Hay malware que quiere que sepas que ha entrado en tu ordenador. El ransomware es probablemente el ejemplo más evidente, cifra tus archivos, cambia el fondo de pantalla, deja una nota y, en definitiva, se presenta.
Un infostealer juega a otra cosa.
- No necesita que mires la pantalla.
- No necesita cifrar tus documentos.
- Ni siquiera necesita quedarse mucho tiempo.
Su objetivo puede ser bastante más discreto: recoger todo aquello que pueda resultar útil para entrar en algún sitio después.
Contraseñas almacenadas en el navegador, cookies de sesión, información del sistema, datos de determinadas aplicaciones, credenciales, historial de navegación y, dependiendo de la familia de malware, otros tipos de información.
Y aquí es donde Mr. Robot resulta especialmente interesante. No porque la serie nos enseñe un «infostealer» con todas sus características actuales, sino porque muestra una cadena de ataque que permite entender perfectamente el concepto: infectar un equipo, extraer información y convertir esa información en una nueva oportunidad de ataque.
De Mr. Robot a un infostealer
En la primera temporada hay una conversación especialmente interesante entre Elliot y Ángela. Ángela explica qué ocurrió con Ollie: alguien consiguió que instalara un CD en su ordenador y, una vez infectado, el atacante pudo obtener sus fotografías, sus correos electrónicos y la caché del navegador. Después utilizó esa información para amenazarle.
La escena dura poco, pero contiene prácticamente toda la idea que necesitamos. No estamos ante un atacante que quiera destruir el ordenador. El ordenador es simplemente el lugar donde está la información que interesa. Y eso cambia completamente la perspectiva.
Un equipo comprometido puede contener una cantidad enorme de información que el propietario ni siquiera considera especialmente importante, el navegador recuerda sesiones, las aplicaciones recuerdan cuentas, los usuarios guardan contraseñas, las cookies permiten mantener sesiones abiertas, los documentos contienen información de la empresa, el historial revela qué servicios utiliza una persona y todo eso puede tener valor para alguien que está al otro lado.
La serie lo resume de una forma bastante gráfica: el atacante consigue información del ordenador y después utiliza esa información para ejercer presión sobre la víctima.
El infostealer no quiere tu ordenador
Esta es probablemente la idea que más me interesa del concepto. Cuando pensamos en malware, tendemos a imaginar que el atacante quiere «entrar en el ordenador». Pero muchas veces el ordenador es solamente un intermediario.
Podríamos representarlo así:
víctima → infección → información → credenciales/sesiones → acceso → siguiente objetivo
La infección es únicamente el primer paso. Imaginemos un ordenador corporativo en el que un empleado utiliza:
- Microsoft 365;
- Slack;
- GitHub;
- una VPN;
- un CRM;
- varias aplicaciones SaaS;
- un navegador con numerosas sesiones abiertas.
El valor del equipo no está necesariamente en los archivos que contiene, está en todo aquello a lo que ese equipo puede acceder.
Un infostealer convierte el ordenador en una especie de llavero digital y ahí aparece una diferencia fundamental respecto a otros tipos de malware, un ransomware puede tener como objetivo:
«Quiero que esta empresa no pueda trabajar.»
Un infostealer puede perseguir algo mucho más silencioso:
«Quiero saber con qué cuentas trabaja esta persona y qué puertas puede abrir.»
La caché del navegador: una pista importante
La escena de Mr. Robot menciona específicamente el navegador, y esto resulta especialmente interesante porque los navegadores modernos se han convertido en auténticos almacenes de información.
Guardamos en ellos:
- credenciales;
- cookies;
- historial;
- datos de formularios;
- tokens;
- sesiones autenticadas;
- información de sitios visitados.
Eso no significa que todo esté almacenado en texto plano ni que cualquier malware pueda simplemente abrir un fichero y leer todas nuestras contraseñas, los navegadores utilizan mecanismos de protección y almacenamiento cifrado, precisamente por eso, un infostealer moderno no debería imaginarse como un sencillo programa que busca un fichero llamado passwords.txt.
Su funcionamiento depende del sistema operativo, del navegador, de cómo se almacenan las credenciales y de qué información puede obtener el proceso que ejecuta el malware, pero el objetivo conceptual sigue siendo el mismo:
convertir información local en acceso remoto.
Y aquí la serie vuelve a ser interesante, el atacante no necesita descubrir necesariamente una contraseña de memoria, puede bastarle con encontrar información suficiente para continuar.
De una contraseña a una sesión
Hay una diferencia importante entre robar una contraseña y robar una sesión.
Imaginemos que alguien obtiene:
usuario: ejemplo@empresa.com
contraseña: ********
Eso puede permitirle autenticarse, pero imaginemos ahora que consigue información asociada a una sesión que ya estaba autenticada. El atacante puede intentar utilizar esa información para actuar como el usuario sin tener que repetir exactamente el proceso de autenticación. Por eso las cookies de sesión son especialmente interesantes desde el punto de vista defensivo.
El razonamiento es sencillo:
contraseña robada → intento de autenticación
frente a:
sesión robada → intento de reutilización de una sesión existente
Los mecanismos modernos de autenticación multifactor dificultan enormemente determinados ataques basados exclusivamente en contraseñas, pero no convierten automáticamente en inútil todo lo que un atacante pueda robar de un dispositivo ya autenticado.
Por eso hoy hablamos tanto de protección de sesiones, detección de comportamiento anómalo, revocación de tokens y controles de acceso condicional.
La pregunta deja de ser únicamente:
«¿Cuál es la contraseña?»
y pasa a ser:
«¿Qué elementos necesita realmente alguien para actuar como este usuario?»
El infostealer puede no ser el ataque final
Este es probablemente el aspecto que más merece la pena explicar, un infostealer puede funcionar como fase de preparación.
Supongamos una cadena hipotética:
Ordenador personal
↓
Infostealer
↓
Credencial corporativa
↓
VPN / SaaS
↓
Cuenta corporativa
↓
Acceso a recursos internos
↓
Nuevo compromiso
El atacante no tiene por qué estar interesado en la máquina inicial, puede estar interesado en lo que esa máquina sabe y esto ya no es una cuestión puramente de malware.
Es una cuestión de identidad.
La máquina se convierte en el punto desde el que el atacante obtiene material para hacerse pasar por alguien.
Es exactamente el tipo de transición que hemos comentado en otros artículos: el verdadero valor de una intrusión no siempre está en el primer sistema comprometido, sino en qué nuevas posibilidades aparecen después.
El caso de Ollie es especialmente interesante
En Mr. Robot, el ataque contra Ollie tiene además una segunda dimensión, la información obtenida no se utiliza únicamente para entrar en otro sistema. Se utiliza para chantajear.
El atacante sabe que tiene algo que la víctima no quiere que se haga público y eso demuestra que los datos robados tienen valor incluso aunque no contengan una contraseña.
Una fotografía puede ser útil.
Un correo puede ser útil.
Un historial de navegación puede ser útil.
Una conversación privada puede ser útil.
Una cookie puede ser útil.
Una credencial puede ser útil.
El valor no está necesariamente en el dato aislado.
Está en lo que permite hacer después.
Esto es lo que un infostealer moderno cambia
Aquí conviene salir de la ficción. Los infostealers actuales han evolucionado mucho respecto a la idea de «troyano que roba contraseñas».
Familias de malware de este tipo pueden buscar información procedente de navegadores, aplicaciones, wallets y otros almacenes de credenciales. Investigaciones recientes de inteligencia de amenazas muestran además que los datos obtenidos de máquinas infectadas pueden terminar utilizándose como punto de partida para ataques posteriores. Hudson Rock, por ejemplo, ha documentado casos en los que credenciales obtenidas mediante infostealers terminaron facilitando accesos a servicios de terceros.
Uno de los ejemplos publicados por Hudson Rock resulta especialmente ilustrativo: una infección por Redline en un empleado de un proveedor externo permitió obtener credenciales corporativas que, posteriormente, fueron utilizadas para acceder al servicio de un tercero y extraer información.
Es decir, el ordenador infectado no era necesariamente el objetivo final , era el lugar donde estaban las credenciales que conducían hasta él.
El infostealer como «reconocimiento involuntario»
Hay otra característica que me parece especialmente interesante.
Un infostealer puede proporcionar al atacante una visión bastante diferente de la víctima.
No solo:
«Esta persona tiene una cuenta.»
Sino:
«Esta persona utiliza estos servicios, visita estos dominios, tiene estas aplicaciones, ha iniciado sesión en estos sistemas y tiene relación con estas organizaciones.»
Ese conjunto de información puede ser tremendamente valioso, de hecho, algunas plataformas de inteligencia de amenazas especializadas en infostealers analizan incluso el historial de navegación asociado a infecciones para intentar determinar cuál pudo ser el origen de la infección y reconstruir su recorrido. Hudson Rock documenta actualmente este tipo de análisis de infección para determinadas familias de stealers.
Y aquí aparece una idea que conecta bastante bien con nuestros artículos anteriores, el atacante está estudiando el objetivo antes de decidir qué hacer con él.
En Focus hablábamos de estudiar a la víctima y controlar su atención.
En Atrápame si puedes, de utilizar información y comportamiento para conseguir que alguien acepte una identidad falsa.
En un infostealer ocurre algo diferente, pero relacionado, el propio dispositivo puede convertirse en una fuente de información sobre su propietario.
La parte incómoda: el ataque puede empezar mucho antes de que exista una brecha
Supongamos que una empresa descubre que una cuenta corporativa ha sido utilizada desde una ubicación extraña, el incidente puede parecer inicialmente un problema de credenciales, pero quizá la contraseña no fue obtenida mediante phishing, quizá no hubo una vulnerabilidad en el servidor, quizá nadie atacó directamente la VPN, quizá alguien infectó el ordenador personal del empleado semanas antes.
Y ese ordenador contenía una sesión o una credencial que posteriormente permitió acceder a la infraestructura corporativa.
La cadena podría ser:
malware → robo de información → credencial → acceso legítimo → incidente corporativo
Esto es importante para los equipos defensivos porque el punto en el que se descubre el incidente puede estar muy lejos del punto donde comenzó.
La primera pregunta puede ser:
«¿Quién ha utilizado esta cuenta?»
Pero quizá haya que hacer otra:
«¿Dónde estaban las credenciales de esa cuenta antes de que apareciera este acceso?»
¿Cómo saber si nuestros datos aparecen en una brecha?
Aquí es donde podemos utilizar herramientas públicas, aunque conviene distinguir dos fenómenos diferentes, una cosa es que una empresa haya sufrido una brecha de datos, otra muy diferente es que un equipo haya sufrido una infección por un infostealer.
Para el primer caso, una de las herramientas más conocidas es Have I Been Pwned.
Permite comprobar si una dirección de correo aparece asociada a brechas conocidas y consultar qué tipo de información se vio comprometida. Actualmente mantiene un catálogo de más de mil brechas cargadas en su servicio, por ejemplo, su base incluye brechas recientes como la de RingCentral de julio de 2026, en la que se comunicó la exposición de direcciones de correo, nombres, teléfonos y direcciones físicas de una parte de sus clientes.
Y esto es importante: que tu correo aparezca en Have I Been Pwned no significa que tengas un infostealer.
Significa que esa dirección aparece en información procedente de una brecha que HIBP ha incorporado, son problemas distintos.
Para investigar el ecosistema de infostealers existen plataformas especializadas como Hudson Rock, que trabajan con inteligencia derivada de infecciones y credenciales robadas. Su documentación incluso describe análisis de infecciones y de las posibles rutas que llevaron a la infección.
La diferencia es fundamental:
HIBP te ayuda principalmente a responder «¿ha aparecido mi cuenta en una brecha conocida?»
Mientras que la inteligencia sobre infostealers intenta responder preguntas más próximas a:
«¿qué máquinas fueron infectadas, qué información se obtuvo y qué accesos podrían derivarse de ella?»
El gran problema del infostealer: puede parecer que no ha ocurrido nada
Y quizá esta sea la mejor conexión con Mr. Robot, imaginemos un ransomware, en algún momento, alguien verá los archivos cifrados, el ataque se hace visible.
Ahora imaginemos un infostealer.
El usuario abre su navegador, todo funciona.
Consulta el correo, todo funciona.
Entra en una aplicación, todo funciona.
Cierra el ordenador, todo parece normal.
Mientras tanto, puede haber información que ya no está bajo su control, eso hace que el tiempo juegue a favor del atacante.
Una contraseña puede cambiarse. Una sesión puede revocarse.Un token puede invalidarse.
Pero si el atacante ya ha utilizado una credencial para acceder a otro sistema, tenemos que investigar qué ocurrió después.
Y aquí aparece la verdadera cadena:
El infostealer no necesita completar el ataque. Solo necesita entregar al atacante el siguiente paso.
De Mr. Robot al mundo real
Por eso me parece que Mr. Robot es un buen punto de partida para hablar de infostealers.
La escena de Ollie sirve como una representación muy sencilla:
infectar → recopilar → utilizar
Pero el mundo real puede añadir muchas capas:
infectar → recopilar credenciales y sesiones → identificar servicios utilizados → probar qué accesos siguen siendo válidos → acceder a una cuenta → descubrir nuevos recursos → escalar el impacto
Y aquí aparece algo que hemos repetido varias veces en los artículos anteriores. El ataque rara vez consiste en una única acción espectacular, muchas veces es una cadena, una acción hace posible la siguiente.
Una credencial abre una puerta, una sesión permite descubrir otra, una cuenta permite encontrar un servicio, un servicio permite llegar a otro…
Hasta que alguien se da cuenta de que el incidente que está investigando hoy comenzó, en realidad, semanas atrás en el ordenador de una persona. Quizá esa sea la mejor manera de entender un infostealer.
No es necesariamente el ladrón que entra en tu casa para llevarse algo.
Es el que entra, mira qué llaves tienes encima de la mesa, hace una copia y se marcha sin que notes absolutamente nada.
Y cuando utiliza esas llaves, el problema ya no está en la mesa, está en todas las puertas que esas llaves pueden abrir.
