En qué se diferencia de una filtración
En una filtración normal, una empresa es comprometida y el atacante se lleva la tabla de usuarios de esa empresa. Cambias una contraseña y casi todo queda resuelto.
Un registro de infostealer sale de tu propio dispositivo. Al malware no le importa qué sitios uses: se lleva todas las sesiones que el navegador tenía guardadas, así que una sola infección puede exponer tu correo, tu banco, el SSO del trabajo y tu Discord a la vez. El sitio que usabas no fue hackeado. Tu máquina sí.
Qué suele contener un registro
Depende de la familia de malware, pero un registro típico incluye:
- 01Usuarios y contraseñas guardados en el navegador, junto al sitio al que pertenecen
- 02Cookies del navegador, incluidas las de sesión que te mantienen conectado
- 03Datos de autocompletado como nombres, direcciones y a veces datos de tarjeta
- 04Archivos de carteras de cripto y datos de extensiones de cartera
- 05Datos del sistema como el nombre del equipo, la IP, el sistema operativo y a menudo un identificador de hardware
- 06A veces una captura de pantalla del escritorio en el momento de la infección
Cómo se infecta la gente
La mayoría de las infecciones vienen de ejecutar algo descargado. Las vías habituales son:
- 01Software crackeado, keygens y versiones gratuitas de aplicaciones de pago
- 02Trampas y mods de juegos, y lanzadores falsos que circulan por Discord y YouTube
- 03Anuncios de búsqueda que parecen la página de descarga de una herramienta popular y no lo son
- 04Páginas falsas de verificación que piden pegar un comando en el cuadro de ejecutar o en una terminal
- 05Adjuntos de correo disfrazados de factura o aviso de envío
Cómo comprobar si estás en uno
Empieza por el identificador que tengas. Un resultado vacío no significa que estés limpio: significa que las fuentes consultadas no lo contenían.
Para una empresa, busca el dominio de correo en lugar de direcciones sueltas. Así aparecen las cuentas de empleados o clientes que se filtraron desde equipos que no gestionas.
Muchos registros incluyen también un identificador de máquina. Si tienes uno de una muestra o de un incidente, buscarlo puede vincular otros registros al mismo dispositivo.
Qué hacer si apareces en uno
El orden importa. Si cambias contraseñas mientras el malware sigue en el equipo, se lleva las nuevas.
- 01Limpia primero el dispositivo. Pasa un análisis completo; si tenía software crackeado o no estás seguro, reinstala el sistema. Es la única solución en la que puedes confiar.
- 02Cambia contraseñas desde otro dispositivo limpio. Empieza por el correo, porque puede restablecer todo lo demás, y sigue con el gestor de contraseñas, la banca y las cuentas del trabajo.
- 03Cierra todas las sesiones. Google, Microsoft, Discord, Steam y casi todos los servicios tienen una opción para cerrar sesión en todos los dispositivos, que anula cualquier cookie robada.
- 04Activa el doble factor con una aplicación o una passkey, antes que por SMS si puedes evitarlo.
- 05Mueve las cripto a una cartera nueva si había carteras o extensiones en ese equipo. Una contraseña nueva no protege una cartera cuyas claves se copiaron.
- 06Avisa a tu equipo de IT o seguridad si alguna cuenta del trabajo estaba en el registro, aunque fuera un equipo personal.
Para equipos de seguridad
Trata una cuenta de empleado en un registro de infostealer como un compromiso activo, no como una filtración antigua. Revoca sesiones y tokens, restablece la contraseña y revisa los registros de SSO y VPN en busca de accesos desde ubicaciones nuevas alrededor de la fecha del registro.
Averigua si el dispositivo infectado estaba gestionado. Si no lo estaba, restablecer la contraseña no evitará el siguiente registro. Vuelve a consultar el dominio tras la limpieza para ver si siguen apareciendo entradas.