo electrónico empresarial y usurpación de cuentas. Los informes recientes de inteligencia sobre amenazas identifican de manera consistente las credenciales comprometidas y la actividad de infostealers como fuentes principales de acceso inicial para los grupos criminales.

Esto también está estrechamente relacionado con el aumento de los ataques de usurpación de cuentas. Una vez que los atacantes obtienen acceso a una cuenta de confianza, pueden moverse por una organización mientras aparentan ser usuarios legítimos. Los controles de seguridad tradicionales diseñados para detener el malware o los inicios de sesión sospechosos pueden no activarse nunca porque el atacante está operando con credenciales válidas y sesiones activas.

Lo que esto significa para las empresas

Para las organizaciones, especialmente aquellas con equipos de seguridad pequeños, la conclusión importante es que la protección de la identidad ya no puede centrarse exclusivamente en las contraseñas.

Las empresas deben asumir que algunas credenciales ya están expuestas. La prioridad debería ser reducir el valor de la información robada añadiendo capas de protección alrededor de las identidades y las sesiones.

Eso significa fortalecer la autenticación multifactor, adoptar una autenticación resistente al phishing cuando sea posible, monitorear la actividad de usurpación de cuentas y limitar el impacto de las cuentas comprometidas mediante controles de acceso de privilegio mínimo.

También significa prestar más atención al propio navegador. Los equipos de seguridad han tratado tradicionalmente los navegadores como aplicaciones que se ejecutan en los endpoints. Cada vez más, deben ser vistos como límites de seguridad que merecen sus propias protecciones y monitoreo.

Esto es especialmente importante ya que los atacantes continúan distribuyendo robadores de información a través de actualizaciones de software falsas, extensiones de navegador maliciosas, aplicaciones pirateadas y señuelos con temática de IA cada vez más convincentes. Un solo dispositivo infectado puede proporcionar a los criminales cibernéticos acceso a mucho más que un nombre de usuario y una contraseña.

Mirando más allá del último volcado de credenciales

Los ciberdelincuentes ya no están recopilando credenciales simplemente para hackear cuentas. Están cosechando identidades, sesiones y accesos de confianza que pueden ser vendidos, compartidos o utilizados para lanzar ataques posteriores. La credencial en sí misma está convirtiéndose en solo un componente de un paquete de identidad mucho más amplio.

Para los defensores, eso significa pensar más allá de las contraseñas y centrarse en el ecosistema de identidad más amplio. Las organizaciones que se adapten primero estarán mejor posicionadas para detener los ataques de usurpación de cuentas antes de que se conviertan en incidentes de ransomware, eventos de fraude del correo electrónico empresarial o brechas importantes.

Y aunque ningún control de seguridad único puede eliminar el riesgo, un enfoque en capas que combine una sólida protección de identidad, defensa contra phishing, seguridad de sesiones y monitoreo continuo puede dificultar significativamente que los atacantes conviertan un perfil de navegador robado en una intrusión exitosa.

Los servicios de detección y respuesta gestionada como Barracuda Managed XDR también pueden ayudar a los equipos de TI y seguridad con recursos limitados a identificar actividades sospechosas en cuentas, investigar posibles compromisos y responder antes de que las credenciales robadas o los datos de sesión conduzcan a un incidente mayor. El objetivo no es solo proteger las contraseñas, sino proteger las identidades digitales que impulsan cada vez más los negocios modernos.