Tu antivirus te da buenas noticias… El malware fue eliminado por completo de tu equipo. Todo parece estar en orden.
¡Pero espera! Dos días después, pasa lo impensable. Tu cuenta de Google empieza a enviar spam a todos tus contactos. Revisas la lista de dispositivos conectados y ves una computadora que definitivamente no es tuya.
Lo más frustrante de todo esto es que tenías la autenticación de dos factores activada todo el tiempo. ¿Cómo es posible que entraran? Lo que acaba de pasarte se conoce en seguridad informática como secuestro de sesión.
Qué es el secuestro de sesión y por qué es tan letal
Básicamente, es la toma de control de una cuenta cuando ya estás conectado. El ciberdelincuente no necesita adivinar tu contraseña. Tampoco le hace falta el código de tu segundo factor.
Le basta con robar un archivo diminuto que tu navegador guarda celosamente en el sistema. Hablamos de la famosa cookie de sesión. Ese pequeño fragmento de datos evita que escribas tus credenciales cada vez que entras a una página web.
Google mismo lo advierte abiertamente en su blog de Chromium. Este robo ocurre justo después de iniciar sesión. Por eso se salta limpiamente tu autenticación de dos factores. Y tu antivirus muchas veces no puede salvarte. Las cookies robadas siguen funcionando incluso después de limpiar tu PC.
Cómo logran robar tus accesos sin hacer ruido
Todo empieza casi siempre con un programa malicioso clasificado como infostealer. Este software está diseñado específicamente para recolectar tus datos más valiosos en silencio.
Normalmente llega a tu computadora de formas muy comunes. Un programa pirata, un instalador modificado o un archivo adjunto engañoso en un correo.
Una vez instalado, el virus lee los archivos donde el navegador guarda tus cookies. El atacante simplemente toma esa cookie y la importa directamente en su propio equipo.
Luego entra al sitio web afectado como si fueras tú. El servicio detecta una sesión válida y no hace absolutamente ninguna pregunta adicional.
Un mercado negro gigante y en expansión
El tamaño de este problema es, francamente, escalofriante. La empresa de seguridad Flashpoint publicó datos alarmantes el 11 de marzo de 2026.
Ellos cuentan más de 11.1 millones de máquinas infectadas con infostealers solo para el año 2025. Además, calculan unos 3.300 millones de credenciales robadas en ese periodo.
Y lo peor de todo es que las cookies de sesión ni siquiera entran en esa cuenta gigante. Todo este proceso de robo ocurre sin pedir tu contraseña en ningún momento.
El impacto real expuesto por la Operación Endgame
La Operación Endgame demostró lo cerca que estamos de este peligro. El 24 de junio de 2026, Europol anunció un golpe fortísimo contra las redes criminales.
Desmantelaron sistemas que distribuían infostealers masivos como StealC y Amadey. Dieron de baja 326 servidores y 142 dominios maliciosos en un operativo coordinado.
Lograron recuperar 27 millones de credenciales robadas en todo el mundo. Muchas víctimas fueron notificadas mediante plataformas de seguridad reconocidas como Have I Been Pwned.
El problema oculto con el segundo factor de autenticación
Un mensaje SMS, una notificación en tu app o una llave de seguridad verifican quién entra. Pero la cookie se crea justo después de esa comprobación inicial.
Ese archivo sirve como prueba definitiva de que pasaste el examen de seguridad. Quien tenga esa prueba en sus manos no necesita volver a evaluarse.
Incluso el Programa de Protección Avanzada de Google funciona exactamente bajo este principio. Si te mantienes conectado, no te volverán a pedir la llave de seguridad.
Qué hacen los navegadores modernos para protegerte
Chrome ha dado pasos importantes en Windows desde su versión 127 en julio de 2024. Cifran las cookies de forma local y las vinculan directamente a la aplicación.
Google admite que el malware con privilegios elevados puede saltarse esta barrera. Aunque encarece mucho el robo para los hackers, no lo detiene por completo.
El verdadero avance de la industria se llama Credenciales de Sesión Vinculadas al Dispositivo. Se abrevia como DBSC por sus siglas en inglés.
La tecnología DBSC al rescate de tus cuentas
El navegador genera una llave criptográfica única que nunca sale de tu máquina. En Windows, por ejemplo, se guarda en el TPM o chip de seguridad de tu tarjeta madre.
El servicio web pregunta constantemente si tu navegador aún tiene esa llave original. Una cookie robada y usada en otra computadora fallará esta verificación al instante.
Google activó DBSC para sus servicios el 9 de abril de 2026 en Windows. Desde el 25 de mayo de 2026 se está implementando para todas las cuentas personales y Workspace.
Tú no tienes que hacer nada para activarlo. Sin embargo, cada sitio web del mundo debe implementar esta tecnología por su cuenta.
Con información de TechNewsWorld
