Robo de sesión (Session Hijacking e Infostealers): cómo entran a tu cuenta sin tu contraseña ni tu 2FA y cómo auditar sesiones activas

Activar la verificación en dos pasos (2FA) y utilizar un gestor de contraseñas son medidas indispensables, pero existe un escenario que desconcierta a usuarios y administradores por igual: descubrir un acceso no autorizado en tu correo o redes sociales sin haber recibido ningún código de seguridad y sin que nadie haya adivinado tu clave. La explicación técnica reside en el secuestro de sesión (Session Hijacking) y en el auge del malware de tipo Infostealer.

En esta entrega de nuestra serie Knowledge is free analizamos qué ocurre realmente después de autenticarte en un sitio web, cómo viajan las cookies de sesión bajo el estándar HTTP y qué protocolo práctico debes aplicar para auditar y blindar tus cuentas.

1. Qué ocurre después de aprobar el segundo factor (2FA)

El protocolo HTTP es intrínsecamente sin estado (stateless). Para que no tengas que escribir tu usuario, contraseña y código 2FA cada vez que abres un correo o cambias de pestaña, el servidor emite un identificador criptográfico tras validar tu identidad y lo envía al navegador mediante la cabecera Set-Cookie (IETF RFC 6265):

Set-Cookie: __Host-vb_sid=sess_9f4b2c8e1a7d...; Path=/; Secure; HttpOnly; SameSite=Strict

A partir de ese instante, en cada petición posterior tu navegador adjunta automáticamente la cabecera Cookie. Para el servidor, quien presenta ese token activo y vigente ya superó la contraseña y el segundo factor.

2. El alcance de HttpOnly y cómo operan los Infostealers

En ingeniería de software seguro aplicamos banderas estrictas a las cookies de sesión, tal como documenta la guía de gestión de sesiones de OWASP:

• Secure: exige que la cookie solo viaje a través de conexiones cifradas HTTPS/TLS.
• HttpOnly: impide que scripts de JavaScript en el navegador (como un ataque XSS) lean el token mediante document.cookie.
• SameSite=Strict o Lax: controla el envío de la cookie en solicitudes originadas desde sitios externos para mitigar ataques CSRF.

Sin embargo, estas banderas protegen el token dentro del modelo de amenazas de la web, no cuando el propio sistema operativo del usuario es comprometido. Los programas maliciosos denominados Infostealers (ocultos frecuentemente en falsos instaladores, supuestos activadores de software, mods de videojuegos o archivos adjuntos) se ejecutan con los permisos locales de tu usuario, localizan la base de datos SQLite del navegador y extraen las cookies activas en cuestión de segundos.

3. Cómo se detecta una sesión clonada en una auditoría

Cuando un atacante importa una cookie sustraída en un navegador preparado, entra directamente al panel de la víctima sin pasar por la pantalla de inicio de sesión. Por eso no se genera una alerta de «nuevo inicio de sesión» ni se solicita un código 2FA.

En una auditoría de seguridad o respuesta a incidentes, la intrusión se identifica correlacionando el mismo identificador de sesión (session_id) con un cambio repentino e incompatible de red: por ejemplo, una sesión originada en una red residencial en México que minutos después realiza peticiones desde un centro de datos en otro continente con una huella TLS y de sistema operativo distinta.

4. Tres pasos para blindar y limpiar tus sesiones hoy mismo

• 1. Audita y cierra tus sesiones activas: entra periódicamente a la sección de Seguridad → Dispositivos conectados de tu correo electrónico, redes sociales y plataformas de trabajo, y cierra todas las sesiones que no reconozcas o que ya no utilices.
• 2. Revoca todos los tokens ante cualquier sospecha: si ejecutaste un archivo dudoso, primero analiza y limpia el equipo; enseguida cambia tu contraseña desde un dispositivo limpio y selecciona la opción de «cerrar sesión en todos los dispositivos» para invalidar los tokens en el servidor.
• 3. Cuida tus extensiones y adopta FIDO2 / Passkeys: desinstala extensiones del navegador que pidan permiso para «leer y cambiar todos tus datos en todos los sitios web», evita marcar «mantener sesión iniciada» en equipos compartidos y utiliza llaves de seguridad FIDO2 / WebAuthn.

En ViciousByte diseñamos arquitecturas de software con rotación de tokens de corta duración, revocación inmediata en servidor y detección de anomalías de red para proteger a usuarios y organizaciones contra el robo de identidad digital.