Un infostealer (abreviatura en inglés de information stealer) es un tipo de malware diseñado para recopilar silenciosamente datos confidenciales de un dispositivo infectado y enviarlos a un atacante. Se dirige a contraseñas guardadas, cookies del navegador, tokens de sesión, datos de autocompletado y monederos de criptomonedas, a menudo sin que la víctima se dé cuenta de nada.
Los infostealers se han convertido rápidamente en el motor detrás del robo de credenciales moderno. Solo en la primera mitad de 2025, robaron un estimado de 1,800 millones de credenciales, un aumento del 800% con respecto a los seis meses anteriores. Esos inicios de sesión robados no se quedan simplemente en un foro de la dark web. Son el punto de partida en las apropiaciones de cuentas, el fraude y una proporción cada vez mayor de ataques de ransomware.
Fuentes: Flashpoint Global Threat Intelligence Index, edición de mitad de año 2025; Informe de investigaciones sobre violaciones de datos de Verizon de 2025.
Un infostealer se ejecuta silenciosamente en segundo plano en un dispositivo infectado, escaneando datos valiosos y enviándolos de vuelta al atacante. La mayoría sigue el mismo patrón de tres pasos: infectar, recopilar y exfiltrar.
Una vez que se instala en una máquina, el malware examina los lugares de almacenamiento habituales: contraseñas guardadas en el navegador, cookies y tokens de sesión, campos de autocompletado, clientes de correo electrónico, aplicaciones de mensajería y archivos de monederos de criptomonedas. Lo empaqueta todo en un "registro" y lo envía a un servidor de comando y control, a menudo en cuestión de segundos. Muchos infostealers luego se eliminan para cubrir sus huellas.
La mayoría se venden como malware como servicio (MaaS). Por tan solo 200 $ al mes, un atacante poco calificado puede alquilar un kit de infostealer pulido, completo con paneles de control y soporte. Esa baja barrera de entrada es una de las principales razones por las que la amenaza se ha disparado. Entre las familias más conocidas se encuentran Lumma Stealer, RedLine y Raccoon.
Los infostealers buscan cualquier cosa que pueda venderse o reutilizarse para comprometer una cuenta. Los objetivos más comunes:
Los ladrones de información llegan a las víctimas a través de los mismos canales cotidianos en los que la gente ya confía. Los métodos comunes de propagación incluyen:
Un solo portátil infectado puede poner en riesgo a una organización completa. Los ladrones de información son importantes por las consecuencias que generan después del robo.
Las credenciales robadas impulsan ataques mayores. Según el Informe de investigaciones sobre violaciones de datos de Verizon de 2025, los dominios del 54% de las víctimas de ransomware aparecieron en los registros de los ladrones de información antes de que ocurriera el ataque. Los agentes de acceso inicial compran estos registros, seleccionan los inicios de sesión corporativos de VPN, RDP y nube, y venden acceso listo para usar a grupos de ransomware. El intervalo entre un registro robado y un incidente de ransomware en toda regla puede ser de menos de 48 horas.
También logran eludir el MFA. Al robar cookies de sesión activas, los atacantes pueden reproducir una sesión ya iniciada y acceder a cuentas sin tener que ingresar una contraseña ni un código de un solo uso. La M.F.A. tradicional por sí sola no los detendrá.
Para una empresa, eso significa que el robo de credenciales no es una molestia menor de TI. A menudo es la primera ficha de dominó en violaciones de datos, fraudes financieros y ransomware que pueden detener las operaciones.
Los infostealers están diseñados para permanecer ocultos, pero dejan rastros. Preste atención a:
Debido a que el malware a menudo se elimina automáticamente, la monitorización de credenciales y la detección de endpoint suelen detectar infostealers más rápido que esperar a que aparezcan los síntomas obvios.
Puede reducir tanto las probabilidades de infección como el radio de explosión si una infección logra pasar. Las defensas sólidas incluyen:
Los ladrones de información suelen ser el primer paso, no el último. Las credenciales que recolectan suelen derivar en ataques de ransomware o en la destrucción de datos más adelante. Veeam no puede evitar que el malware llegue a un endpoint, pero se asegura de que una contraseña robada no se convierta en una catástrofe para su empresa.
Con backups seguros e inmutables y una recuperación confiable, Veeam le ayuda a superar el ransomware y la pérdida de datos, permitiendo que su empresa siga funcionando. Veeam Data Platform también añade la detección proactiva de amenazas en sus backups, identificando actividades sospechosas a tiempo para que pueda actuar antes de que el daño se propague. Más información sobre la protección contra ransomware y lograr una verdadera resiliencia de datos con Veeam.
Contenido relacionado