Desde NOVARED aseguran que esta amenaza digital puede comprometer credenciales personales y corporativas, facilitando fraudes, robo de identidad y ciberataques de gran impacto, siendo la prevención y la detección temprana esenciales para reducir el riesgo.
Mientras el ransomware continúa ocupando
titulares por secuestrar información y exigir pagos para recuperarla, una amenaza mucho más silenciosa está ganando terreno entre los ciberdelincuentes. En efecto, se trata de los _infostealers_ o programas maliciosos diseñados para infiltrarse en dispositivos y robar información confidencial, sin alterar el funcionamiento del sistema ni alertar a las víctimas.
A diferencia de otros tipos de malware, los _infostealers_ no buscan cifrar archivos ni paralizar operaciones. Por el contrario, su objetivo es recopilar credenciales, información financiera, cookies de sesión, billeteras de criptomonedas y otros datos sensibles para venderlos en mercados clandestinos, como la Dark Web, o utilizarlos como punto de partida para ataques mucho más sofisticados.
«Uno de los mayores riesgos de los _infostealers_ es que pueden permanecer completamente invisibles para el usuario. Cuando una persona descubre que su información fue robada, muchas veces los atacantes ya han utilizado esas credenciales para acceder a otros servicios o incluso para comprometer a toda una organización», afirma Camilo Orellana, subgerente de seguridad operativa de NOVARED [1].
Amenaza para personas y empresas
En el ámbito personal, el profesional expresa que este malware puede obtener contraseñas almacenadas en navegadores, datos bancarios guardados para autocompletar formularios, cookies de autenticación que permiten acceder a cuentas sin ingresar la contraseña y billeteras digitales de criptomonedas.
En tanto, sostiene que en las organizaciones el impacto puede ser considerablemente mayor. Esto porque los ciberdelincuentes buscan credenciales de acceso a VPN corporativas, aplicaciones internas, servicios en la nube y tokens de autenticación o API, información que puede convertirse en la puerta de entrada para una brecha de seguridad.
«Hoy muchas de las filtraciones más importantes no comienzan con una vulnerabilidad técnica, sino con credenciales legítimas robadas previamente por un _infostealer_. Esa información se comercializa en foros de la Deep y Dark Web y, posteriormente, es utilizada por otros grupos criminales para ejecutar ataques dirigidos», agrega Orellana.
¿Cómo llega este malware a los dispositivos?
El especialista asevera que la mayoría de las infecciones se produce a través de tácticas de ingeniería social que buscan engañar al usuario. Entre los métodos más comunes menciona los correos electrónicos de phishing con archivos maliciosos adjuntos, la publicidad fraudulenta (malvertising), la descarga de software pirata o versiones crackeadas, las falsas actualizaciones de programas, y los ataques a la cadena de suministro mediante paquetes comprometidos en repositorios de software.
Asimismo, y debido a que estas amenazas suelen aprovechar errores humanos, resalta que la capacitación y la concientización siguen siendo una de las principales líneas de defensa.
“Los _infostealers_ operan de manera silenciosa, por lo que sus señales son limitadas. Sin embargo, existen algunos indicadores que pueden alertar sobre una posible infección, tales como procesos ejecutándose desde carpetas temporales, conexiones hacia dominios desconocidos, alertas de inicio de sesión desde ubicaciones geográficas inusuales o la detección de credenciales corporativas filtradas mediante servicios de inteligencia de amenazas”, explica.
La mejor estrategia es la prevención
Frente al aumento de esta amenaza, desde NOVARED [1] recomiendan adoptar medidas preventivas tanto a nivel personal como organizacional.
Entre ellas destacan la utilización de gestores de contraseñas especializados en lugar de guardar credenciales en los navegadores; evitar la descarga de software pirata o aplicaciones de origen desconocido; implementar soluciones de detección y respuesta como EDR o XDR; mantener bloqueadas las macros por defecto en documentos; monitorear accesos mediante reglas de correlación y geolocalización para detectar comportamientos anómalos; restringir el almacenamiento y la sincronización de contraseñas mediante cuentas personales en los navegadores; y habilitar la autenticación multifactor (MFA) en todos los servicios críticos.
En el caso que un dispositivo haya sido comprometido, la rapidez de la respuesta puede marcar la diferencia, advierte Orellana. Adicionalmente, el profesional recomienda aislar inmediatamente el equipo de la red; cambiar todas las credenciales utilizadas desde el dispositivo, priorizando las cuentas críticas; revocar las sesiones activas y los tokens de autenticación; verificar o habilitar la autenticación multifactor en las cuentas afectadas; y contactar al equipo de seguridad informática o a un proveedor especializado para iniciar las labores de contención e investigación.
«Las organizaciones ya no deben preguntarse si serán objetivo de este tipo de amenazas, sino cuándo ocurrirá un intento de ataque. La combinación de tecnología, monitoreo continuo y educación de los usuarios es la forma más efectiva de reducir el riesgo y minimizar el impacto de un incidente», concluye.
