Secuestro de sesiones: cómo reducir el riesgo en accesos corporativos
Los atacantes no siempre necesitan conocer una contraseña para acceder a una cuenta corporativa. El robo de cookies y tokens de sesión puede permitir reutilizar una autenticación legítima y acceder a aplicaciones empresariales.
En organizaciones con múltiples nubes, proveedores y miles de identidades, proteger la sesión completa exige combinar autenticación resistente al phishing, gestión de identidades, dispositivos administrados y monitoreo continuo.
Cada vez que una persona inicia sesión en el correo corporativo, un ERP, una plataforma SaaS o un servicio cloud, se generan credenciales que permiten mantener ese acceso sin solicitar la contraseña en cada interacción.
Según la aplicación y el mecanismo de autenticación, estas credenciales pueden adoptar distintas formas, como cookies de sesión, access tokens o refresh tokens. Si un atacante consigue apropiarse de una credencial reutilizable, puede intentar acceder a recursos como si la autenticación ya hubiese sido completada.
Este riesgo se conoce como secuestro de sesión. FIDO Alliance advierte que el robo de cookies de sesión puede permitir eludir incluso una autenticación multifactor previamente realizada.
El secuestro de sesiones es una vulnerabilidad que consiste precisamente en comprometer un identificador válido para acceder a una aplicación en nombre de otra persona.
¿Cómo puede una sesión corporativa terminar en manos de un atacante?
Una sesión puede quedar expuesta mediante malware instalado en un endpoint, phishing diseñado para interceptar una autenticación, software malicioso en el navegador o vulnerabilidades que comprometan los tokens utilizados por una aplicación.
El escenario resulta especialmente complejo en una gran organización. Un mismo usuario puede acceder diariamente a Microsoft 365, plataformas financieras, aplicaciones internas, sistemas cloud y servicios de terceros desde diferentes dispositivos y redes.
Imagine que un ejecutivo completa correctamente el segundo factor y entra a una aplicación empresarial.
Más tarde, malware presente en su equipo extrae una cookie válida del navegador. El atacante intenta reutilizar esa sesión desde otro dispositivo, sin necesidad de repetir todo el proceso de autenticación.
Cambiar la contraseña es una acción necesaria frente a una cuenta comprometida, pero no debe asumirse que esa medida cerrará inmediatamente todas las sesiones existentes. La capacidad de revocar accesos depende del tipo de token y de cómo cada aplicación gestiona sus propias sesiones.
El desafío: miles de identidades y aplicaciones
En una gran empresa, revisar manualmente las sesiones de cada trabajador deja de ser una estrategia viable. La organización necesita saber qué identidades existen, qué privilegios poseen, desde qué dispositivos acceden y qué aplicaciones utilizan.
La superficie incluye empleados, administradores, contratistas, proveedores externos y cuentas de servicio. A esto se agregan accesos heredados que pueden mantenerse después de cambios de cargo, proyectos terminados o desvinculaciones.
Por eso, la protección de sesiones debe formar parte de una estrategia más amplia de Identity and Access Management (IAM) y, para accesos sensibles, de Privileged Access Management (PAM).
Las soluciones de ciberseguridad de Entel Digital contemplan capacidades de IAM y PAM, junto con EDR, NG-SIEM, MDR y Zero Trust Network Access (ZTNA), entre otras herramientas orientadas a distintas capas de protección corporativa.
El objetivo no es acumular productos. Es conectar identidad, endpoint, aplicación y monitoreo para que una sesión aparentemente válida pueda ser cuestionada cuando su comportamiento deja de ser coherente.
La autenticación resistente al phishing reduce una parte del riesgo
La autenticación multifactor continúa siendo una barrera relevante, aunque no todos los mecanismos ofrecen el mismo nivel de resistencia frente al phishing.
Las passkeys y llaves de seguridad basadas en FIDO y WebAuthn vinculan la autenticación al servicio legítimo. Esto dificulta que una página falsa capture una credencial reutilizable mediante el phishing tradicional.
En una gran organización, la migración puede priorizar primero las identidades cuyo compromiso tendría un impacto mayor:
- Cuentas con privilegios administrativos
- Personal con acceso a información financiera o sensible
- Administradores de infraestructura y servicios cloud
- Accesos remotos y VPN
- Operadores de sistemas críticos
- Cuentas capaces de modificar identidades, permisos o políticas de seguridad
La autenticación resistente al phishing, sin embargo, protege principalmente el momento de autenticarse. Una vez creada una sesión válida, también es necesario proteger los tokens que la mantienen activa.
Qué debería revisar una gran empresa
La gestión de sesiones necesita políticas diferenciadas según el riesgo. No tiene sentido aplicar exactamente las mismas condiciones a una cuenta administrativa y a un usuario con acceso limitado a una aplicación interna.
Entre los controles que una organización puede evaluar están la autenticación resistente al phishing para identidades críticas, la revocación centralizada de accesos, la administración de cuentas privilegiadas, políticas de acceso condicional y la incorporación de dispositivos administrados como señal de confianza.
También conviene centralizar los eventos de autenticación y establecer procedimientos claros para desvinculaciones, cambios de rol, pérdida de dispositivos y cuentas comprometidas.
Los tiempos de sesión merecen atención, aunque reducir indiscriminadamente la duración de los tokens no siempre mejora la seguridad. Microsoft señala que una estrategia basada únicamente en acortar su vida útil puede deteriorar la experiencia del usuario sin eliminar el riesgo, razón por la que mecanismos de evaluación continua permiten reaccionar ante eventos concretos.
Proteger lo que ocurre después del login
Las contraseñas continúan siendo una pieza de la identidad digital, pero una arquitectura corporativa no puede dar por segura una sesión únicamente porque el usuario superó correctamente el login.
Cookies, tokens, privilegios, dispositivos y comportamiento posterior también forman parte del acceso.
Para una gran empresa, eso implica pasar de una seguridad centrada en credenciales hacia una gestión continua de identidades y sesiones. La autenticación resistente al phishing reduce el riesgo inicial. IAM y PAM controlan quién puede hacer qué. EDR aporta visibilidad sobre los endpoints, mientras el monitoreo centralizado ayuda a identificar comportamientos que merecen una respuesta.
Una identidad correctamente autenticada puede terminar comprometida minutos después. La pregunta que necesita responder la organización, entonces, no es solamente quién inició sesión, sino si ese acceso sigue siendo confiable mientras permanece abierto.