El secuestro de sesión (session hijacking) es un ataque en el que el atacante se apodera de la sesión ya autenticada de un usuario robando o falsificando su token de sesión, sin necesidad de conocer la contraseña.
Cómo se produce el secuestro de sesión
Tras iniciar sesión, la web entrega al navegador un token de sesión, normalmente en una cookie, para no pedir la contraseña en cada página. Quien presente ese token es tratado como el usuario. Los atacantes lo obtienen de varias formas:
- Robo de cookies con malware: los infostealers copian las cookies del navegador, que los delincuentes venden e importan en sus propios navegadores («pass-the-cookie»).
- Phishing con intermediario (adversary-in-the-middle): kits como Evilginx hacen de proxy de la página de inicio de sesión real y capturan la cookie de sesión después de que el usuario supere la MFA.
- Cross-site scripting: scripts inyectados leen cookies no protegidas.
- Ataques de intermediario en conexiones sin cifrar.
- Fijación de sesión: se obliga a la víctima a usar un identificador de sesión que el atacante ya conoce.
Por qué es importante
Una sesión robada esquiva las contraseñas e incluso la autenticación de dos factores, porque el inicio de sesión ya se produjo. El robo de sesiones se ha convertido en una técnica clave para apoderarse de cuentas en la nube, de correo y de redes sociales —incluidos grandes canales de YouTube— y es un primer paso frecuente en el compromiso del correo empresarial.
Cómo prevenirlo
- Desarrolladores: marcar las cookies con Secure, HttpOnly y SameSite, renovar el identificador de sesión tras el inicio de sesión y limitar su duración.
- Vincular la sesión al dispositivo —por ejemplo, con Device Bound Session Credentials en Chrome— y volver a verificar al usuario en acciones de riesgo.
- Usar autenticación resistente al phishing (passkeys), que no funciona a través de páginas proxy.
- Usuarios: proteger los equipos frente a infostealers y cerrar las sesiones que no reconozcan.
