{"id":12162,"date":"2026-04-11T00:01:00","date_gmt":"2026-04-11T00:01:00","guid":{"rendered":"https:\/\/www.securitytoday.de\/2026\/04\/11\/infostealer-2026-por-que-los-cookies-de-sesion-robados-anulan-la-mfa\/"},"modified":"2026-07-04T13:44:28","modified_gmt":"2026-07-04T13:44:28","slug":"infostealer-2026-por-que-los-cookies-de-sesion-robados-anulan-la-mfa","status":"publish","type":"post","link":"https:\/\/www.securitytoday.de\/es\/2026\/04\/11\/infostealer-2026-por-que-los-cookies-de-sesion-robados-anulan-la-mfa\/","title":{"rendered":"Infostealer 2026: Por qu\u00e9 los cookies de sesi\u00f3n robados anulan la MFA"},"content":{"rendered":"<p style=\"margin-bottom:12px;\"><span style=\"background:#69d8ed;color:#fff;padding:4px 14px;border-radius:20px;font-size:0.85em;font-weight:600;\">&#9201; 8 Min. de lectura<\/span><\/p>\n<p><strong>Un desarrollador en una filial del \u00edndice DAX recibe en febrero un archivo ZIP aparentemente inocuo a trav\u00e9s de LinkedIn. Lo abre, y nada ocurre. Dos semanas despu\u00e9s, su SOC le avisa: sus cookies de sesi\u00f3n est\u00e1n a la venta en un mercado en ruso, incluyendo una sesi\u00f3n activa de Microsoft 365. MFA, Acceso Condicional, Geofencing&#8230; todo ha sido burlado. Bienvenidos a la realidad de 2026: los infostealers son ya la amenaza m\u00e1s subestimada para las empresas y se escapan precisamente de los controles en los que los CISO han invertido m\u00e1s durante los \u00faltimos cinco a\u00f1os.<\/strong><\/p>\n<h2 style=\"line-height:1.5;\">Lo m\u00e1s importante en resumen<\/h2>\n<ul>\n<li><strong>El malware Infostealer roba de forma espec\u00edfica cookies de sesi\u00f3n, tokens y credenciales:<\/strong> RedLine, Lumma, Raccoon, Vidar y varios derivados llevan a\u00f1os activos y evolucionando como servicio.<\/li>\n<li><strong>Las cookies de sesi\u00f3n robadas pueden eludir la autenticaci\u00f3n multifactor (MFA):<\/strong> Quien posee una sesi\u00f3n v\u00e1lida ya no necesita autenticarse nuevamente. La autenticaci\u00f3n condicional solo se activa cuando se inicia un nuevo flujo de inicio de sesi\u00f3n.<\/li>\n<li><strong>Mercados como Russian Market y sus sucesores en Genesis comercializan millones de credenciales al mes:<\/strong> Los atacantes compran espec\u00edficamente seg\u00fan el dominio, la industria o el pa\u00eds. El acceso a una empresa puede costar entre 10 y 300 euros.<\/li>\n<li><strong>Los sistemas EDR suelen detectar los Infostealers demasiado tarde:<\/strong> Este tipo de malware permanece en el sistema apenas unos minutos, exfiltra la informaci\u00f3n y luego se elimina por s\u00ed mismo. Muchas detecciones tradicionales no se activan a tiempo.<\/li>\n<li><strong>La defensa debe ser organizativa, no \u00fanicamente t\u00e9cnica:<\/strong> Limitar la duraci\u00f3n de las sesiones, establecer confianza en los dispositivos, implementar evaluaciones continuas del acceso y utilizar m\u00e9todos de autenticaci\u00f3n resistentes al phishing son los componentes esenciales para 2026.<\/li>\n<\/ul>\n<h2 style=\"line-height:1.5;\">C\u00f3mo funciona realmente un infostealer en 2026<\/h2>\n<p>La ingenier\u00eda de los infostealers modernos no radica en la sofisticaci\u00f3n del ataque individual, sino en la industrializaci\u00f3n de la carga \u00fatil. Un creador de malware tipo RedLine o Lumma se ofrece como servicio a trav\u00e9s de Telegram; las suscripciones mensuales oscilan entre 100 y 300 d\u00f3lares. El cliente recibe un archivo ejecutable firmado de forma personalizada, una interfaz para configurar los destinos de exfiltraci\u00f3n de datos, acceso a un panel de control con la informaci\u00f3n robada y, en muchos casos, incluso soporte mediante un chatbot impulsado por inteligencia artificial para resolver dudas sobre la distribuci\u00f3n. Esto no es un hobby de aficionados. Es un mercado SaaS con servicio al cliente.<\/p>\n<p>El proceso en el sistema de la v\u00edctima suele ser sencillo y, precisamente por eso, extremadamente efectivo. El infostealer se introduce mediante un cargador -a menudo, un programa descargado ilegalmente, un instalador falso de herramientas conocidas o un archivo ZIP compartido en redes sociales-. Una vez ejecutado, el malware busca en el equipo las rutas est\u00e1ndar de navegadores como Chromium y Firefox, as\u00ed como de aplicaciones como Discord, Telegram, Steam, billeteras cripto y clientes FTP. Extrae las bases de datos cifradas de cookies, las descifra utilizando la clave DPAPI de Windows del usuario actual, las comprime en un archivo ZIP, env\u00eda este paquete a un servidor de comando y control y finaliza su ejecuci\u00f3n. En la mayor\u00eda de los casos, todo el procedimiento dura menos de dos minutos.<\/p>\n<p>Posteriormente, los datos aparecen en alguno de los mercados clandestinos m\u00e1s conocidos. Russian Market ha sido durante a\u00f1os el punto de referencia para credenciales corporativas; los sucesores del mercado Genesis, confiscado por el FBI en 2023, siguen abasteciendo ese mismo nicho. Los atacantes filtran all\u00ed seg\u00fan la extensi\u00f3n del dominio, la antig\u00fcedad de las cookies y el tipo de sesi\u00f3n disponible. Un conjunto de datos que incluya sesiones recientes de Microsoft 365 junto con una cuenta de dominio perteneciente a una filial del \u00edndice DAX puede alcanzar valores de tres o cuatro cifras, dependiendo de su calidad y contexto.<\/p>\n<blockquote style=\"border-left:4px solid #69d8ed;margin:32px 0;padding:20px 24px;background:#fafafa;border-radius:0 8px 8px 0;font-size:1.1em;line-height:1.6;color:#333;\">\n<p>\u00abEn nuestra base de clientes observamos una y otra vez el mismo patr\u00f3n: la autenticaci\u00f3n multifactor est\u00e1 activada correctamente, el acceso condicional est\u00e1 implementado y existe registro de dispositivos; sin embargo, basta con un \u00fanico port\u00e1til personal infectado con un infostealer para vulnerar por completo la barrera de seguridad. La problem\u00e1tica de las cookies de sesi\u00f3n a\u00fan no ha calado en la conciencia de la mayor\u00eda de los CISO.\u00bb<\/p>\n<p><cite style=\"display:block;margin-top:12px;font-size:0.8em;color:#888;font-style:normal;\"> \u2013 Comentario t\u00edpico de equipos alemanes de respuesta a incidentes, 2025<\/cite><\/p>\n<\/blockquote>\n<h2 style=\"line-height:1.5;\">Por qu\u00e9 la autenticaci\u00f3n multifactor no resuelve el problema por s\u00ed sola<\/h2>\n<p>La creencia de que la autenticaci\u00f3n multifactor (MFA) hace inmunes a los ataques de phishing es, en realidad, err\u00f3nea. La MFA tradicional -SMS, notificaciones push y c\u00f3digos TOTP- \u00fanicamente autentica un proceso de inicio de sesi\u00f3n. Una vez que este proceso se completa con \u00e9xito, el sistema genera una sesi\u00f3n. Por lo general, esa sesi\u00f3n permanece activa entre ocho horas y 90 d\u00edas, dependiendo de la configuraci\u00f3n. Quien durante ese per\u00edodo robe las cookies de sesi\u00f3n y las inserte en su propio equipo podr\u00e1 acceder directamente a la cuenta sin necesidad de ning\u00fan otro paso de autenticaci\u00f3n: ni un mensaje emergente de MFA, ni preguntas de seguridad, ni controles de acceso condicional.<\/p>\n<p>En 2024, Microsoft introdujo la Evaluaci\u00f3n Continua del Acceso (CAE) para Entra ID con el objetivo de cerrar precisamente esta brecha. CAE implica que el proveedor de identidades y las aplicaciones supervisan continuamente diversas condiciones y pueden invalidar las sesiones en cuesti\u00f3n de segundos si detectan comportamientos an\u00f3malos. Sin embargo, en la pr\u00e1ctica, CAE a\u00fan no est\u00e1 completamente desplegado en 2026. Aunque muchos clientes empresariales ya la han habilitado, la compatibilidad por parte de las aplicaciones sigue siendo limitada. Implementar CAE en Office 365, Teams, Exchange Online y SharePoint permite cerrar numerosos vectores de ataque, pero no todos.<\/p>\n<p>La soluci\u00f3n m\u00e1s eficaz radica en una autenticaci\u00f3n resistente al phishing basada en FIDO2. Las claves de acceso y las llaves de seguridad f\u00edsicas detienen los ataques que se apoyan en el robo de credenciales justo donde deben hacerlo: vinculan criptogr\u00e1ficamente la autenticaci\u00f3n al dispositivo y evitan el reutilizaci\u00f3n de las credenciales simplemente porque estas est\u00e9n disponibles. No obstante, las claves de acceso no protegen contra las cookies de sesi\u00f3n ya robadas. La combinaci\u00f3n ideal consiste en un inicio de sesi\u00f3n resistente al phishing, una duraci\u00f3n breve de la sesi\u00f3n y una invalidaci\u00f3n continua.<\/p>\n<h2 style=\"line-height:1.5;\">Por qu\u00e9 las soluciones EDR no cierran completamente la brecha<\/h2>\n<p>En teor\u00eda, los productos modernos de EDR son capaces de detectar comportamientos propios de los infostealers. Sin embargo, en la pr\u00e1ctica, las tasas de detecci\u00f3n de nuevas variantes de estos programas suelen ser decepcionantes durante las primeras semanas. La raz\u00f3n radica en el modelo de polimorfismo: los creadores de infostealers cifran los archivos ejecutables cada vez que se distribuyen, lo que hace que cada instancia tenga un hash \u00fanico. En este escenario, la detecci\u00f3n basada en firmas falla por completo, y la detecci\u00f3n basada en el comportamiento tambi\u00e9n se ve dificultada debido al corto per\u00edodo de ejecuci\u00f3n.<\/p>\n<p>Adem\u00e1s, muchas infecciones ocurren en dispositivos personales. El BYOD (traer tu propio dispositivo), el teletrabajo, el uso de port\u00e1tiles para proyectos personales o incluso equipos de gaming con software pirateado -todos ellos constituyen canales que quedan fuera del alcance de la protecci\u00f3n EDR de una empresa. A pesar de ello, las credenciales y cookies robadas acaban en mercados clandestinos, y las sesiones siguen funcionando incluso si el dispositivo corporativo original permanece limpio.<\/p>\n<p>Esto nos lleva a una verdad inc\u00f3moda: en un mundo dominado por los infostealers, ya no es suficiente asumir que un sistema EDR moderno combinado con autenticaci\u00f3n multifactorial (MFA) y cumplimiento de pol\u00edticas de seguridad de los dispositivos sea suficiente. Los CISO deben partir del principio de que, en cualquier momento, una cookie de sesi\u00f3n v\u00e1lida de uno de sus usuarios podr\u00eda reutilizarse en un dispositivo ajeno, y la infraestructura debe estar preparada para detectar y responder ante ese tipo de situaciones.<\/p>\n<h2 style=\"line-height:1.5;\">La pila de defensa para 2026<\/h2>\n<p><strong>Mantener corta la duraci\u00f3n de la sesi\u00f3n.<\/strong> La medida m\u00e1s sencilla es tambi\u00e9n la m\u00e1s agresiva. Microsoft, Okta, Google y otros grandes proveedores de identidad permiten pol\u00edticas de sesi\u00f3n con una duraci\u00f3n m\u00e1xima de entre horas y d\u00edas. Quien establezca una duraci\u00f3n de cuatro a ocho horas y exija una nueva autenticaci\u00f3n para acciones privilegiadas reduce el intervalo durante el cual las cookies robadas pueden ser utilizadas a una fracci\u00f3n m\u00ednima.<\/p>\n<p><strong>Activar la evaluaci\u00f3n continua del acceso.<\/strong> Cuando est\u00e1 disponible, la evaluaci\u00f3n continua del acceso (CAE) es la medida m\u00e1s eficaz contra el robo de sesiones. En Entra ID, CAE es configurable y, en 2026, la mayor\u00eda de las cargas de trabajo de Microsoft 365 ya admiten la invalidaci\u00f3n basada en CAE. La condici\u00f3n indispensable es que todas las aplicaciones cliente sean compatibles con CAE, lo que en entornos heterog\u00e9neos constituye una tarea de auditor\u00eda.<\/p>\n<p><strong>Fiduciabilidad del dispositivo y vinculaci\u00f3n del dispositivo.<\/strong> Los sistemas modernos de identidad admiten la vinculaci\u00f3n del dispositivo para las sesiones. Una sesi\u00f3n vinculada a un dispositivo no puede reutilizarse en otro porque falta la clave criptogr\u00e1fica espec\u00edfica del dispositivo. Beyond Identity, Cisco Duo, Okta Device Trust y Microsoft Intune ofrecen esta funcionalidad en distintos niveles de implementaci\u00f3n. Quien proteja las aplicaciones cr\u00edticas mediante vinculaci\u00f3n del dispositivo convierte los ataques de infostealers en in\u00fatiles para esos escenarios.<\/p>\n<p><strong>Monitorizaci\u00f3n de credenciales en fuentes de la dark web.<\/strong> Servicios como Recorded Future, Flare, Hudson Rock y KELA escanean continuamente los mercados relevantes en busca de dominios corporativos y env\u00edan alertas cuando aparecen nuevos conjuntos de datos. Quien integre este monitoreo en su SOC suele recibir la primera advertencia antes de que el atacante aproveche la sesi\u00f3n. La integraci\u00f3n con SIEM y SOAR es una pr\u00e1ctica est\u00e1ndar en 2026.<\/p>\n<p><strong>Autenticaci\u00f3n resistente al phishing.<\/strong> Las claves de acceso y los tokens de hardware FIDO2 son la base de cualquier dise\u00f1o Zero Trust para 2026. No resuelven por s\u00ed solas el problema de las cookies de sesi\u00f3n, pero reducen dr\u00e1sticamente la fase inicial de la cadena de ataque. Sin phishing de contrase\u00f1as, sin ataques de fatiga de MFA, sin c\u00f3digos TOTP robados &#8211; y, por ende, menos acceso inicial para todo lo que venga despu\u00e9s.<\/p>\n<h2 style=\"line-height:1.5;\">Lo que el BKA y el BSI prev\u00e9n sobre la situaci\u00f3n de los infostealers para 2025\/26<\/h2>\n<p>Los informes de situaci\u00f3n elaborados por las autoridades alemanas dibujan un panorama claro para 2025 y 2026: los ataques basados en infostealers se encuentran entre las amenazas m\u00e1s activas contra las empresas alemanas y son considerados por las fuerzas del orden y las autoridades de ciberseguridad como un problema estructural. La observaci\u00f3n m\u00e1s importante es que casi todos los casos documentados de ransomware de los \u00faltimos doce meses que estaban sujetos a la obligaci\u00f3n de notificaci\u00f3n KRITIS no comenzaron con una intrusi\u00f3n directa en los sistemas empresariales. Por el contrario, se iniciaron con credenciales robadas mediante infostealers en sistemas de terceros y utilizadas semanas despu\u00e9s como vector de entrada espec\u00edfico.<\/p>\n<p>La desvinculaci\u00f3n entre la compromisi\u00f3n inicial y el ataque real constituye el aspecto m\u00e1s complejo para el rastreo forense. Hoy en d\u00eda, un infostealer puede infectar un port\u00e1til personal, extraer las cookies almacenadas del navegador de un usuario de Microsoft 365 y, semanas despu\u00e9s, el atacante que adquiere esas cookies en un mercado clandestino no mantiene ninguna conexi\u00f3n t\u00e9cnica con la infecci\u00f3n original. Los equipos de seguridad perciben el acceso como una sesi\u00f3n leg\u00edtima de Office 365 procedente de una direcci\u00f3n IP geogr\u00e1ficamente plausible y correctamente autenticada. Sin telemetr\u00eda proveniente del entorno del mercado clandestino, este tipo de acceso no puede identificarse como malicioso.<\/p>\n<p>Consecuencia para la organizaci\u00f3n interna: la defensa contra los infostealers no es un proyecto que pueda abordarse de forma aislada en el departamento de gesti\u00f3n de identidades y accesos (IAM), en el SOC o en el equipo de endpoints. Afecta simult\u00e1neamente a la gesti\u00f3n de identidades, la administraci\u00f3n de endpoints, la telemetr\u00eda del SOC, la obtenci\u00f3n de inteligencia sobre amenazas, las pol\u00edticas de recursos humanos y el departamento jur\u00eddico. Quien limite la lucha contra estos programas maliciosos \u00fanicamente a uno de esos silos perder\u00e1 terreno.<\/p>\n<p>En la pr\u00e1ctica, esto implica que los CISO deben coordinar al menos cuatro \u00e1reas que, en muchas organizaciones, a\u00fan trabajan de manera estrictamente separada. En primer lugar, el equipo encargado de las pol\u00edticas de sesiones y la configuraci\u00f3n de CAE. En segundo lugar, el equipo de endpoints, responsable del control de confianza de los dispositivos y de la telemetr\u00eda EDR. En tercer lugar, el SOC, para la correlaci\u00f3n y el ingenierio de detecci\u00f3n. Y, por \u00faltimo, el \u00e1rea de inteligencia sobre amenazas, dedicada al monitoreo de la web oscura y a la emisi\u00f3n de alertas sobre credenciales comprometidas. Aquellos que integren estas cuatro funciones en una matriz com\u00fan de respuesta a incidentes mejoran de manera tangible su velocidad de reacci\u00f3n y reducen significativamente el tiempo promedio que una cookie robada permanece en el sistema productivo.<\/p>\n<p>La buena noticia es que esta transici\u00f3n no requiere nuevas herramientas ni presupuesto adicional. Lo que s\u00ed necesita es una asignaci\u00f3n clara de responsabilidades, m\u00e9tricas compartidas y el compromiso de gestionar la defensa contra los infostealers como un programa independiente, en lugar de relegarlo a un segundo plano dentro de los equipos individuales.<\/p>\n<h2 style=\"line-height:1.5;\">Lo m\u00e1s importante en resumen<\/h2>\n<p><strong>Familias t\u00edpicas de stealer en 2026:<\/strong> RedLine, Lumma, Raccoon v2, Vidar, Stealc, Rhadamanthys. Todas disponibles como servicio (MaaS).<\/p>\n<p><strong>Canales t\u00edpicos de exfiltraci\u00f3n:<\/strong> Bots de Telegram, Cloudflare Workers, hosts web comprometidos, as\u00ed como la infraestructura C2 directa.<\/p>\n<p><strong>Mercados:<\/strong> Russian Market, Exchange.sh, 2easy, adem\u00e1s de diversos canales de Telegram para la reventa r\u00e1pida.<\/p>\n<p><strong>Rango de precios por cada conjunto de datos corporativos:<\/strong> Entre 10 y 300 euros, con recargos adicionales por tokens de Office 365, accesos VPN y cuentas con privilegios elevados.<\/p>\n<p><strong>Tiempo medio hasta la detecci\u00f3n sin monitoreo del dark web:<\/strong> Seg\u00fan los expertos en respuesta a incidentes, suele ser de varias semanas, a menudo hasta despu\u00e9s de un ataque secundario.<\/p>\n<p><strong>Medidas de defensa efectivas:<\/strong> Sesiones de corta duraci\u00f3n, CAE, confianza en el dispositivo, autenticaci\u00f3n resistente al phishing, monitoreo de credenciales y acceso condicional con puntuaci\u00f3n de riesgo.<\/p>\n<h2>Preguntas frecuentes<\/h2>\n<details style=\"border:1px solid #e9ecef;border-radius:6px;margin-bottom:8px;background:#f8f9fa;\">\n<summary style=\"padding:14px 18px;cursor:pointer;font-weight:600;text-align:left;color:#69d8ed;\"><strong>\u00bfPor qu\u00e9 no basta con la autenticaci\u00f3n multifactor (MFA) para detener los ataques de infostealers?<\/strong><\/summary>\n<p style=\"padding:14px 20px 18px;color:#333;line-height:1.7;\">La MFA protege el proceso de inicio de sesi\u00f3n, pero no la sesi\u00f3n que se genera despu\u00e9s. Un infostealer roba cookies de sesi\u00f3n v\u00e1lidas del sistema de la v\u00edctima. El atacante utiliza esas cookies en su propio dispositivo y toma el control de la sesi\u00f3n activa, sin que el sistema de identidad registre un nuevo inicio de sesi\u00f3n. La MFA solo vuelve a entrar en acci\u00f3n cuando la sesi\u00f3n caduca o es invalidada por un sistema de detecci\u00f3n de sesiones comprometidas (CAE).<\/p>\n<\/details>\n<details style=\"border:1px solid #e9ecef;border-radius:6px;margin-bottom:8px;background:#f8f9fa;\">\n<summary style=\"padding:14px 18px;cursor:pointer;font-weight:600;text-align:left;color:#69d8ed;\"><strong>\u00bfSon las claves de acceso una soluci\u00f3n contra los infostealers?<\/strong><\/summary>\n<p style=\"padding:14px 20px 18px;color:#333;line-height:1.7;\">Las claves de acceso protegen la autenticaci\u00f3n inicial y eliminan el robo de credenciales como vector de entrada. Sin embargo, no resuelven el problema de las cookies de sesi\u00f3n ya robadas. Quien implementa claves de acceso reduce dr\u00e1sticamente la superficie de ataque, pero debe complementar esta medida con l\u00edmites en la duraci\u00f3n de las sesiones, sistemas de detecci\u00f3n de sesiones comprometidas (CAE) y vinculaci\u00f3n de dispositivos para cerrar la v\u00eda de reutilizaci\u00f3n de las cookies.<\/p>\n<\/details>\n<details style=\"border:1px solid #e9ecef;border-radius:6px;margin-bottom:8px;background:#f8f9fa;\">\n<summary style=\"padding:14px 18px;cursor:pointer;font-weight:600;text-align:left;color:#69d8ed;\"><strong>\u00bfCon qu\u00e9 rapidez puede reaccionar un SOC ante un incidente relacionado con un infostealer?<\/strong><\/summary>\n<p style=\"padding:14px 20px 18px;color:#333;line-height:1.7;\">Mediante la monitorizaci\u00f3n del dark web y la integraci\u00f3n automatizada con SIEM, es posible responder en cuesti\u00f3n de horas. Sin estos componentes, un SOC suele detectar la compromisi\u00f3n solo cuando el atacante realiza actividades sospechosas, como configurar reglas de correo electr\u00f3nico, realizar descargas inusuales o intentar ampliar sus privilegios. En esos casos, a menudo ya han transcurrido d\u00edas o semanas.<\/p>\n<\/details>\n<details style=\"border:1px solid #e9ecef;border-radius:6px;margin-bottom:8px;background:#f8f9fa;\">\n<summary style=\"padding:14px 18px;cursor:pointer;font-weight:600;text-align:left;color:#69d8ed;\"><strong>\u00bfQu\u00e9 papel desempe\u00f1an los dispositivos personales en el problema de los infostealers?<\/strong><\/summary>\n<p style=\"padding:14px 20px 18px;color:#333;line-height:1.7;\">Un papel muy importante. Seg\u00fan los datos actuales de respuesta a incidentes, la mayor\u00eda de las infecciones exitosas ocurren en dispositivos privados que tambi\u00e9n se utilizan para fines laborales. Limitarse a garantizar el cumplimiento de pol\u00edticas de seguridad en los equipos corporativos no es suficiente mientras los usuarios puedan acceder a recursos empresariales desde sistemas personales. En 2026, la \u00fanica estrategia realmente efectiva es mantener una estricta separaci\u00f3n entre dispositivos personales y corporativos o implementar la vinculaci\u00f3n de dispositivos.<\/p>\n<\/details>\n<details style=\"border:1px solid #e9ecef;border-radius:6px;margin-bottom:8px;background:#f8f9fa;\">\n<summary style=\"padding:14px 18px;cursor:pointer;font-weight:600;text-align:left;color:#69d8ed;\"><strong>\u00bfQu\u00e9 prioridad deber\u00eda tener la defensa contra los infostealers en la hoja de ruta de seguridad para 2026?<\/strong><\/summary>\n<p style=\"padding:14px 20px 18px;color:#333;line-height:1.7;\">Una prioridad alta. Esta modalidad de ataque es escalable, econ\u00f3mica para los atacantes y evade las inversiones tradicionales en seguridad. Los CISO que en los \u00faltimos a\u00f1os han invertido mucho en MFA, EDR y gesti\u00f3n de identidades deben abordar ahora expl\u00edcitamente el modelo de sesiones. Es decir, reducir la duraci\u00f3n de las sesiones, activar sistemas de detecci\u00f3n de sesiones comprometidas (CAE), introducir mecanismos de confianza en los dispositivos y establecer una vigilancia constante del dark web. Se requiere un enfoque integral, no solo un \u00fanico componente.<\/p>\n<\/details>\n<h2 style=\"line-height:1.5;\">Lectura recomendada<\/h2>\n<p>&rarr; <a href=\"https:\/\/www.securitytoday.de\/es\/2026\/04\/06\/ransomware-2026-empresas-pago-rescate\/\">Ransomware 2026: Qu\u00e9 ocurre si las empresas pagan y qu\u00e9 si no lo hacen<\/a><\/p>\n<p>&rarr; <a href=\"https:\/\/www.securitytoday.de\/es\/2026\/04\/05\/criptografia-poscuantica-empresas-cifrado-migracion\/\">Criptograf\u00eda post-cu\u00e1ntica: Por qu\u00e9 las empresas deben actualizar ya su sistema de cifrado<\/a><\/p>\n<p>&rarr; <a href=\"https:\/\/www.securitytoday.de\/es\/2026\/04\/04\/ataques-deepfake-alta-direccion-voces-ia-fraude\/\">Ataques con deepfake dirigidos a la alta direcci\u00f3n: C\u00f3mo las voces generadas por IA pueden robar millones<\/a><\/p>\n<p style=\"text-align:right;\"><em>Fuente de la imagen de portada: Pexels \/ Sora Shimazaki (px:5935787)<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"RedLine, Lumma, Raccoon: el malware Infostealer roba cookies de sesi\u00f3n y evade la autenticaci\u00f3n multifactor. \u00bfQu\u00e9 realmente ayudar\u00e1 en 2026?","protected":false},"author":55,"featured_media":12108,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"Infostealer 2026","_yoast_wpseo_title":"Infostealer 2026: Por qu\u00e9 los cookies de sesi\u00f3n robados anulan la MFA","_yoast_wpseo_metadesc":"El malware Infostealer roba cookies de sesi\u00f3n y evita la autenticaci\u00f3n multifactor. C\u00f3mo funcionan RedLine, Lumma y otros, y qu\u00e9 realmente servir\u00e1 en 2026.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[257],"tags":[],"class_list":["post-12162","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-praxis-umsetzung-es"],"evm_reading_time_minutes":16,"wpml_language":"es","wpml_translation_of":12109,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/12162","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/users\/55"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/comments?post=12162"}],"version-history":[{"count":4,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/12162\/revisions"}],"predecessor-version":[{"id":20321,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/12162\/revisions\/20321"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media\/12108"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media?parent=12162"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/categories?post=12162"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/tags?post=12162"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}