Contraseñas Guardadas: La Puerta Más Fácil a tu Negocio
🇺🇸 Read this article in English
El mes pasado me senté con un contratista de Tucson que estaba seguro de que nunca lo habían hackeado. No hubo nota de rescate, ni archivos bloqueados, ni ventanas emergentes raras. Pero alguien había estado leyendo su correo durante unas seis semanas, y la forma en que entraron fue casi aburrida: un empleado descargó un convertidor de PDF “gratis” en su casa, y ese programa copió en silencio todas las contraseñas que la laptop familiar tenía guardadas en Chrome. Una de esas contraseñas era la del correo de la empresa.
Sin correo de phishing. Sin llamada telefónica. Sin deepfake. Solo un navegador que llevaba años recordando fielmente los accesos, y que los entregó todos de una sola vez.
Esta es la parte de la seguridad que no sale en las noticias, y hoy es la forma más común en que los atacantes entran a las pequeñas empresas. Los investigadores que siguen este problema en 2026 contaron más de 1,800 millones de credenciales robadas de unos 5.8 millones de dispositivos infectados, y las contraseñas o cookies de sesión robadas aparecen hoy en la gran mayoría de las brechas. Al mismo tiempo, los equipos de seguridad siguen encontrando lotes de extensiones maliciosas: 108 extensiones falsas de Chrome en una sola campaña que afectó a más de 20,000 usuarios de negocios, y otras 40 extensiones maliciosas de Firefox detectadas en agosto.
Por qué tu navegador es un blanco tan valioso
Piensa en tu navegador como un archivero sin llave que está junto a la puerta principal. Todo lo valioso terminó ahí porque era cómodo. El acceso a tu banco. El portal de nómina. Tu cuenta de Microsoft 365. Tu QuickBooks. El registrador de tu dominio. El lugar donde haces clic en “¿Guardar contraseña?” es el primer lugar donde busca un atacante.
Hay tres puertas hacia ese archivero, y son las tres que quiero que entiendas.
1. Malware ladrón de datos
Es un programa cuyo único trabajo es copiar tus contraseñas guardadas, tus datos de autocompletado y tus cookies de sesión, y enviarlos a un mercado criminal. Llega en software pirata, en avisos falsos de “actualiza tu navegador”, en anuncios maliciosos y en utilidades “gratuitas”. No cifra nada ni pone lenta tu computadora. Nunca sabrías que se ejecutó. Ese es justamente el punto.
2. Extensiones maliciosas del navegador
Las extensiones tienen permiso para leer las páginas que estás viendo: así funciona un corrector de gramática o un buscador de cupones. Una extensión deshonesta usa ese mismo permiso para leer tu correo, tus facturas y tus paneles de administración. Muchas empiezan siendo realmente útiles, acumulan usuarios, y meses después se venden o se actualizan para convertirse en algo dañino.
3. Cookies de sesión robadas
Esta es la que sorprende a los dueños de negocio. Una cookie de sesión es el pequeño token que te mantiene conectado para que no escribas tu contraseña cuarenta veces al día. Si un atacante roba ese token, no necesita tu contraseña ni tu código de autenticación multifactor: simplemente lo pega y ya está dentro de tu cuenta. La autenticación multifactor sigue siendo indispensable, pero no es un escudo perfecto.
Lo que esto le cuesta de verdad a una pequeña empresa
La contraseña casi nunca es el premio. El acceso sí lo es. Una vez que alguien está dentro del correo de la empresa, lee en silencio unas semanas, aprende quién le paga a quién, y después envía una factura muy convincente con datos bancarios nuevos. O usa esa misma contraseña reutilizada en tu herramienta de acceso remoto y mete ransomware. El robo de credenciales es el paso uno; la parte cara viene después.
El otro detalle incómodo: la mayoría de estos accesos robados salen de dispositivos que tú no administras. Una computadora de casa. La laptop de la pareja. Un teléfono personal con el correo del trabajo. Si tu equipo puede llegar a los sistemas de la empresa desde una máquina que nunca inventariaste, esa máquina es parte de tu red, la hayas contado o no.
Lo que puedes hacer esta semana
Nada de esto requiere un presupuesto grande. Requiere decidir hacerlo.
- Deja de guardar contraseñas del negocio en el navegador. Abre la configuración de tu navegador, revisa la lista de contraseñas guardadas y borra las de banca, nómina, correo y contabilidad. Mételas en un administrador de contraseñas de verdad: esas herramientas sí están diseñadas para protegerlas.
- Revisa tus extensiones hoy. Elimina todo lo que no uses activamente o no recuerdes haber instalado. Si no puedes explicar qué hace una extensión por ti, no necesita leer tu pantalla.
- Activa la autenticación multifactor en todo lo que la ofrezca: primero el correo, luego la banca, luego cualquier sistema con datos de clientes. No detiene el robo de cookies, pero sí detiene la gran mayoría de los ataques por contraseñas reutilizadas.
- Pon protección real en los equipos. El antivirus de consumo no detecta de forma confiable el malware ladrón moderno. Para eso existe la protección de endpoints de nivel empresarial, y debe cubrir también las laptops que salen de la oficina.
- Filtra lo que llega al buzón. Mucho de este malware llega como archivo adjunto o enlace, así que el filtrado de spam y virus elimina buena parte de la oportunidad.
- Dile a tu equipo qué debe buscar. Quince minutos de capacitación en concientización de seguridad sobre “no instales software gratis en la máquina que usas para trabajar” evita más daño que la mayoría de las compras de tecnología.
- Asegúrate de que tus respaldos existen y se prueban. Si el robo de credenciales se convierte en algo peor, los respaldos seguros de datos son la diferencia entre una mala tarde y un negocio cerrado.
En resumen
La comodidad fue lo que creó este problema. Cada vez que alguien hizo clic en “Guardar contraseña” para ir un poco más rápido, agregó una llave más a un archivero con una cerradura débil. No tienes que hacerle la vida imposible a tu equipo para arreglarlo: solo tienes que mover las llaves a un lugar que sí fue diseñado para guardarlas, y poner protección decente en las máquinas que tocan tu negocio.
Si no estás seguro de qué hay guardado ni dónde, o qué dispositivos están llegando a tu correo, ese es un punto de partida muy normal. También es exactamente el tipo de cosa a la que vale la pena dedicarle una hora antes de que se convierta en una transferencia que no puedes recuperar.
¿No sabes qué están guardando tus navegadores?
Acompañamos a tu empresa en una revisión sencilla de credenciales guardadas, extensiones y cobertura de endpoints, y te decimos con claridad qué necesita atención.
También puedes conocer nuestras soluciones de ciberseguridad para pequeñas empresas, o revisar el resto del blog de Incognito para más orientación en lenguaje sencillo.
Envíanos un mensaje
¿Tienes preguntas sobre algo de este artículo? Envíalas y las respondo personalmente.
— Nemuel Cruz, Incognito Cyber Security
