Por Canuto  

Un informe de Outpost24 detectó credenciales expuestas en el 72% de 4.824 empresas de Estados Unidos y Europa. Aunque el 97% de los datos provenía de filtraciones anteriores, el análisis también encontró credenciales asociadas a infostealers, que pueden sustraer cookies de sesión además de contraseñas.

***

  • El análisis identificó 31,5 millones de credenciales expuestas; menos del 3% fue extraído directamente de dispositivos infectados con infostealers.
  • En el 41% de las empresas se detectó al menos un inicio de sesión laboral robado asociado a malware; otro 31% tenía credenciales vinculadas exclusivamente a cuentas de clientes.
  • Outpost24 advierte que, ante una infección, la respuesta puede requerir revisar dispositivos y cerrar sesiones activas, no solo cambiar la contraseña afectada.

 

 

Un análisis de 4.824 compañías de Estados Unidos y Europa identificó 31,5 millones de credenciales expuestas durante un año. La proporción de datos extraídos recientemente con infostealers fue pequeña, pero el informe encontró credenciales asociadas a malware en una parte amplia de las empresas.

El informe de ciberseguridad de Outpost24 halló al menos un inicio de sesión de empleado o cliente expuesto en el 72% de las organizaciones examinadas. La cifra no significa que todas esas cuentas fueran robadas recientemente: la mayor parte de las credenciales ya circulaba en colecciones de filtraciones anteriores, mientras que una fracción menor se obtuvo directamente de dispositivos infectados.

La distinción importa porque el volumen de contraseñas filtradas no cuenta por sí solo toda la historia de un incidente. Un conjunto antiguo puede seguir facilitando intentos de acceso, pero un infostealer también puede sustraer cookies de sesión y credenciales guardadas, elementos capaces de ampliar el riesgo más allá de una clave individual.

La mayoría de los datos expuestos provenía de filtraciones previas

El análisis reunió 31,5 millones de credenciales identificadas por primera vez durante los 12 meses previos al 1 de septiembre de 2026. De ese total, alrededor de 30,7 millones, equivalentes al 97%, procedían de bases de datos filtradas y combolists que ya circulaban entre ciberdelincuentes, no de una extracción reciente mediante malware.

Las 844.000 credenciales restantes, menos del 3% del total, fueron extraídas directamente de dispositivos infectados con programas infostealer. El estudio se enfocó en cinco sectores: servicios financieros; bienes de consumo y servicios; gobierno; servicios empresariales; y salud, con diferencias importantes entre industrias y también entre países.

Los combolists reúnen nombres de usuario y contraseñas filtrados previamente, y su antigüedad no elimina automáticamente su utilidad para los atacantes. Si una persona reutiliza una clave o mantiene activa una cuenta vinculada a esos datos, una filtración antigua todavía puede convertirse en una vía para probar accesos, aunque el informe no atribuye cada inicio de sesión expuesto a un intento exitoso.

Por eso, el total de credenciales expuestas debe leerse con cuidado y no como una medida directa de intrusiones recientes. La investigación separa las colecciones históricas de datos de las credenciales capturadas en dispositivos infectados, una diferencia que ayuda a evaluar si el problema parece una exposición acumulada o una señal más inmediata de compromiso.

Las infecciones afectan a muchas empresas y pueden robar sesiones

Aunque las credenciales extraídas directamente por infostealers representaron una parte pequeña del conjunto, el malware apareció asociado a una proporción considerable de las compañías. En el 41% de las empresas estudiadas se encontró al menos un inicio de sesión robado relacionado con una dirección de correo laboral, lo que sugiere que un dispositivo de un empleado pudo haber sido infectado.

Otro 31% de las organizaciones tenía credenciales vinculadas al malware asociadas exclusivamente con cuentas de clientes. Esos porcentajes describen tipos de credenciales detectadas en empresas, no la proporción de todos los usuarios afectados, y tampoco indican por sí solos que los atacantes hayan usado con éxito cada dato obtenido.

El jefe de inteligencia de amenazas de Outpost24, Borja Rodriguez, señaló que un infostealer puede capturar cookies de sesión y credenciales guardadas, además de contraseñas. Las cookies permiten que una persona permanezca conectada a un servicio; por eso, su robo puede representar una señal más fuerte de compromiso reciente que una clave que ya formaba parte de una filtración antigua.

La recomendación de la empresa es no limitar la respuesta al cambio de la contraseña identificada. Si el dispositivo de un empleado está infectado, el equipo de seguridad debe buscar otros datos robados y terminar las sesiones activas; para las cuentas de clientes, el informe propone restablecer claves, aplicar comprobaciones adicionales de autenticación y vigilar posibles actividades fraudulentas.

El riesgo varía según el sector y la región

Las diferencias entre industrias resultaron más marcadas que las observadas entre países. Las compañías de bienes de consumo y servicios registraron la mayor cantidad de credenciales expuestas, con un promedio de 498 por empresa, y casi todas correspondían a clientes, un patrón que apunta a una exposición distinta de la que supone el robo de accesos internos.

En los servicios empresariales, en cambio, destacó la exposición de empleados: el 47% de las compañías del sector tenía al menos un inicio de sesión laboral robado por malware. Los servicios financieros registraron la mayor proporción de empresas con credenciales vinculadas a infostealers, con un 77%, aunque ese dato no equivale por sí solo a una tasa de intrusiones confirmadas.

En el promedio por empresa, las organizaciones europeas registraron 224 inicios de sesión expuestos, un 22% más que los 184 detectados en una compañía estadounidense típica. Dentro de Europa, las firmas nórdicas encabezaron la medición con 358 credenciales expuestas por empresa, mientras que España mostró el promedio más bajo, con 133.

El grupo con mayor exposición fue el de empresas de consumo de la región de Benelux, con un promedio de 1.285 credenciales filtradas por compañía. Rodriguez advirtió que miles de accesos de clientes cuentan una historia diferente a la de unas pocas cuentas laborales comprometidas: el número bruto puede parecer más alarmante, pero no determina por sí solo el alcance operativo del incidente.

Una cuenta laboral puede tener consecuencias desproporcionadas

Un minorista con miles de credenciales de clientes expuestas puede presentar un volumen superior al de un banco donde se detectó una sola computadora de un empleado infectada. Sin embargo, ese dispositivo podría conservar una sesión activa dentro de los sistemas empresariales, por lo que la cantidad de registros involucrados no basta para comparar la gravedad de ambos casos.

La investigación recordó incidentes que ilustran ese tipo de riesgo. Los ataques de 2024 contra clientes de Snowflake se apoyaron en credenciales robadas mediante malware infostealer, mientras que en octubre atacantes accedieron a repositorios de GitHub de Meta utilizando un inicio de sesión de empleado sustraído.

El texto también menciona un robo de USD $6.300 millones en Binance. Según los reportes citados sobre el caso, los atacantes habrían accedido mediante la laptop comprometida de un ingeniero. Ese episodio sirve como ejemplo del riesgo que puede representar un dispositivo afectado, pero no demuestra por sí solo que se tratara de una infección por infostealer ni forma parte del volumen de credenciales contabilizado por Outpost24.

Para las empresas, el desafío consiste en distinguir entre credenciales históricas que vuelven a circular y señales de acceso reciente que podrían estar ligadas a una infección. El informe aconseja tratar la detección de un infostealer como posible indicio de un compromiso más amplio, revisar el dispositivo afectado, invalidar sesiones y reforzar la vigilancia de cuentas laborales y de clientes.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público

Este artículo fue escrito por un redactor de contenido de IA




ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados