Tu contraseña ya no es el único objetivo: así secuestran los ciberdelincuentes tu identidad digital

Durante mucho tiempo, proteger una cuenta parecía relativamente sencillo: utilizar una contraseña segura, activar la autenticación multifactor (MFA) y evitar compartir información confidencial. Sin embargo, las técnicas de los ciberdelincuentes han evolucionado y hoy existe un problema que va mucho más allá de descubrir una contraseña.

Ahora, los atacantes buscan apropiarse de algo mucho más valioso: la identidad digital completa de una persona.

Para conseguirlo, recurren a programas maliciosos capaces de extraer credenciales almacenadas en el navegador, cookies de sesión, tokens de autenticación y otros datos que permiten acceder a servicios empresariales, plataformas en la nube y cuentas personales.

El riesgo es considerable. Si un atacante consigue reutilizar una sesión autenticada, podría acceder a determinados servicios haciéndose pasar por un usuario legítimo, incluso cuando esa cuenta cuenta con mecanismos adicionales de seguridad.

Y lo más preocupante es que este modelo de ciberdelincuencia no depende de una sola herramienta. El resurgimiento de Lumma Stealer y la aparición de nuevas amenazas como Acreed demuestran que el robo de identidades digitales se ha convertido en un negocio que continúa evolucionando.

Lumma Stealer: una amenaza que demuestra que los ciberdelincuentes saben regresar

En 2025, las autoridades y sus socios tecnológicos interrumpieron parte de la infraestructura utilizada por Lumma Stealer, uno de los programas de robo de información más conocidos del ecosistema criminal. Sin embargo, las interrupciones no significaron necesariamente el final de la amenaza.

Los informes posteriores señalaron la reconstrucción de sus operaciones y la aparición de nuevas campañas de distribución.

Lumma Stealer pertenece a la categoría de los infostealers: programas maliciosos diseñados para recopilar información valiosa de los dispositivos comprometidos. Entre sus objetivos se encuentran las contraseñas guardadas en navegadores, las cookies de sesión, los tokens de autenticación y otros datos que pueden facilitar el acceso a cuentas digitales.

Para llegar a sus víctimas, los atacantes recurren a diferentes técnicas de ingeniería social. Algunas campañas utilizan páginas CAPTCHA falsas que invitan al usuario a seguir instrucciones aparentemente legítimas. Otras recurren a descargas maliciosas o engaños que inducen a las personas a ejecutar comandos en sus propios equipos, una modalidad de ataque conocida como ClickFix.

El engaño funciona porque aprovecha una reacción habitual: cuando una página parece legítima y solicita completar una verificación o corregir un supuesto problema, el usuario puede bajar la guardia.

Una vez que el dispositivo queda comprometido, la información recopilada puede utilizarse para intentar acceder a otros servicios, venderse en mercados clandestinos o facilitar ataques posteriores.

La lección es clara: una amenaza puede cambiar de infraestructura y de estrategia sin perder su objetivo principal. Por eso, las organizaciones necesitan detectar tanto las infecciones como las actividades sospechosas que pueden producirse después.

El verdadero botín: sesiones activas y credenciales empresariales

Imagina que un colaborador inicia sesión en el correo corporativo, accede a sus aplicaciones de trabajo y consulta documentos almacenados en la nube. Durante ese proceso, el navegador y los servicios utilizados gestionan información que permite mantener la sesión autenticada.

Si un atacante consigue robar y reutilizar determinados elementos de esa sesión, podría intentar acceder a los servicios correspondientes sin repetir todo el proceso de autenticación.

Aquí aparece uno de los riesgos más importantes del robo moderno de información: el atacante no siempre necesita conocer la contraseña si logra apropiarse de una sesión válida.

Las cookies de sesión y los tokens de autenticación cumplen funciones legítimas: permiten que los servicios reconozcan a un usuario y mantengan su acceso. El problema surge cuando estos elementos caen en manos equivocadas y pueden reutilizarse fuera del contexto previsto.

En determinadas circunstancias, esto puede reducir la eficacia de la autenticación multifactor. Aunque la MFA sigue siendo una medida de seguridad fundamental, no impide por sí sola todos los escenarios de secuestro de sesión.

El impacto puede extenderse rápidamente dentro de una organización. Una cuenta comprometida podría convertirse en el punto de partida para consultar información confidencial, acceder a aplicaciones empresariales, enviar correos fraudulentos o intentar alcanzar otros recursos corporativos.

Por eso, proteger una identidad digital exige mirar más allá de la contraseña: también es necesario vigilar las sesiones, los dispositivos desde los que se accede y los comportamientos que se producen después de iniciar sesión.

Un mercado clandestino que convierte las identidades en mercancía

El robo de información no termina cuando el malware extrae los datos de un dispositivo. En muchos casos, ese es apenas el comienzo de una cadena de actividades criminales.

Los registros robados pueden reunir contraseñas, información de autocompletado, perfiles de navegación, cookies y otros elementos relacionados con las cuentas de una víctima. Después, estos datos pueden comercializarse, intercambiarse o utilizarse para preparar nuevos ataques.

La existencia de grandes conjuntos de credenciales y datos de navegación robados demuestra la escala que puede alcanzar este ecosistema. Para los delincuentes, disponer de información previamente recopilada puede reducir el esfuerzo necesario para preparar campañas de fraude o intentar tomar el control de cuentas.

En el entorno empresarial, las consecuencias pueden ser especialmente graves. Una cuenta corporativa comprometida puede utilizarse para suplantar a un empleado, engañar a proveedores, distribuir mensajes de phishing o intentar acceder a información protegida.

El riesgo aumenta cuando una misma identidad permite entrar en diferentes aplicaciones conectadas, especialmente si existen permisos excesivos o controles insuficientes sobre los accesos.

En otras palabras, el valor de los datos robados no se limita a lo que contienen, sino también a las puertas que pueden abrir.

Acreed: otra señal de la evolución del robo de información

Lumma Stealer no es el único ejemplo de esta tendencia. Acreed es otra familia de malware diseñada para recopilar información sensible, con especial atención a las credenciales almacenadas en navegadores y otros datos que pueden aprovecharse para comprometer identidades digitales.

Entre la información que puede buscar se encuentran contraseñas, datos de autocompletado, cookies de autenticación y datos relacionados con monederos de criptomonedas.

Su aparición refleja una dinámica habitual del cibercrimen: mientras algunas amenazas pierden presencia o se enfrentan a interrupciones, otras herramientas aparecen para atender la demanda de quienes buscan robar y comercializar información.

Esto dificulta el panorama de seguridad para las organizaciones. No basta con identificar una familia de malware y asumir que el problema desaparecerá cuando deje de ser noticia. Las herramientas cambian, los métodos de distribución se adaptan y los datos obtenidos mediante una infección pueden seguir teniendo valor mucho después del compromiso inicial.

Por ello, la defensa debe centrarse en capacidades que permitan detectar comportamientos maliciosos, contener dispositivos afectados e identificar posibles accesos indebidos, incluso cuando la amenaza utiliza herramientas nuevas o poco conocidas.

¿Cómo pueden protegerse las empresas frente al secuestro de identidades digitales?

La evolución de estas amenazas exige adoptar una estrategia de seguridad que considere la identidad como una parte esencial de la superficie de ataque.

Estas son algunas medidas prioritarias:

1. Reforzar la seguridad de los dispositivos. Mantener los sistemas actualizados, utilizar herramientas de protección de endpoints y vigilar los comportamientos sospechosos ayuda a reducir el riesgo de que un infostealer se ejecute y recopile información.

2. Proteger las sesiones y los accesos. Aplicar políticas de acceso condicional, evaluar el contexto de los inicios de sesión y utilizar mecanismos de revocación de sesiones y tokens cuando exista una sospecha de compromiso puede ayudar a limitar el acceso no autorizado.

3. Mantener la autenticación multifactor. La MFA sigue siendo indispensable. Siempre que sea viable, conviene priorizar métodos resistentes al phishing y complementar su uso con controles que permitan identificar sesiones o accesos anómalos.

4. Supervisar la actividad de las cuentas. Los accesos desde ubicaciones o dispositivos inusuales, los cambios inesperados de comportamiento y las acciones anómalas sobre aplicaciones empresariales pueden revelar un compromiso que no sería evidente al revisar únicamente las contraseñas.

5. Prepararse para responder con rapidez. Cuando se detecta un posible robo de información, es importante aislar el dispositivo afectado, investigar el alcance del incidente, revocar las sesiones comprometidas, cambiar las credenciales cuando corresponda y revisar las cuentas y los servicios potencialmente expuestos.

6. Capacitar a los usuarios contra nuevas técnicas de engaño. Las páginas CAPTCHA falsas, las descargas sospechosas y las instrucciones que solicitan ejecutar comandos deben formar parte de los escenarios de concientización en ciberseguridad.

Ninguna medida aislada elimina todos los riesgos. La protección más sólida surge de combinar prevención, visibilidad, controles de identidad y capacidad de respuesta.

La seguridad ya no termina en el dispositivo: también debe proteger la identidad

El resurgimiento de Lumma Stealer y la aparición de herramientas como Acreed reflejan una transformación importante: los ciberdelincuentes no necesitan limitarse a robar archivos o instalar ransomware. También pueden buscar los elementos que permiten a una persona acceder a sus cuentas y servicios digitales.

Esto cambia la forma de entender la protección empresarial. Los dispositivos siguen siendo fundamentales, pero las organizaciones también deben prestar atención a las credenciales, las sesiones activas, los tokens y el comportamiento de los usuarios dentro de sus aplicaciones.

En este escenario, contar con capacidades de protección de endpoints, detección de amenazas y respuesta ante incidentes puede ayudar a identificar compromisos y reducir su impacto. Soluciones como los servicios de seguridad gestionada y XDR permiten integrar señales de diferentes fuentes para investigar actividades sospechosas.

Qilin: cuando el ransomware se convierte en un negocio organizado

Para comprender la relevancia de esta investigación, primero hay que entender qué representa Qilin.

A diferencia de un atacante que opera de manera aislada, Qilin funciona bajo el modelo de ransomware como servicio. Este esquema permite que los responsables de una plataforma criminal pongan herramientas e infraestructura a disposición de afiliados que ejecutan ataques contra diferentes organizaciones. Las ganancias se distribuyen de acuerdo con los acuerdos establecidos dentro de la operación.

En la práctica, se trata de un ecosistema criminal que busca crecer, atraer colaboradores y multiplicar sus oportunidades de extorsión.

Durante 2025, Qilin consolidó su presencia entre las principales operaciones de ransomware. Su actividad se extendió a organizaciones de distintos sectores y países, mientras que su infraestructura evolucionó para ofrecer más capacidades a sus afiliados.

La operación también habría ampliado sus servicios con herramientas para gestionar negociaciones, facilitar la comunicación con las víctimas y presionar a las organizaciones mediante la amenaza de publicar información robada.

Este último elemento es especialmente importante. El ransomware moderno no consiste únicamente en bloquear archivos. En muchos casos, los atacantes también extraen información confidencial y amenazan con divulgarla si la víctima se niega a pagar.

Así, una misma intrusión puede convertirse en dos mecanismos de presión: interrumpir las operaciones y poner en riesgo la privacidad de los datos.

Pero esta expansión también tiene un costo que los operadores criminales no pueden eliminar fácilmente: cada ataque genera actividad, conexiones y posibles evidencias que, analizadas en conjunto, pueden ayudar a reconstruir lo sucedido.

Un ataque que abrió la puerta a una investigación de 21 meses

En septiembre de 2024, una empresa de logística alemana sufrió un ataque atribuido a la operación Qilin. La información difundida sobre el caso señala que la organización habría pagado una suma cercana a los 100 millones de dólares para recuperarse del incidente y mantener la confidencialidad de sus datos.

La cifra resulta impactante, pero el aspecto más importante de la historia no es únicamente el monto de la extorsión. Es lo que ocurrió después.

Durante la investigación del ataque, las autoridades alemanas encontraron evidencias que describieron como una pequeña pieza de un rompecabezas mucho mayor. A partir de ese punto, la pesquisa se habría extendido más allá del incidente inicial.

La investigación, conocida como Operación ALBUS, buscaba identificar y rastrear a personas vinculadas con el ecosistema de Qilin. Para ello, las autoridades habrían combinado información técnica, análisis financieros y cooperación internacional.

Los detalles completos de la investigación no se han hecho públicos. Por ello, no es posible reconstruir con certeza cada paso ni determinar qué evidencia específica permitió identificar al sospechoso.

No obstante, los informes disponibles apuntan a una conclusión relevante: el trabajo de investigación no se limitó a analizar el ataque contra la empresa alemana. También buscó establecer posibles vínculos entre la actividad criminal, la infraestructura utilizada y las personas que supuestamente participaban en la operación.

El objetivo era pasar de las huellas dejadas por un ataque a la identificación de quienes podrían estar detrás de él.

De un alias digital a un sospechoso bajo custodia

Según los reportes publicados, los investigadores identificaron a un presunto integrante conocido por el alias «Snake», posteriormente identificado como Vladimir K., un ciudadano ruso de 28 años.

Las autoridades alemanas lo vinculan presuntamente con tareas de desarrollo dentro de Qilin y con la obtención de beneficios derivados de las actividades de extorsión. Estos señalamientos forman parte de las acusaciones contra el sospechoso y no deben interpretarse como una declaración de culpabilidad.

La investigación habría permitido seguir sus movimientos hasta conocer un próximo viaje a Japón. La información fue compartida con las autoridades japonesas, que lo detuvieron en un hotel de Osaka el 26 de mayo de 2026.

La detención marcó un momento decisivo: una investigación iniciada a partir de un ataque informático había logrado trasladar sus resultados al terreno físico, donde la cooperación entre países hizo posible localizar al sospechoso.

El caso todavía debía superar otro obstáculo. Una detención internacional no significa que la entrega del sospechoso al país investigador sea automática.

El desafío de llevar el caso de Japón a Alemania

Japón y Alemania no cuentan con un tratado bilateral de extradición. Por ello, las autoridades alemanas tuvieron que recurrir al procedimiento legal aplicable en Japón para solicitar la entrega del detenido.

Entre los aspectos relevantes de este tipo de procedimientos se encuentra el principio de doble incriminación: en términos generales, la conducta por la que se solicita la extradición debe constituir un delito conforme a los marcos legales aplicables de ambos países.

En este caso, las acusaciones descritas incluyen presuntas intrusiones informáticas, cifrado de datos y extorsión relacionada con ransomware.

Tras el procedimiento correspondiente, Vladimir K. fue extraditado a Alemania el 2 de octubre de 2026, de acuerdo con la información publicada sobre el caso.

El resultado representa un avance para la investigación, aunque no implica por sí mismo el desmantelamiento de Qilin. Una operación de ransomware como servicio puede involucrar múltiples afiliados, desarrolladores y operadores distribuidos en diferentes jurisdicciones.

La detención de una persona es una pieza importante, pero no necesariamente el final de la investigación.

La lección que deja el caso Qilin: los ataques no terminan cuando se recuperan los sistemas

La historia de Qilin permite observar dos dimensiones de un incidente de ransomware que a menudo se analizan por separado.

La primera es el impacto inmediato: interrupción de operaciones, pérdida de acceso a información, costos de recuperación y presión económica sobre la organización afectada.

La segunda aparece después del ataque: la investigación técnica, la preservación de evidencias, el análisis de las actividades sospechosas y la posibilidad de que la información recopilada ayude a identificar a los responsables.

Ambas dimensiones están conectadas.

Por eso, la respuesta ante el ransomware no debería centrarse exclusivamente en recuperar los sistemas una vez que ocurre el incidente. También es importante contar con mecanismos que permitan detectar comportamientos sospechosos, relacionar eventos de seguridad y conservar información útil para investigar lo sucedido.

Entre las medidas que pueden contribuir a reducir el impacto de estos ataques se encuentran:

• Detectar antes de que el daño escale. Identificar comportamientos anómalos en los equipos y las cuentas puede ayudar a intervenir antes de que una intrusión se convierta en un incidente de mayor alcance.
• Correlacionar eventos de seguridad. Una alerta aislada puede parecer poco relevante; varias señales relacionadas pueden revelar una actividad maliciosa que requiere atención inmediata.
• Contener la amenaza con rapidez. Aislar los equipos afectados y limitar los accesos comprometidos puede ayudar a frenar la propagación mientras se investiga el incidente.
• Preservar evidencias. Los registros, las alertas y los datos técnicos pueden ser esenciales para comprender cómo comenzó un ataque, qué sistemas afectó y qué acciones se llevaron a cabo.
• Preparar la respuesta antes de una crisis. Disponer de procedimientos definidos, respaldos protegidos y personal capaz de coordinar la investigación reduce la improvisación cuando cada minuto importa.

Ninguna de estas medidas garantiza que una organización nunca será atacada. Sin embargo, pueden mejorar su capacidad para detectar, contener y comprender una amenaza antes de que sus consecuencias sean mucho mayores.

Cuando cada rastro cuenta 

Qilin construyó una operación criminal capaz de aprovechar herramientas especializadas, colaboradores distribuidos y mecanismos de extorsión para ampliar su alcance. Sin embargo, el caso investigado por las autoridades alemanas y japonesas demuestra que la complejidad de estas organizaciones no las vuelve necesariamente imposibles de rastrear.

Un ataque puede parecer rentable para sus responsables en el momento en que reciben un pago. Pero las consecuencias de esa intrusión pueden prolongarse mucho más allá de la recuperación de la víctima.

La investigación de 21 meses recuerda que la ciberseguridad no consiste únicamente en impedir que una amenaza entre en una organización. También implica disponer de la visibilidad, la capacidad de análisis y los mecanismos de respuesta necesarios para actuar cuando algo falla.

Porque, en un entorno donde los atacantes buscan multiplicar sus oportunidades, la capacidad de conectar las señales a tiempo puede marcar la diferencia entre reaccionar ante un incidente y descubrirlo cuando el daño ya está hecho.

En Cobra Networks, la prevención, la detección y la respuesta forman parte de una estrategia integral para ayudar a las organizaciones a enfrentar amenazas cada vez más sofisticadas. Acércate a nuestro equipo para conocer las soluciones de ciberseguridad que pueden ayudarte a fortalecer la protección de tu empresa.

Cuando una contraseña comprometida abre la puerta a toda una organización

No todos los ciberataques comienzan con una vulnerabilidad de software. En ocasiones, basta con una contraseña robada, una cuenta comprometida o un acceso privilegiado que termina en las manos equivocadas.

Los ciberdelincuentes han perfeccionado sus técnicas para obtener credenciales mediante campañas de phishing, ingeniería social y ataques cada vez más convincentes, potenciados por la inteligencia artificial. Una vez dentro, pueden aprovechar los permisos de una cuenta legítima para acceder a información sensible, desplazarse entre sistemas o realizar actividades maliciosas sin levantar sospechas inmediatas.

El problema es especialmente relevante para los proveedores de servicios gestionados (MSP), responsables de administrar la infraestructura y la seguridad de múltiples organizaciones. Un acceso comprometido no solo puede poner en riesgo a un cliente: dependiendo de los permisos y las conexiones involucradas, también puede convertirse en una vía de entrada hacia otros sistemas bajo su administración.

Por eso, proteger la identidad ya no consiste únicamente en establecer contraseñas seguras. Se necesita controlar quién accede a cada recurso, limitar los privilegios, identificar comportamientos sospechosos y responder cuando una cuenta presenta señales de compromiso.

Evo Security: una apuesta por reforzar la resiliencia de identidad

Ante este escenario, Barracuda anunció la adquisición de Evo Security, una compañía especializada en gestión de identidades y accesos (IAM), diseñada específicamente para las necesidades operativas de los MSP.

La integración amplía las capacidades de BarracudaONE, la plataforma de ciberresiliencia de Barracuda, con un enfoque que busca fortalecer la protección de identidad sin añadir una complejidad innecesaria a la gestión de múltiples clientes.

¿La importancia de este movimiento? La seguridad de identidad deja de verse como una función aislada y pasa a formar parte de una estrategia más amplia de protección, detección y respuesta ante amenazas.

Entre las capacidades que aporta Evo Security destacan:

• Gestión de acceso privilegiado (PAM): ayuda a controlar los accesos con permisos elevados, reduciendo la exposición asociada a cuentas que pueden administrar sistemas o información crítica.
• Control de acceso: permite gestionar quién puede acceder a los recursos y bajo qué condiciones, de acuerdo con las políticas establecidas.
• Protección de identidades: contribuye a fortalecer los controles sobre las cuentas y los accesos que forman parte de los entornos administrados.
• Detección y respuesta ante amenazas de identidad (ITDR): permite abordar las amenazas que afectan a las identidades digitales mediante capacidades orientadas a identificar y responder ante actividades sospechosas.

Estas funciones atienden distintas etapas del riesgo: desde reducir las oportunidades de acceso indebido hasta mejorar la capacidad de detectar y responder cuando una identidad se convierte en el punto de entrada de un ataque.

¿Por qué es especialmente importante para los MSP?

Administrar la seguridad de una sola organización ya puede representar un reto considerable. Hacerlo para decenas o cientos de clientes exige herramientas capaces de escalar sin multiplicar proporcionalmente el trabajo operativo.

Aquí es donde destaca el enfoque de Evo Security: su arquitectura multiusuario está diseñada para facilitar la administración de identidades y accesos en distintos entornos de clientes desde una operación orientada a los MSP.

Esto resulta relevante por tres razones:

• Más control sobre los accesos críticos.

Los MSP necesitan administrar cuentas técnicas, usuarios y privilegios que permiten mantener la operación de sus clientes. Cuanto mayor sea la cantidad de accesos, más importante resulta establecer controles que reduzcan el riesgo de uso indebido.

• Menos fragmentación en la gestión de seguridad.

Trabajar con herramientas desconectadas puede dificultar la administración diaria y obligar a los equipos a cambiar constantemente entre plataformas. La evolución de BarracudaONE apunta a reunir más capacidades de protección dentro de una experiencia de seguridad integrada.

• Mayor capacidad para escalar los servicios.

Una solución diseñada para MSP debe considerar la administración de múltiples clientes como parte central de su arquitectura. Este enfoque ayuda a los proveedores a estructurar sus operaciones de seguridad y a ampliar sus servicios sin depender exclusivamente de procesos manuales.

El objetivo no es únicamente incorporar nuevas funciones, sino ayudar a los MSP a gestionar mejor el riesgo de identidad dentro de una operación que debe ser eficiente, repetible y escalable.

De proteger sistemas a proteger quién tiene acceso a ellos

Durante mucho tiempo, las estrategias de seguridad se concentraron en defender redes, dispositivos, servidores y aplicaciones. Estas capas siguen siendo fundamentales, pero no son suficientes cuando un atacante puede utilizar credenciales legítimas para operar dentro de un entorno.

La resiliencia de identidad busca responder precisamente a ese desafío: proteger las identidades, controlar sus accesos, detectar amenazas relacionadas con ellas y mejorar la capacidad de respuesta ante un compromiso.

La incorporación de Evo Security refuerza la visión de Barracuda de desarrollar una plataforma de ciberresiliencia más amplia, que conecte diferentes necesidades de protección en lugar de depender exclusivamente de soluciones independientes.

Para los MSP, esta evolución representa una oportunidad para revisar cómo administran los privilegios, cómo supervisan los accesos y qué tan preparados están para responder cuando una cuenta deja de ser confiable.

Porque una estrategia de seguridad no debería limitarse a impedir que alguien entre. También debe considerar qué puede hacer una persona o cuenta una vez que obtiene acceso, qué señales podrían revelar un abuso y cómo contener el riesgo antes de que se convierta en un incidente mayor.

BarracudaONE y Evo Security: una estrategia de protección más completa

La adquisición de Evo Security refuerza la apuesta de Barracuda por ampliar las capacidades de su plataforma y responder a los desafíos de seguridad que enfrentan los proveedores de servicios gestionados.

Al incorporar capacidades de gestión de identidades y accesos, protección de identidad, administración de privilegios y detección y respuesta ante amenazas de identidad, Barracuda avanza hacia un enfoque que considera tanto la protección de los sistemas como la seguridad de quienes acceden a ellos.

Para los MSP, el valor está en poder evolucionar hacia servicios de seguridad más completos, con herramientas pensadas para sus necesidades operativas y para la protección de múltiples entornos.

En Cobra Networks te ayudamos a conocer las soluciones de ciberseguridad de Barracuda y a identificar las tecnologías que mejor se adaptan a las necesidades de tu organización o de tus clientes. Si buscas fortalecer tu estrategia de seguridad, contacta con nuestro equipo para conocer más sobre el portafolio de Barracuda y las capacidades de su plataforma BarracudaONE.

¿Qué es Evo Security? 

Evo Security es un proveedor de soluciones de gestión de identidades y accesos diseñado para proveedores de servicios gestionados. Su enfoque contempla la administración de múltiples entornos de clientes y las necesidades operativas de los MSP.

Integración con Barracuda 

La adquisición amplía las capacidades de BarracudaONE con tecnologías centradas en la identidad, incluidos el control de acceso, la gestión de privilegios y la detección y respuesta ante amenazas de identidad.

¿Qué es la resiliencia de identidad?

Es la capacidad de proteger las identidades digitales, controlar sus accesos, identificar amenazas relacionadas con las cuentas y responder ante posibles compromisos para reducir su impacto.

¿Cómo beneficia esta integración a los MSP?

El enfoque está orientado a facilitar la administración de identidades en múltiples entornos de clientes, fortalecer los controles de acceso y ampliar las capacidades de seguridad disponibles dentro de la estrategia de plataforma de Barracuda.

¿Evo Security sustituye las demás soluciones de seguridad de Barracuda?

No debe entenderse como un reemplazo general de las demás capas de protección. La integración amplía el enfoque de BarracudaONE con capacidades centradas en la identidad, que complementan otras áreas de la ciberseguridad.

Phishing en tu correo electrónico

MFA.

Durante años, una de las recomendaciones más importantes en ciberseguridad ha sido clara: utiliza autenticación multifactor.

Y sigue siendo un consejo fundamental.

Pero los atacantes están aprendiendo que, en lugar de intentar romper directamente los controles de seguridad, pueden buscar algo mucho más interesante: aprovechar la confianza que existe entre esos controles.

Ese es el concepto detrás de TrustSink, una técnica que pone el foco en Microsoft Entra ID y en los entornos de identidad federada.

En lugar de llevar a la víctima a una página de phishing evidentemente falsa, TrustSink busca insertarse en un flujo de autenticación legítimo mediante un proveedor de autenticación multifactor (MFA) malicioso.

El usuario cree que está iniciando sesión normalmente.

El sistema cree que está trabajando con un proveedor de confianza.

Mientras tanto, el atacante puede estar capturando las credenciales.

TrustSink cambia la pregunta: ¿en quién confías para autenticar a tus usuarios?

La fortaleza de un sistema de identidad federada depende, en gran medida, de las relaciones de confianza que existen dentro de él.

Las organizaciones utilizan proveedores de identidad, mecanismos de autenticación y servicios externos para facilitar el acceso seguro a aplicaciones y recursos corporativos.

TrustSink intenta convertir esa confianza en una oportunidad de ataque.

La técnica introduce un proveedor MFA malicioso dentro del proceso de autenticación. Cuando un usuario inicia sesión a través de un portal legítimo, sus credenciales pueden pasar por ese componente antes de completar el proceso de autenticación.

Esto abre la puerta a la captura de las contraseñas en tiempo real.

Y aquí está la diferencia fundamental frente al phishing tradicional:

el usuario no necesariamente está interactuando con una página falsa.

Está utilizando un flujo de autenticación que parece legítimo.

El problema no es solamente robar una contraseña

Una contraseña comprometida ya representa un riesgo.

Pero cuando esa contraseña pertenece a una identidad corporativa con acceso a Microsoft Entra ID, Microsoft 365, aplicaciones empresariales y recursos en la nube, el impacto potencial puede ser mucho mayor.

Una credencial válida puede convertirse en el punto de partida para:

• Acceder a aplicaciones y servicios corporativos.

• Consultar información confidencial.

• Comprometer otras cuentas.

• Intentar elevar privilegios.

• Realizar movimiento lateral.

• Mantener acceso persistente.

• Preparar ataques posteriores, incluido ransomware.

Por eso, la identidad se ha convertido en uno de los activos más importantes que una organización debe proteger.

Si un atacante controla una identidad legítima, puede intentar comportarse como un usuario legítimo.

Y eso hace que la detección sea mucho más complicada.

Cuando el ataque utiliza la infraestructura legítima

Esta es probablemente la característica más preocupante de TrustSink.

El phishing tradicional intenta engañar al usuario para que abandone el entorno legítimo y entre en una página controlada por el atacante.

TrustSink plantea otro escenario.

El atacante busca aprovechar el propio ecosistema de autenticación y las relaciones de confianza existentes.

Esto puede reducir algunas de las señales que normalmente ayudan a detectar un ataque de phishing.

No necesariamente hay una página con una URL extraña.

No necesariamente existe un correo lleno de errores.

No necesariamente el usuario recibe una alerta evidente.

En cambio, el ataque intenta integrarse en un proceso que la víctima ya reconoce como normal.

La confianza deja de ser únicamente una defensa y se convierte en parte de la superficie de ataque.

MFA sigue siendo importante. Pero MFA no puede tratarse como una solución aislada

TrustSink también deja una lección importante sobre la autenticación multifactor.

MFA continúa siendo uno de los controles más importantes para reducir el riesgo asociado con credenciales robadas. Sin embargo, ningún mecanismo de seguridad debería considerarse una barrera absoluta.

Los atacantes están evolucionando.

Ya no se limitan a intentar obtener una contraseña mediante phishing. También buscan manipular sesiones, robar tokens, explotar procesos de autenticación y abusar de relaciones de confianza.

Por eso, proteger la identidad requiere una estrategia más amplia.

No basta con preguntar “¿el usuario tiene MFA?”.

También debemos preguntar:

¿Quién puede modificar la configuración de autenticación?

¿Qué proveedores externos están autorizados?

¿Qué relaciones de federación existen?

¿Qué cambios se están realizando?

¿Desde dónde se están produciendo las autenticaciones?

¿El comportamiento coincide realmente con el usuario?

Estas preguntas forman parte de una estrategia de seguridad de identidad mucho más robusta.

¿Quién está más expuesto?

El riesgo es especialmente relevante para organizaciones que dependen de Microsoft Entra ID con configuraciones de identidad federada y mantienen relaciones con proveedores externos de identidad o autenticación.

Una gobernanza deficiente puede ampliar considerablemente la superficie de ataque.

Por ejemplo, una organización puede tener dificultades para detectar o controlar:

• Proveedores de identidad externos que ya no deberían tener acceso.

• Configuraciones de federación excesivamente permisivas.

• Usuarios con privilegios para modificar mecanismos de autenticación.

• Cambios inesperados en proveedores MFA.

• Actividad de autenticación anómala.

• Relaciones de confianza que no han sido revisadas recientemente.

El problema es que una configuración que alguna vez fue necesaria puede convertirse, con el tiempo, en una puerta que nadie recuerda que dejó abierta.

¿Cómo reducir el riesgo de TrustSink?

La defensa comienza por recuperar visibilidad sobre quién y qué tiene capacidad para intervenir en los procesos de autenticación.

Barracuda recomienda adoptar varias medidas:

1. Revisar las relaciones de confianza

Audite periódicamente los proveedores de identidad externos y las configuraciones de MFA asociadas a Microsoft Entra ID.

La pregunta no debería ser únicamente “¿funciona?”, sino también “¿sigue siendo necesario y confiable?”

2. Aplicar controles estrictos de acceso

Utilice políticas de acceso condicional para limitar la autenticación proveniente de proveedores no autorizados o que no cumplan los requisitos de seguridad establecidos.

3. Vigilar los cambios en la federación

Habilite registros y alertas avanzadas para detectar modificaciones inesperadas en la configuración de identidad, proveedores de autenticación y relaciones de federación.

Un cambio aparentemente pequeño puede tener consecuencias importantes.

4. Reducir los privilegios administrativos

Limite el número de usuarios capaces de modificar configuraciones de federación o agregar proveedores externos de autenticación.

Cuantas menos identidades puedan cambiar las reglas de confianza, menor será la superficie de ataque.

5. Adoptar un enfoque Zero Trust

No asuma que una identidad, dispositivo o proveedor es confiable simplemente porque ya se encuentra dentro del ecosistema.

La confianza debe evaluarse continuamente antes de conceder acceso a recursos sensibles.

6. Considerar métodos de autenticación resistentes al phishing

Siempre que sea posible, las organizaciones deberían evaluar mecanismos como claves de seguridad FIDO2 o autenticación basada en certificados, reduciendo la dependencia de métodos que puedan ser susceptibles a determinadas técnicas de robo de credenciales.

La nueva batalla por la identidad

TrustSink representa una evolución importante en la forma en que debemos pensar sobre la seguridad de las identidades.

Durante mucho tiempo, la estrategia consistía en proteger las credenciales.

Después, añadimos MFA para protegerlas mejor.

Ahora los atacantes están buscando algo más sofisticado:

atacar el sistema que determina en quién confiamos para autenticar esas identidades.

Ese cambio obliga a las organizaciones a ampliar su perspectiva.

La seguridad de identidad no consiste únicamente en proteger nombres de usuario y contraseñas. También implica proteger las relaciones, configuraciones, proveedores y privilegios que hacen posible la autenticación.

Porque si un atacante consigue robar una contraseña, tenemos un problema.

Pero si consigue que el sistema confíe en él para obtenerla, tenemos un problema mucho mayor.

La lección de TrustSink es clara: en un entorno donde la identidad se ha convertido en el nuevo perímetro, la confianza también debe ser protegida.

El problema aparece cuando esa estrategia comienza a crecer sin una planificación clara.

Con el tiempo, una empresa puede terminar utilizando diferentes soluciones para proteger sus servidores, equipos de trabajo, aplicaciones en la nube y plataformas empresariales. Algunas fueron implementadas por el área de TI, otras llegaron junto con un nuevo proveedor y algunas más se incorporaron después de un incidente o como parte de una necesidad específica de algún departamento. Cada decisión pudo haber sido correcta en su momento, pero el resultado final puede ser un entorno fragmentado en el que nadie tiene una visión completa de qué información está protegida, dónde se encuentra cada copia y, sobre todo, qué tan fácil sería recuperarla cuando realmente fuera necesario.

A primera vista, tener varias soluciones de respaldo podría parecer una ventaja. Más herramientas, más copias y más opciones para recuperar información deberían significar una mayor protección. Sin embargo, en ciberseguridad la cantidad no siempre equivale a seguridad. Cuando las herramientas crecen sin una estrategia que las integre, también aumentan las configuraciones que deben administrarse, las credenciales que deben protegerse, las políticas que deben revisarse y los procesos que deben mantenerse actualizados.

Y ahí aparece uno de los costos menos visibles de la proliferación de copias de seguridad: la pérdida de control sobre la propia estrategia de protección.

Cuando tener más copias no significa estar mejor protegido

Imaginemos una situación cotidiana. Una empresa cuenta con una solución para respaldar sus servidores, otra para los equipos de los usuarios y una tercera para determinados servicios en la nube. Además, conserva una plataforma antigua porque todavía contiene información histórica y algunos sistemas cuentan con sus propios mecanismos de respaldo.

En los informes, todo parece estar funcionando correctamente. Las tareas de respaldo aparecen como exitosas y los datos parecen estar almacenados.

Pero llega un incidente.

Un ataque compromete las cuentas de algunos usuarios, varios sistemas dejan de estar disponibles y parte de la información necesita ser recuperada con urgencia. Es entonces cuando la organización descubre que conocer la existencia de una copia no es lo mismo que conocer su verdadera capacidad de recuperación.

¿Dónde está la información crítica? ¿Cuál es la copia más reciente? ¿Qué solución tiene los datos que realmente se necesitan? ¿Cuánto tiempo se conservarán? ¿Quién puede acceder a ellos? ¿Las credenciales utilizadas para administrar los respaldos están protegidas? ¿La copia también podría haber sido afectada por el mismo incidente? Y quizá la pregunta más importante de todas: ¿se ha probado realmente la restauración?

Estas preguntas son importantes porque una estrategia de respaldo no debería evaluarse únicamente por su capacidad para crear copias. Su verdadero valor aparece cuando la empresa necesita utilizarlas.

Una copia que nunca ha sido restaurada, una política que nadie ha revisado o un sistema que permanece activo sin que nadie conozca exactamente qué protege pueden generar una sensación de seguridad mucho mayor que la protección real que ofrecen.

El problema no son las copias, sino la falta de visibilidad

Tener diferentes mecanismos de respaldo no es necesariamente un error. De hecho, determinadas organizaciones necesitan diferentes niveles de protección dependiendo del tipo de información, la criticidad de sus sistemas o los requisitos de continuidad de su negocio.

El problema comienza cuando esas soluciones funcionan como islas.

Cada plataforma puede tener su propia consola, sus propias credenciales, diferentes periodos de retención y distintas formas de reportar el estado de las copias. Mientras tanto, el equipo responsable de TI tiene que dedicar tiempo a revisar cada una de ellas para determinar si todo está funcionando como debería.

Conforme aumenta la complejidad, también aumenta la posibilidad de que algo pase desapercibido.

Puede existir un servidor que no esté incluido en ninguna política de respaldo. Puede haber equipos que continúen utilizando un agente antiguo. Una aplicación crítica puede tener una retención insuficiente. O puede existir una copia perfectamente configurada que nadie haya intentado restaurar durante meses o incluso años.

Esto convierte el problema de los backups en algo mucho más amplio que el almacenamiento de información. En realidad, estamos hablando de visibilidad, administración y continuidad operativa.

Una empresa necesita saber qué activos tiene, cuáles son críticos, qué información contienen, cómo están protegidos y qué sucedería si dejaran de estar disponibles. Sin esa visibilidad, incluso una infraestructura con múltiples soluciones de respaldo puede tener importantes puntos ciegos.

La recuperación debe formar parte de la estrategia de seguridad

Durante mucho tiempo, las copias de seguridad se consideraron principalmente una herramienta para recuperar archivos eliminados o solucionar fallas de hardware. Hoy, esa visión resulta insuficiente.

Los datos se han convertido en uno de los activos más importantes de cualquier organización y, al mismo tiempo, en uno de los principales objetivos de los ciberdelincuentes. Un ataque exitoso no necesariamente busca destruir la información; en muchos casos, busca impedir que la empresa pueda acceder a ella y utilizarla.

Por eso, proteger los respaldos también significa proteger la capacidad de recuperación de la organización.

Esto implica considerar aspectos como el control de acceso, la protección de las credenciales administrativas, la separación de los respaldos respecto de los sistemas productivos, las políticas de retención y, especialmente, las pruebas periódicas de restauración. No basta con que una plataforma informe que una tarea terminó correctamente. Es necesario comprobar que los datos pueden recuperarse de manera íntegra y que el proceso puede ejecutarse dentro del tiempo que el negocio necesita.

Una estrategia de recuperación efectiva tampoco debería depender de que una persona recuerde cómo funciona cada plataforma cuando ocurre una emergencia. Debe existir un proceso claro, documentado y probado que permita actuar con rapidez.

Porque cuando un incidente ocurre, el tiempo deja de ser un concepto abstracto. Cada hora sin acceso a los sistemas puede representar operaciones detenidas, empleados sin capacidad para trabajar, clientes afectados y pérdidas económicas.

Menos complejidad, más control

La respuesta no necesariamente consiste en eliminar todas las herramientas y utilizar una única plataforma para todo. Cada organización tiene necesidades diferentes y, en determinados escenarios, mantener varias tecnologías puede ser completamente válido.

La verdadera oportunidad está en dejar de administrar las copias de seguridad como elementos independientes y comenzar a gestionarlas como parte de una estrategia integral de protección.

Esto significa tener visibilidad sobre los activos, identificar qué información necesita mayor protección, conocer dónde están las copias, controlar quién puede administrarlas y establecer mecanismos que permitan comprobar periódicamente que la recuperación realmente funciona.

También significa evaluar si las herramientas que actualmente utiliza la empresa siguen aportando valor o si simplemente continúan activas porque nadie ha tenido tiempo de revisarlas.

La tecnología debe ayudar a reducir la incertidumbre, no aumentarla.

Por eso, antes de adquirir otra solución de respaldo, vale la pena hacer una pausa y analizar el entorno actual. Saber qué se está protegiendo, qué no, qué herramientas están duplicando funciones y qué tan preparada está la organización para recuperar sus operaciones puede revelar problemas que permanecen ocultos mientras todo funciona con normalidad.

Al final, una empresa no necesita presumir cuántas copias de seguridad tiene. Necesita tener la confianza de que su información crítica estará disponible cuando la necesite.

Porque el verdadero valor de una estrategia de respaldo no está en la cantidad de herramientas, servidores o terabytes almacenados. Está en la capacidad de mantener el control, responder ante un incidente y recuperar la operación sin poner en riesgo la continuidad del negocio.

Y cuando hablamos de ciberseguridad, esa capacidad puede ser tan importante como cualquier otra capa de protección.

El troyano de acceso remoto (RAT)

En conjunto, el cifrador, el ladrón de información y el troyano de acceso remoto (RAT) proporcionan a los ciberdelincuentes herramientas para la distribución de malware, el robo de credenciales y el acceso a largo plazo. Este tipo de paquete refleja una tendencia en la economía del cibercrimen hacia las ofertas de MaaS (Mailing as a Service) que combinan múltiples etapas de ataque en una sola suscripción. Muchos de estos paquetes han incluido un ladrón de información y un cifrador, un cargador o un RAT. Otro paquete común es un cargador, un cifrador y un RAT. Phantom Project destaca porque el cargador tradicional se reemplaza por un ladrón de información.

Phantom Stealer

El componente Phantom Stealer ha seguido evolucionando como plataforma de robo de identidad desde su aparición en 2025. Los desarrolladores ampliaron la segmentación de navegadores para incluir Chrome, Edge, Firefox y otros navegadores basados en Chromium y Gecko, y añadieron mayores capacidades de recopilación de datos. Se ha detectado Phantom Stealer v3.5.0 en múltiples campañas globales a lo largo de 2026, incluyendo operaciones de phishing dirigidas a personal de banca, manufactura, compras, logística y finanzas.

Los investigadores también han documentado cadenas de distribución cada vez más sofisticadas que utilizan cadenas de infección de varias etapas y técnicas de ejecución sin archivos diseñadas para eludir los controles de seguridad.

ColdFusion.....

La vulnerabilidad CVE-2026-48282 es crítica en Adobe ColdFusion y permite a atacantes no autenticados ejecutar código remoto en sistemas vulnerables. Los investigadores informan que los atacantes explotan esta vulnerabilidad enviando una solicitud HTTP especialmente diseñada. Esta solicitud les permite subir un archivo malicioso a una ubicación accesible a través de la web y ejecutarlo mediante el servidor web.

La vulnerabilidad afecta a la función de Servicios de Desarrollo Remoto (RDS) de ColdFusion. Según los informes, los atacantes pueden explotarla cuando los administradores habilitan RDS y deshabilitan la autenticación. RDS no está habilitado por defecto.

HoneyPots.....

Según la información obtenida a partir de la actividad de honeypots, los atacantes comenzaron a explotar la vulnerabilidad CVE-2026-48282 a las dos horas de que Adobe la hiciera pública. Varios informes también confirman su explotación activa en la práctica.

Esta vulnerabilidad tiene la máxima calificación de gravedad y solo requiere solicitudes de baja complejidad. Además, no requiere interacción del usuario, lo que aumenta el riesgo de una vulneración generalizada, especialmente para los servidores ColdFusion conectados a internet.

ColdFusion (2025.9,2023.20)

Las organizaciones que utilizan versiones vulnerables de ColdFusion (2025.9, 2023.20 y anteriores) corren el mayor riesgo si no han aplicado los parches. El riesgo aumenta cuando los administradores habilitan RDS y deshabilitan la autenticación de RDS.

Los atacantes pueden usar solicitudes HTTP manipuladas para cargar y ejecutar código malicioso. Una explotación exitosa puede conducir a la ejecución remota de código y, potencialmente, al compromiso total del servidor.

Los servicios de monitorización externos siguen identificando numerosas instancias de ColdFusion expuestas a internet. En consecuencia, las organizaciones se enfrentan a un mayor riesgo de ataques oportunistas, robo de datos, persistencia y otras vulnerabilidades.

El camino de la ciberseguridad

• Actualiza, Adobe ColdFusion a una versión corregida. Adobe ha publicado actualizaciones de seguridad para la vulnerabilidad CVE-2026-48282 y recomienda implementarlas lo antes posible.
• Asegúrese de que RDS esté deshabilitado si no es necesario. Si es imprescindible usar RDS, verifique que la autenticación RDS esté habilitada, ya que las vulnerabilidades reportadas requieren que RDS esté habilitado y la autenticación deshabilitada.
• Identifique las instancias de ColdFusion con acceso a Internet y aplique controles compensatorios, como restricciones de acceso a la red, mientras se lleva a cabo la aplicación de parches.
• Supervise la presencia de cargas de archivos inesperadas, modificaciones de archivos no autorizadas, artefactos a los que se acceda a través de la web y comportamientos inusuales de ColdFusion que puedan indicar una posible explotación.

¿Qué es el robo de credenciales y cómo funciona?

En pocas palabras, el robo de credenciales ocurre cuando un atacante roba el nombre de usuario y la contraseña de un usuario e inicia sesión en un servicio para suplantar su identidad. Es una de las formas más comunes de ciberataque porque, lamentablemente, las credenciales son muy fáciles de robar.

Los ataques de phishing son uno de los mecanismos más comunes para el robo de credenciales. Por ejemplo, una víctima de phishing puede recibir un correo electrónico que parece contener un mensaje importante de su banco. La víctima hace clic en el enlace del correo electrónico y es redirigida a un sitio web idéntico al de su banco. Al intentar iniciar sesión, los campos de nombre de usuario y contraseña recopilan su información.

Pero a veces el robo de credenciales es incluso más fácil. En varios estudios, los usuarios se han mostrado dispuestos a intercambiar sus credenciales de inicio de sesión por dinero, por dulces o simplemente porque se lo pidieron.

¿Cómo pueden las organizaciones prevenir el robo de credenciales?

Muchas técnicas de defensa contra el robo de credenciales están diseñadas principalmente para prevenir sus consecuencias. En otras palabras, una técnica como la autenticación multifactor (MFA) no impide que alguien robe credenciales. En cambio, neutraliza este vector de ataque al introducir un nuevo conjunto de credenciales que el atacante no puede robar fácilmente.

Por ejemplo, una técnica como la huella digital del dispositivo recopila la firma única del teléfono, portátil o ordenador de sobremesa de un usuario basándose en la versión de su sistema operativo, el navegador instalado, su ubicación física y otros factores. Un atacante puede robar las credenciales de un usuario, pero si no puede replicar la huella digital del dispositivo, se verá obligado a autenticarse mediante otro factor, como la biometría o una contraseña de un solo uso. Estos factores no son imposibles de robar (la verificación por SMS es extremadamente vulnerable), pero son más difíciles de obtener que el robo de credenciales en sí.

Por último, en lo que respecta a la prevención del robo de credenciales, la capacitación en seguridad informática es uno de los pocos métodos de defensa eficaces. Si los empleados pueden reconocer y marcar los correos electrónicos de phishing, será mucho más difícil robar sus credenciales.

¿Qué es el secuestro de sesión y cómo funciona?

El secuestro de sesión es una forma de suplantación de identidad que no se basa (o no se basa exclusivamente) en el robo de credenciales. En lugar de suplantar la identidad de un usuario a nivel de credenciales introduciendo un nombre de usuario y una contraseña robados, el atacante suplanta la identidad de un usuario que ya ha iniciado sesión en una aplicación o sitio web. En este caso, la credencial vulnerable es lo que se conoce como token de sesión.

Un token de sesión funciona como un pasaporte. Consiste en un código corto emitido por un servicio que indica que este usuario tiene credenciales válidas, ha superado la autenticación multifactor y no presenta comportamientos inusuales. Si su organización utiliza el inicio de sesión único (SSO), un token de sesión le permite acceder a un servicio específico con un solo inicio de sesión. En lugar de solicitarle un nombre de usuario y una contraseña, los servicios conectados verifican la presencia de un token de sesión válido y, a continuación, inician sesión automáticamente.

Si un atacante logra interceptar el token de sesión, adivinarlo por fuerza bruta o generar un token válido con herramientas especializadas, puede engañar al sistema haciéndole creer que es un usuario legítimo. Es importante destacar que este método no activará la autenticación multifactor (MFA), ya que el token contiene información que confirma que estos factores ya han sido evaluados.

¿Cómo roban o abusan los atacantes de los tokens de sesión?

Los atacantes suelen utilizar un ataque conocido como man-in-the-middle "MITM" para robar tokens de sesión. Si, un usuario trabaja desde una cafetería. La red Wi-Fi de la cafetería ha sido comprometida, lo que permite a un atacante interceptar el tráfico web. Cuando el usuario se autentica con un servicio, el atacante puede interceptar su token de sesión y usarlo para realizar un ataque de secuestro de sesión.

El malware también puede utilizarse para realizar ataques de secuestro de sesión. Si un atacante logra inyectar malware en el navegador de un usuario, puede interceptar todo el tráfico web, incluidos los tokens de sesión. Alternativamente, los atacantes pueden intentar aprovechar las vulnerabilidades de los sitios web mediante métodos como el cross-site scripting. Este método obliga a un sitio web de confianza a enviar un script malicioso a un usuario que ha iniciado sesión, el cual extrae el token de sesión y lo devuelve al atacante.

Por último, los atacantes podrían generar sus propios tokens de sesión válidos. Si una organización utiliza un método inseguro para generar tokens, un atacante podría predecir cómo será un token válido. Esto le permitiría secuestrar una sesión sin desplegar malware ni explotar vulnerabilidades.

¿Cómo pueden las organizaciones prevenir y detectar el secuestro de sesiones?

Existen dos vías principales para mitigar los ataques de secuestro de sesión: la prevención y la detección. Prevenir los ataques de secuestro de sesión implica reforzar la infraestructura de conexión y de sesión. Detectar el secuestro de sesión implica identificar el comportamiento sospechoso asociado a una sesión secuestrada.

Prevención del secuestro de sesión:

Unos pocos pasos relativamente sencillos pueden aumentar drásticamente la dificultad de los ataques de secuestro de sesión, lo que provoca que los atacantes busquen objetivos más fáciles.

• Aplicación del cifrado: Cifrar el tráfico, incluidas las cookies de sesión, con protocolos como TLS/SSL garantizará que los tokens interceptados resulten inútiles para los atacantes.
• Gestión de sesiones: Si un token caduca tras 15 minutos de inactividad, un atacante dispondrá de un margen de tiempo mucho menor para explotar una credencial capturada.
• Capacitación en sensibilización: Trabajar desde una cafetería es una idea atractiva, pero el wifi público nunca es seguro. Capacite a los usuarios para que utilicen siempre una VPN.
• Detección de secuestro de sesión: Las sesiones secuestradas no se comportan como los usuarios normales. Al agregar un conjunto de reglas a su herramienta SIEM, puede detectar ataques de secuestro de sesión antes de que los atacantes dañen sus archivos o roben información confidencial.
• Monitoreo del comportamiento: Las sesiones secuestradas se comportan de manera inusual. Intentarán cifrar, eliminar, mover o extraer archivos. También podrían intentar acceder a aplicaciones a las que no tienen acceso o escalar sus privilegios. Aprenda a reconocer estas señales.
• Monitoreo de dispositivos: Los dispositivos secuestrados también mostrarán comportamientos inusuales. Busque usuarios que cambien repentinamente de ubicación o de dispositivo de maneras imposibles (por ejemplo, viajes instantáneos de Nueva York a Londres).

• Supervisión de sesiones: Por último, las sesiones secuestradas resultarán muy sospechosas al ser examinadas minuciosamente. Un ejemplo clásico es el de un mismo usuario que abre dos sesiones diferentes desde dos sistemas distintos.

¿Cómo roban o abusan los atacantes de los tokens de sesión?

Los atacantes suelen utilizar un ataque conocido como man-in-the-middle "MITM" para robar tokens de sesión. Si, un usuario trabaja desde una cafetería. La red Wi-Fi de la cafetería ha sido comprometida, lo que permite a un atacante interceptar el tráfico web. Cuando el usuario se autentica con un servicio, el atacante puede interceptar su token de sesión y usarlo para realizar un ataque de secuestro de sesión.

El malware también puede utilizarse para realizar ataques de secuestro de sesión. Si un atacante logra inyectar malware en el navegador de un usuario, puede interceptar todo el tráfico web, incluidos los tokens de sesión. Alternativamente, los atacantes pueden intentar aprovechar las vulnerabilidades de los sitios web mediante métodos como el cross-site scripting. Este método obliga a un sitio web de confianza a enviar un script malicioso a un usuario que ha iniciado sesión, el cual extrae el token de sesión y lo devuelve al atacante.

Por último, los atacantes podrían generar sus propios tokens de sesión válidos. Si una organización utiliza un método inseguro para generar tokens, un atacante podría predecir cómo será un token válido. Esto le permitiría secuestrar una sesión sin desplegar malware ni explotar vulnerabilidades.

El futuro de la seguridad comienza antes del malware

• Robo de credenciales: El robo de credenciales ocurre cuando un atacante roba datos de inicio de sesión, como el nombre de usuario y la contraseña. El secuestro de sesión ocurre cuando un atacante roba o manipula un token de sesión válido después de que el usuario ya ha iniciado sesión.
• Autenticación multifactor: En algunos casos, el secuestro de sesión puede eludir la autenticación multifactor (MFA) porque el atacante abusa de una sesión ya autenticada. Si el token de sesión indica que la MFA ya se ha completado, es posible que la aplicación no la solicite de nuevo.
• Token de sesión: Es un identificador digital temporal que indica a una aplicación que un usuario ya ha iniciado sesión correctamente.

El problema de los registros de seguridad modernos

La mayoría de los equipos de seguridad cuentan con acceso a grandes cantidades de datos. Sin embargo, obtener información útil a partir de esos registros suele implicar:

• Conocer SQL y lenguales de consulta especializados.
• Entender múltiples esquemas de datos.
• Ajustar consultas manualmente.
• Correlacionar información entre diferentes fuentes.
• Invertir tiempo valioso en tareas repetitivas.

En un escenario donde cada minuto cuenta durante una investigación, estas limitaciones pueden retrasar significativamente la deteccion y la respuesta ante amenazas.

La IA cambia las reglas del juego

La incorporación de inteligencia artificial al análisis de registros permite que los analistas interactúen con los datos utilizando lenguaje natural.

En lugar de escribir consultas complejas, ahora es posible formular preguntas como:

• "Muestrame los intentos de inicio de sesión fallidos de las últimas 24 horas."
• "¿Qué ususarios registraron múltiples fallos de autenticación?"
• "¿Qué dispositivos se comunicaron con dominios maliciosos conocidos?"

La plataforma interpreta la intención de la consulta, genera automáticamente las búsquedas necesarias y presenta los resultados de forma clara y comprensible.

El resultado es simple pero poderoso: los analistas pasan menos tiempo construyendo consultas y más tiempo investigando amenazas.

De la pregunta a la respuesta en minutos

Uno de los mayores beneficios de la búsqueda de registros impulsada por IA es la reducción drástica en los tiempos de investigación.

Tradicionalmente, una consulta compleja podía requerir múltiples iteraciones antes de obtener resultados útiles. Con inteligencia artificial, los investigadores pueden:

• Obtener respuestas inmediatas.
• Refinar busquedas mediante conversaciones naturales.
• Profundizar en los hallazgos sin cambiar de herramienta.
• Visualizar las consultas generadas para validación técnica.

Esta capacidad resulta especialmente valiosa durante investigaciones activas, donde la velocidad puede marcar la diferencia entre contener una amenaza o permitir que se propague.

Democratizando el acceso a la inteligencia de seguridad

No todos los miembros de un equipo de seguridad son expertos en bases de datos o análisis avanzado de registros.

La búsqueda impulsada por IA elimina esa barrera técnica y permite que más profesionales participen activamente en las investigaciones.

• Esto genera beneficios importantes:
• Menor dependencia de especialistas.
• Reducción de cuellos de botella operativos.
• Mayor colaboración entre equipos.
• Incremento de la productividad general del SOC.

La información deja de estar reservada para unos pocos expertos y se vuelve accesible para toda la organización.

Seguridad sin comprometer la privacidad

Uno de los principales desafíos de las plataformas modernas es mantener la separación segura de datos entre diferentes clientes y entornos.

Los modelos más avanzados incorporan mecanismos de seguridad multinivel, incluyendo:

• Seguridad a nivel de fila (Row-Level Security).
• Aislamiento completo entre organizaciones.
• Controles estrictos de acceso.
• Validación continua de consultas.
• Registro completo para auditoría y cumplimiento.

Esto permite aprovechar el poder de la inteligencia artificial sin comprometer la confidencialidad de la información.

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

PCCOM Mayorista

Lleva tu ciberseguridad al siguiente nivel

www.pccommayorista.com

Contactar ahora

¿Cuál es la amenaza?

CVE-2026-9089 es una vulnerabilidad en el agente de ConnectWise Automate donde el agente no verifica completamente la autenticidad/integridad de los componentes obtenidos durante la carga de complementos y las operaciones de autoactualización. Esto coincide con CWE-494 (Descarga de código sin verificación de integridad), lo que significa que los componentes pueden ejecutarse sin someterse a una validación completa de integridad. ConnectWise describe esto como una validación de integridad inadecuada durante la adquisición de componentes del agente, lo que crea una oportunidad para que un atacante introduzca componentes manipulados en condiciones relevantes.

¿Por qué es digno de mención?

Esto es relevante porque la vulnerabilidad tiene una calificación CVSS de 8.8 (Alta) y se considera de baja complejidad, sin requerir privilegios ni interacción del usuario, utilizando un contexto de ataque de red adyacente. Además, las métricas publicadas indican un impacto potencial en la confidencialidad, la integridad y la disponibilidad, lo que aumenta la probabilidad de una vulneración grave. Esto resulta especialmente preocupante en entornos de proveedores de servicios gestionados (MSP), donde las organizaciones implementan ampliamente agentes de Automate en los puntos finales gestionados.

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

PCCOM Mayorista

Lleva tu ciberseguridad al siguiente nivel

www.pccommayorista.com

Contactar ahora