El malware como servicio (MaaS) es un modelo de negocio delictivo en el que los desarrolladores alquilan o venden malware listo para usar, con infraestructura y soporte, a otros delincuentes, normalmente por suscripción.
Cómo funciona el malware como servicio
El MaaS copia el modelo de software como servicio de las empresas legítimas. Un desarrollador crea y mantiene el malware y vende el acceso en foros clandestinos y canales de Telegram. Los clientes suelen recibir:
- un builder para generar muestras nuevas empaquetadas de forma única;
- un panel web para gestionar los equipos infectados y descargar los datos robados;
- alojamiento para los servidores de mando, a menudo en servicios de bulletproof hosting;
- actualizaciones para evadir antivirus, documentación y atención al cliente.
Los precios van de suscripciones mensuales a licencias de por vida. El ransomware como servicio es un modelo afín en el que los afiliados reparten beneficios con los desarrolladores en lugar de pagar una cuota fija.
Por qué importa el MaaS
El MaaS rebaja la barrera de entrada: delincuentes sin conocimientos de programación pueden lanzar campañas sofisticadas. Las ofertas más populares son infostealers como RedLine y Lumma, loaders de malware, troyanos de acceso remoto y malware bancario para Android. Las credenciales robadas se revenden y a menudo desembocan en ataques de ransomware y brechas de datos. Las fuerzas de seguridad apuntan cada vez más a los propios servicios: la Operación Magnus desarticuló RedLine y META en 2024, y en 2025 Microsoft y socios internacionales incautaron miles de dominios usados por Lumma.
Cómo defenderse de las amenazas MaaS
- Usar EDR y mantener las detecciones al día, ya que los clientes de MaaS reempaquetan sus muestras continuamente.
- Evitar el robo de credenciales: no guardar contraseñas en el navegador en equipos de trabajo y exigir MFA.
- Formar a los usuarios sobre descargas falsas, programas crackeados y anuncios maliciosos, los principales canales de distribución.
- Vigilar filtraciones de credenciales y tokens de sesión y revocarlos con rapidez.
