Cuando te registras en un hotel, muestras tu identificación en recepción. El empleado verifica quién eres, quizás revisa un documento secundario, y te entrega una tarjeta llave. A partir de ese momento, esa tarjeta es lo que te permite acceder a tu habitación. Da igual que hayas probado tu identidad al registrarte. Lo que importa es quién tiene la llave.

Tus aplicaciones funcionan de la misma manera. Cuando un usuario inicia sesión en una aplicación web —ingresando su contraseña y completando un desafío MFA— la aplicación le emite un token de sesión, normalmente almacenado como una cookie en su navegador. Ese token es su tarjeta llave. En cada solicitud posterior, la aplicación verifica el token, no las credenciales. Si el token es válido, se concede acceso. Y si alguien roba ese token, también accede. Sin nombre de usuario, sin contraseña, sin solicitud MFA. Simplemente reproducen el token desde su propio navegador. La aplicación no puede distinguir la diferencia.

¿Qué es una cookie de sesión?

HTTP —el protocolo que impulsa la web— no tiene estado. Cada solicitud es independiente, lo que significa que sin algún tipo de token, los usuarios tendrían que iniciar sesión de nuevo con cada clic. Las cookies de sesión resuelven ese problema. Tras un inicio de sesión exitoso, el servidor emite una cookie que representa la sesión autenticada. Mientras esa cookie sea válida, el usuario permanece conectado. La conclusión importante: la cookie de sesión es la credencial después del inicio de sesión. Incluso un evento de inicio de sesión perfectamente protegido no garantiza que la sesión que crea esté protegida.

¿Cómo roban los atacantes las cookies de sesión?

El método más común es a través de un tipo de malware llamado infostealers. Estas herramientas son económicas y están ampliamente disponibles, vendidas como suscripciones en mercados clandestinos, con precios que van desde decenas hasta cientos de dólares al mes. Lo que las hace particularmente efectivas es que no necesitan permisos de administrador para causar daño. Se ejecutan como el usuario actual y extraen silenciosamente los tokens de sesión del almacenamiento local del navegador, obteniendo credenciales de cada aplicación que encuentran: correo electrónico, almacenamiento en la nube, herramientas corporativas SaaS, proveedores de seguridad de identidad, todo en cuestión de minutos. Esos tokens robados pueden venderse luego en mercados de la dark web. Los compradores navegan por las sesiones disponibles como lo harían en cualquier listado de productos online. Importan la cookie a su propio navegador y ya están dentro. No se dispara ningún evento de inicio de sesión. No se activa ninguna alerta. No aparece ninguna solicitud MFA porque la MFA ya ocurrió cuando se creó la sesión original.

Confesiones de un ladrón de cookies

El secuestro de sesión debería estar en tu radar. Está emergiendo como una de las amenazas más insidiosas y pasadas por alto en la ciberseguridad moderna. Por qué importa: los tokens robados permiten a los atacantes eludir MFA y suplantar usuarios sin necesidad de contraseña. Qué aprenderás: cómo usar el vinculación de dispositivos y la evaluación continua para neutralizar el malware infostealer. Mira el seminario web: Confesiones de un ladrón de cookies.

¿Por qué MFA no previene esto?

MFA hace exactamente lo que fue diseñado para hacer: proteger el evento de inicio de sesión. Una vez que el inicio de sesión se completa y se emite un token de sesión, MFA ha cumplido su función. Pero la sesión que se acaba de crear puede permanecer activa durante horas o incluso días, dependiendo de cómo esté configurada la aplicación. Durante toda esa ventana, el token de sesión es un activo válido y robable. Muchas organizaciones nunca han examinado detenidamente la configuración de la duración de sus sesiones. Si revisas tus aplicaciones SaaS, a menudo encontrarás duraciones de sesión configuradas en 8 horas, 12 horas o incluso más. Cada una de esas horas es una ventana en la que un token robado puede ser utilizado indebidamente mucho después del inicio de sesión original verificado con MFA.

¿Qué puedes hacer al respecto?

La buena noticia es que existen defensas prácticas y efectivas. El enfoque más sólido combina varias capas que trabajan juntas. Vidas de sesión más cortas reducen el valor de un token robado. Una sesión que expira tras 15 minutos de inactividad es mucho menos útil para un atacante que una válida durante varios días. Combinar vidas cortas con rotación automática de sesiones —donde las sesiones activas reciben silenciosamente nuevos tokens— hace que los tokens robados queden obsoletos rápidamente. La evaluación continua de contexto significa que tu plataforma de identidad no solo verifica quién es un usuario al iniciar sesión, sino que sigue vigilando la sesión. Si una sesión aparece repentinamente desde un país desconocido, un nuevo dispositivo o una red que no coincide con ningún comportamiento previo, eso es una señal para solicitar reautenticación o terminar la sesión por completo, independientemente de cómo se haya establecido originalmente. Las políticas de autenticación adaptativa de OneLogin facilitan la configuración de este tipo de reglas. La vinculación de dispositivos ata las sesiones al dispositivo y al entorno del navegador donde se crearon. Cuando un proveedor de identidad puede reconocer el dispositivo asociado a una sesión, puede rechazar intentos de reproducir esa sesión desde un entorno diferente. La detección de anomalías a nivel de sesión proporciona visibilidad que la mayoría de las organizaciones no tienen hoy. La mayoría puede decirte cuándo un usuario inició sesión. Muchas menos pueden decirte si la misma sesión estuvo activa simultáneamente desde dos ubicaciones diferentes, o si los patrones de actividad de un usuario cambiaron drásticamente a mitad de la sesión. Esos suelen ser los indicadores más tempranos de que algo anda mal; sin embargo, este tipo de anomalías también puede generar falsos positivos debido al uso de VPN, CDN o split-tunneling. La seguridad del punto final cierra el mecanismo de entrega inicial. Los dispositivos gestionados con herramientas de seguridad de punto final actualizadas, combinados con una política que restrinja el acceso a aplicaciones corporativas solo a dispositivos gestionados, dificultan significativamente que los infostealers logren afianzarse.

Resumiendo

El secuestro de sesión mediante malware infostealer es una amenaza real y creciente, y se dirige específicamente a la ventana que se abre después de un inicio de sesión exitoso y verificado con MFA. Las organizaciones mejor protegidas contra esto han tomado medidas deliberadas: revisar la configuración de duración de sus sesiones, implementar autenticación progresiva para áreas sensibles, habilitar la evaluación continua de contexto y establecer monitoreo para comportamientos de sesión inusuales.

Acerca de la autora: Alicia Townsend desempeña el rol de 'Boots on the Ground' Product Manager para OneLogin. Los aspectos clave de este rol incluyen desarrollar y liderar esfuerzos de ingeniería hacia mejoras de funcionalidades, mejoras de seguridad y corrección de errores, así como gestionar numerosas otras áreas relacionadas con el producto OneLogin: documentación, precios, comunicaciones con el cliente, etc. Alicia comenzó en OneLogin en 2018 como formadora técnica y finalmente se convirtió en directora de todo el contenido de marketing, documentación y formación. Antes de OneLogin, pasó los últimos 30 años como formadora técnica y consultora.