Robo de cookies de sesión y tokens de portador

El atacante busca un elemento reutilizable en lugar de un secreto que adivinar. Las cookies se encuentran en el disco, en la memoria del navegador y en el tráfico de red hacia sistemas remotos. Otras aplicaciones del equipo también pueden conservar en memoria cookies de autenticación, por ejemplo las que se conectan a servicios en la nube¹.

Una vez obtenida la cookie, el atacante la importa en un navegador que controla. Entonces usa el sitio como si fuera el usuario, mientras la sesión esté activa. Puede consultar información sensible, leer correos o hacer lo que la cuenta de la víctima tenga permitido².

Para el token de acceso, una vía descrita es el phishing: el atacante registra una aplicación trampa y envía un enlace para que la víctima le conceda acceso. Una vez concedido el token, la aplicación puede obtener un acceso potencialmente duradero a la cuenta⁴. Los tokens de acceso tienen a veces una vida limitada, pero el atacante también puede robar un token de renovación, que le da nuevos tokens de acceso sin pedir nada al usuario⁴.

El empleado no ve nada: pueden existir alertas del lado del administrador (véase más abajo). En el caso de un sitio relé falso (descrito más abajo), la página es idéntica a la real: la única diferencia visible es la dirección⁶. Tras escribir la contraseña, la víctima es redirigida a la página legítima y el ataque continúa en segundo plano⁶.

Esta es una ilustración neutralizada de la dirección de un sitio relé falso. Está inventada para el ejemplo.

Ilustración (dirección ficticia, neutralizada):
hxxps://login[.]exemple-connexion[.]invalid/
[página idéntica a la página de acceso real, solo difiere la dirección]

Existen algunas señales indirectas. Si el atacante inicia sesión mientras la víctima trabaja, pueden aparecer alertas de «viaje imposible» del lado del administrador⁶. Las reglas de bandeja de entrada desconocidas son otra señal: en el caso descrito más abajo, el atacante creó una para que la víctima no viera las respuestas de su objetivo⁶.

Las fuentes citadas aquí describen tres vías de robo.

• El software ladrón: programas maliciosos atacan las cookies de los navegadores presentes en el equipo¹. Algunos extraen la cookie de sesión y la envían al servidor del atacante¹.
• El sitio relé falso: en el ataque llamado de intermediario (adversary-in-the-middle), el atacante coloca un servidor proxy entre el usuario y el sitio objetivo. Así captura la contraseña y la cookie de sesión⁶. Herramientas libres como Evilginx2, Modlishka y Muraena automatizan este procedimiento⁶.
• El navegador comprometido: un atacante puede inyectar software en un navegador para heredar las cookies, las sesiones HTTP y los certificados de cliente del usuario, y luego usarlos para entrar en una intranet autenticada⁸. Esta técnica también puede eludir la autenticación de dos factores⁸. Puede exigir permisos especiales en el equipo⁸.

¿Por qué funciona la reutilización? La cookie es la prueba del inicio de sesión: el servidor no vuelve a verificar la contraseña en cada página⁶. La SP 800-63B del NIST admite otros métodos de identificación segura del dispositivo, entre ellos el TLS mutuo y la vinculación de token (token binding)⁵. OWASP recomienda vincular el identificador de sesión a otras propiedades del cliente, como la dirección IP o el User-Agent. Reconoce, sin embargo, que un atacante hábil puede eludir este control, por ejemplo compartiendo la misma red que la víctima o copiando el User-Agent⁷.

En cuanto a los plazos, OWASP cita tiempos de inactividad habituales de 2 a 5 minutos para las aplicaciones de alto valor y de 15 a 30 minutos para las de bajo riesgo. Para un empleado de oficina que usa una aplicación todo el día, cita un plazo absoluto de 4 a 8 horas⁷. La SP 800-63B del NIST, sustituida desde el 1 de agosto de 2025 por la SP 800-63-4, pedía que los secretos de sesión se borraran o invalidaran al cerrar la sesión⁵.

Campaña de phishing con sitio relé falso contra Microsoft 365 (documentada el 12 de julio de 2022)

El 12 de julio de 2022, Microsoft publicó el análisis de una campaña de gran envergadura. Según sus datos, intentó atacar a más de 10 000 organizaciones desde septiembre de 2021⁶. Los atacantes usaron sitios relé para robar contraseñas y secuestrar la sesión de la víctima, aunque la autenticación multifactor estuviera activada⁶.

En una de las oleadas observadas, un correo con un adjunto HTML anunciaba un mensaje de voz. El adjunto mostraba una falsa barra de descarga y luego redirigía a un sitio relé construido con Evilginx2, que reproducía la página de acceso de la organización⁶. La víctima escribía sus credenciales, era redirigida a la página legítima office.com y el atacante, entretanto, quedaba autenticado en su nombre⁶.

Lo siguiente buscaba el fraude de pagos. Según Microsoft, a veces pasaron solo cinco minutos entre el robo y el inicio del fraude. El atacante usaba la cookie robada para entrar en el correo en línea, a veces con una cookie que ya llevaba la mención de autenticación multifactor⁶. Después buscaba intercambios relacionados con pagos, eliminaba el correo de phishing inicial y creaba una regla de bandeja de entrada que archivaba y marcaba como leídas las respuestas de su objetivo, para que la víctima no notara nada⁶. Por último, borraba sus propias respuestas de las carpetas de elementos enviados y eliminados⁶.

Microsoft recomienda autenticaciones resistentes al phishing (FIDO 2.0 o certificados) y políticas de acceso condicional, que evalúan cada intento de uso de una cookie robada⁶.

Estos gestos provienen de las fuentes citadas aquí. Su efecto es reducir la duración o el alcance de una sesión robada, no garantizar que no la roben.

• Cerrar la sesión de los servicios de forma explícita al terminar. OWASP indica que cerrar el navegador no fuerza de manera fiable el cierre de sesión y recomienda un cierre explícito, con plazos del lado del servidor⁷.
• Revocar sus sesiones si surge una duda (equipo infectado, página de acceso sospechosa). Las fuentes citadas aquí no detallan el procedimiento: el soporte informático de la empresa lo indica.
• Cerrar con regularidad las sesiones abiertas en el navegador. MITRE recomienda cerrar con regularidad todas las sesiones del navegador⁸.
• Comprobar la dirección antes de escribir la contraseña: la dirección es la única diferencia visible entre un sitio relé falso y el real⁶.
• Comunicar cualquier duda al soporte informático sin esperar: mientras la sesión esté activa, el atacante puede usarla².

Por parte de la empresa, MITRE cita la configuración de los navegadores para eliminar con regularidad las cookies persistentes².