Infostealer: qué es y cómo saber si estás infectado

Descargas un "crack" de un programa, o haces clic en una verificación CAPTCHA que te pide pegar un comando en Windows. No pasa nada, el programa abre normal y la vida sigue. Tres días después, alguien entra a tu correo, a tu Instagram y a tu cuenta de la casa de bolsa sin adivinar una contraseña y sin necesitar un código 2FA. El culpable suele ser un infostealer: un malware que no quiere destruir tu PC, solo vaciar tu navegador.

Qué es un infostealer

¿Qué es un infostealer?

Un infostealer es un malware diseñado para robar datos del dispositivo y enviarlos al servidor del atacante: contraseñas guardadas en el navegador, cookies de sesión, tokens, datos de autocompletado y carteras de criptomonedas.

Actúa rápido y casi siempre en silencio. Se ejecuta unos minutos, recoge lo que importa, envía el paquete (los "logs", en la jerga del cibercrimen) y muchas veces se borra. El volumen es enorme: Microsoft contabilizó más de 394.000 computadoras Windows infectadas solo por Lumma Stealer entre marzo y mayo de 2025, y esa cifra respaldó la acción conjunta con el DOJ y Europol que derribó unos 2.300 dominios de su infraestructura. Estos malwares se venden como servicio (malware-as-a-service), incluso en canales de Telegram, así que un delincuente sin conocimientos técnicos puede operar uno.

Cómo llega un infostealer a tu PC

Casi nunca es una falla técnica sofisticada. Es ingeniería social. Los caminos más comunes, según la propia Microsoft y la cobertura de Bleeping Computer y The Register:

• Cracks, keygens y "activadores": software pirata que de verdad abre, pero lleva el stealer incluido.
• Descargas falsas de juegos y películas: el instalador es el malware.
• ClickFix: una página finge ser un CAPTCHA o un error del navegador y te indica presionar Win + R, pegar un comando y dar Enter. El comando lo ejecutas tú, así que el antivirus rara vez lo bloquea en el momento. SentinelOne describe campañas de este tipo que entregan Lumma y otros stealers.
• Anuncios y resultados de búsqueda falsos de programas conocidos, además de extensiones maliciosas de Chrome.

Qué roba (y por qué el 2FA no te salva)

El objetivo principal es el perfil del navegador, donde viven las contraseñas guardadas y las cookies de sesión. La cookie es la "credencial" que te mantiene conectado: quien la copia entra a la cuenta sin contraseña y sin código. Es justo lo que expliqué en robo de cookie de sesión. Las contraseñas robadas, a su vez, alimentan ataques de credential stuffing contra todos los demás servicios donde reutilizaste la misma contraseña.

Señales de que podrías estar infectado

¿Cómo sé si mi PC tiene un infostealer?

La señal más confiable no está en el PC, sino en tus cuentas: inicios de sesión desde lugares y dispositivos que no reconoces, y correos de "nuevo acceso" sin que hayas entrado. En el equipo, el stealer suele dejar poco rastro.

• Alertas de inicio de sesión desde un dispositivo o ciudad desconocidos, incluso con 2FA activado.
• Una cuenta que "se cierra sola" o te pide autenticarte de nuevo sin motivo.
• Mensajes enviados desde tu WhatsApp, Instagram o correo que no escribiste.
• Movimientos raros en una casa de bolsa, exchange o cartera cripto.
• Ejecutaste un crack, un instalador de origen dudoso o pegaste un comando de un sitio de "verificación" en los últimos días.
• Tu correo apareciendo en verificaciones de filtraciones. Puedes comprobarlo en cómo saber si tu correo fue filtrado.

Para una revisión general del equipo, mira las señales de que tu PC fue hackeado.

Qué hacer si sospechas una infección

El orden importa. Cambiar contraseñas antes de limpiar el equipo no sirve: si el stealer sigue activo, roba también la contraseña nueva.

1. Usa otro dispositivo limpio (tu celular, por ejemplo) para todo lo que sigue.
2. Desconecta de internet el PC infectado y ejecuta un análisis completo con Microsoft Defender (modo sin conexión) o con un antimalware de confianza. Si hay duda real, formatear y reinstalar Windows es la salida más segura.
3. Revoca las sesiones activas de correo, redes sociales, banco y casa de bolsa ("cerrar sesión en todos los dispositivos"). Esto invalida las cookies robadas.
4. Cambia las contraseñas, empezando por correo y banco, siempre desde el dispositivo limpio, y solo después vuelve a conectar el PC ya saneado.
5. Revisa los métodos de recuperación, passkeys y 2FA de cada cuenta, porque el atacante pudo registrar los suyos.
6. Avisa a tu banco si hay cualquier señal de acceso financiero.

Cómo reducir el riesgo en el día a día

• No guardes contraseñas en el navegador. Usa un gestor dedicado, como Bitwarden, con una contraseña única por servicio.
• Prefiere las passkeys y el 2FA por app o llave física donde sea posible. No eliminan el robo de cookies, pero reducen mucho lo que entrega una contraseña sola.
• Nunca pegues en Ejecutar o en la Terminal un comando que un sitio te pidió copiar. Ningún CAPTCHA legítimo pide eso.
• Descarga programas solo del sitio oficial del fabricante; desconfía del primer anuncio de Google.
• Mantén el sistema y el navegador actualizados y el antivirus activo.
• Usa una cuenta de usuario estándar en el día a día, sin privilegios de administrador.

La lección de fondo

El infostealer demuestra que el navegador se volvió la caja fuerte de tu vida digital, y la caja se abre sola para quien logre ejecutar código en tu equipo. La seguridad aquí tiene menos que ver con herramientas y más con hábitos: no ejecutar lo que no entiendes, no guardar todo en el mismo lugar y asumir que, si algo se filtra, la cuenta debe seguir protegida por otra capa. Para ver el otro lado de esta historia, lo que pasa cuando la contraseña robada circula, lee sobre cómo proteger tus cuentas contra el credential stuffing.

Fuentes: Microsoft On the Issues (acción contra Lumma Stealer), The Hacker News, The Register y SentinelOne (ClickFix).