¿Cuántas veces has hecho clic en ese botón sin pensarlo dos veces? “Recordar contraseña”. Suena práctico, casi inocente. El navegador se ofrece a memorizar por ti y tú aceptas, agradecido, sin teclear otra vez esa combinación imposible de símbolos que te exigieron al registrarte. Respiras tranquilo. Pero esa comodidad es un espejismo peligroso.
Mientras tú confías, los datos cantan otra historia. En España, durante 2024, las tres contraseñas más repetidas fueron “123456”, “123456789” y “12345678”, según las contraseñas más usadas en España en 2024 analizadas por NordPass sobre 2,5 terabytes de credenciales filtradas.
Cifras que son una invitación abierta a los hackers. El navegador no es un guardián de tu identidad; es, en realidad, un vector de exposición masiva que los ciberdelincuentes han aprendido a explotar con una eficacia industrial.
El panorama de amenazas: las credenciales, el nuevo phishing
El mapa del cibercrimen ha cambiado y las credenciales son ahora el botín más goloso. El M‑Trends Report 2025 de Mandiant, propiedad de Google, reveló que el robo de credenciales ya supera al phishing como vector de infección inicial, con un 16% de prevalencia frente al 14% de los engaños tradicionales.
Solo la explotación de vulnerabilidades sigue por delante, con un 33%. Los atacantes ya no necesitan engañarte para que descargues un archivo; prefieren entrar con la llave que tú mismo dejaste puesta.
Y esa llave abre demasiadas puertas. Según el análisis de Sophos X‑Ops, las credenciales comprometidas estuvieron presentes en el 56% de los ciberataques que derivaron en robo de datos o ransomware, más que en 2022.
El problema tampoco distingue entre tu equipo personal y el de tu empresa. Según el informe Sophos State of Ransomware 2025, las credenciales comprometidas fueron una causa común de los ataques de ransomware analizados.
Por si fuera poco, la calidad de las contraseñas que circulan por la darknet es desastrosa. Un análisis de Kaspersky sobre 193 millones de credenciales filtradas mostró que el 45% se puede adivinar en menos de un minuto. Solo el 23% era lo bastante resistente como para tardar más de un año en comprometerse.
¿De verdad crees que tu “Mascota2020*” va a detener a un ejército de malware diseñado para vaciar navegadores?
El doble tesoro del navegador: cookies de sesión y vault de contraseñas
Tu navegador guarda dos tipos de joyas que los atacantes ansían. La primera no es tu contraseña, sino la llave maestra que abre la sesión sin necesidad de ella.
Cookies de sesión: la llave maestra que ignora tus cambios de contraseña
Se han filtrado más de 93.000 millones de cookies en la dark web, un 74% más que el año anterior, según una investigación de NordVPN. Lo más alarmante es que un porcentaje de esas cookies siguen activas, lo que significa que cualquier atacante puede usarlas ahora mismo para suplantar identidades. España no sale bien parada: ocupa el puesto 15 mundial, con cerca de 139 millones de cookies robadas vinculadas a actividad real de usuarios.
El secuestro de cookies (cookie hijacking) permite a los atacantes colarse en tus cuentas sin saber tu contraseña, incluso si la cambias después. Lo consiguen mediante ataques Man-in-the-Middle en redes Wi-Fi inseguras o explotando endpoints olvidados.
De hecho, investigadores de Cloudsek descubrieron que infostealers como Lumma, Rhadamanthys y otros pueden restaurar cookies de sesión de Google ya caducadas explotando un endpoint no documentado de Google OAuth. Cerraste sesión y cambiaste la clave, pero la puerta trasera seguía abierta.
Consciente del desastre, Google está desarrollando la tecnología DBSC (Device Bound Session Credentials) para vincular las sesiones al dispositivo físico, y tanto Microsoft Edge como Okta han mostrado interés en adoptarla.
El hecho de que los propios navegadores busquen soluciones urgentes confirma la magnitud del agujero.
La base de datos silenciosa: cómo los infostealers leen tu ‘Login Data’
El segundo tesoro es más obvio: las contraseñas que almacenas en el navegador. Chrome, Edge y otros navegadores basados en Chromium guardan tus credenciales en un archivo SQLite llamado Login Data. Firefox utiliza key4.db. Ninguno de estos archivos está realmente a salvo si no has configurado una contraseña maestra (algo que la mayoría de los usuarios omite).
Los infostealers no necesitan “romper” ningún cifrado complejo porque el sistema se lo da hecho. En Windows, Chrome y Edge usan la API DPAPI (Data Protection API) para proteger la clave de cifrado.
Pero un malware que se ejecuta con los mismos permisos de tu usuario puede llamar a esa misma API y obtener la clave en texto plano, como explica el análisis de RedesZone. Es como guardar la llave de una caja fuerte en un cajón que cualquier programa puede abrir.
Infostealers: el ejército silencioso que vacía tu navegador
Estos programas no son obra de genios aislados. Forman parte de un negocio criminal cada vez más profesionalizado y barato.
El crecimiento en España y Latinoamérica ha sido explosivo. Según la telemetría de ESET, Lumma Stealer registró un aumento del 395% en detecciones durante el segundo semestre de 2024, con más de 50.000 casos y entrando por primera vez en el top 10 de amenazas. Sus mayores concentraciones se dieron en Perú, Polonia, España, México y Eslovaquia.
Mientras tanto, Formbook (XLoader) creció un 200% en el mismo periodo, difundido principalmente por adjuntos maliciosos de phishing. Ambos están especializados en robar cookies, credenciales guardadas, billeteras de criptomonedas y extensiones de 2FA.
Cualquiera con malas intenciones y unos pocos dólares puede lanzar una campaña de infostealer gracias al modelo MaaS (malware as a service).
Un panel de comando y control cuesta desde 50 dólares al mes, según la Counter Threat Unit de Sophos. El delincuente no necesita saber escribir código; solo paga la suscripción, configura unos parámetros y espera a que las credenciales empiecen a llegar.
En España ya hemos vivido las consecuencias. En 2024, el robo de una sola contraseña provocó un incidente masivo en una empresa de telecomunicaciones. Un infostealer infectó un ordenador corporativo y extrajo la clave de acceso al registro RIPE.
Sin 2FA activado y sin rotación de credenciales, los atacantes manipularon el registro regional de internet y causaron una caída de servicios que afectó a miles de usuarios.
La firma de ciberseguridad Tarlogic documentó que la infección inicial ocurrió en septiembre de 2023, pero el ataque se ejecutó meses después, con la víctima sin saber nada.
Del robo de cookies al ransomware: la cadena de valor de tus credenciales
¿Qué ocurre con tus datos una vez que salen de tu equipo? Las credenciales extraídas se empaquetan en “registros” y se venden en mercados de la dark web o en canales de Telegram. Un paquete con acceso a una cuenta corporativa puede ser mucho más rentable que los datos de una tarjeta de crédito.
Los intermediarios de acceso inicial compran esos registros y los revenden a operadores de ransomware, que los utilizan para infiltrarse en redes empresariales. De repente, aquel clic de “recordar contraseña” que diste hace seis meses es el origen de un secuestro de datos que paraliza una compañía entera.
Según el informe Sophos State of Ransomware 2025, las credenciales comprometidas fueron una causa común de los ataques de ransomware analizados.
La brecha temporal entre la infección silenciosa y el ataque de alto impacto puede ser de meses, tiempo durante el cual la víctima no tiene la menor sospecha.
Checklist: ¿tu gestor de identidad digital realmente te protege?
Llegados a este punto, la pregunta no es si necesitas protegerte, sino si la herramienta que estás usando ahora mismo está a la altura del problema. Vamos a medirlo con cinco criterios reales.
Cinco criterios para evaluar la protección real
- Cifrado de extremo a extremo y arquitectura de conocimiento cero. El proveedor no debe poder acceder a tus datos bajo ninguna circunstancia.
- Resistencia ante infostealers. Las credenciales no deben residir en archivos locales vulnerables al malware.
- Monitoreo de brechas y dark web. Debe alertarte automáticamente si tus datos aparecen en filtraciones.
- Autenticación multifactor integrada. Capacidad de gestionar TOTP y passkeys sin aplicaciones externas.
- Control sobre sesiones y cookies. Mecanismos que mitiguen el secuestro de sesión.
Ahora, compara.
El gestor de contraseñas del navegador falla en estos criterios. Su cifrado depende de la API DPAPI de Windows, que cualquier malware con los mismos permisos puede esquivar. Los archivos Login Data y key4.db están expuestos. El 2FA requiere otra app. Y las cookies, como hemos visto, son robadas a escala masiva.
Un gestor de contraseñas dedicado resuelve estos puntos con una arquitectura pensada para la amenaza actual.
La diferencia no es menor: almacenar contraseñas no es lo mismo que defender tu identidad digital.
Caveats y contrapuntos: ninguna herramienta es infalible
Que quede claro: ni la mejor tecnología puede salvar a quien la usa mal. Reutilizar contraseñas entre servicios, ignorar las alertas de brechas o no activar el 2FA anula cualquier ventaja técnica. El eslabón humano sigue siendo el más frágil.
Iniciativas como DBSC de Google demuestran que incluso los navegadores reconocen el problema del robo de cookies, pero su implementación es incipiente y masiva. Mientras tanto, el riesgo es real y presente. Migrar a un gestor dedicado exige disciplina y un cambio de hábitos.
Además, concentrar todos los secretos en un solo proveedor tiene su propio riesgo: por eso mantener un backup offline de las credenciales críticas sigue siendo una práctica recomendable.
Conclusión: tu identidad digital merece más que un botón de “recordar”
Durante años hemos delegado la custodia de nuestras claves en el navegador, creyendo que ese botón de “recordar contraseña” era un gesto inocente. Hoy sabemos que los infostealers y el robo de cookies han convertido ese atajo en una autopista para los atacantes.
Los datos de 2024-2025 son rotundos: las credenciales robadas ya superan al phishing como puerta de entrada y alimentan de forma directa la cadena del ransomware. La buena noticia es que disponemos de criterios claros para elegir una defensa real: cifrado extremo a extremo, resistencia al malware local y monitoreo activo de filtraciones.
Apostar por un gestor de contraseñas con arquitectura de conocimiento cero no es un lujo técnico, sino una respuesta fundamentada a las amenazas que nos rodean.
La pregunta que deberías hacerte hoy no es si merece la pena cambiar de herramienta, sino cuánto vale la identidad digital que estás dejando desprotegida en tu navegador. Revisa ahora dónde guardas tus credenciales.
Si tu herramienta solo las recuerda, pero no las defiende, ha llegado el momento de buscar algo mejor.
