Cómo hackean a las pymes: infostealers, phishing y BEC

Por PathSentinel · Jesús Macías Rubiales — Investigación de seguridad web

La mayoría de los ataques que investigamos no empiezan con un exploit sofisticado ni con un zero-day. Empiezan con algo mucho más barato para el atacante: una contraseña válida. Un empleado que reutiliza la misma clave desde 2021, un ordenador con un troyano que copia todo lo que hay guardado en el navegador, un correo que imita a la perfección al banco o al proveedor. El acceso inicial casi nunca es ruidoso. Cuando la pyme se da cuenta, el intruso ya lleva dentro semanas.

Si buscas entender cómo hackean realmente a las pymes y los e-commerce —y no la versión de película—, esta es la página que reúne todo el mapa. Aquí explicamos las cuatro vías por las que un atacante consigue el primer punto de apoyo en tu empresa: robo de credenciales, infostealers, phishing y fraude del CEO (BEC). Cada sección enlaza a un análisis en profundidad para que puedas bajar al detalle técnico cuando lo necesites.

El acceso inicial: por qué la puerta de entrada casi siempre son las credenciales

En seguridad ofensiva se habla del acceso inicial como la fase en la que el atacante consigue ejecutar código o iniciar sesión en un sistema de la víctima por primera vez. Para una pyme sin equipo de seguridad interno, esa fase se resuelve en la inmensa mayoría de los casos por una de estas tres puertas:

• Credenciales robadas o filtradas que siguen siendo válidas (correo, panel de WordPress, hosting, banca, Microsoft 365 o Google Workspace).
• Malware que roba esas credenciales directamente del equipo del empleado, sin que haga falta adivinar nada.
• Engaño directo a la persona, para que teclee la contraseña en una web falsa o autorice un pago o un cambio.

Lo que tienen en común es que no explotan un fallo del software, sino un fallo de la cadena de confianza: una clave que no debería seguir viva, un ordenador que no debería estar infectado, un correo que no debería parecer legítimo. Por eso las defensas que de verdad funcionan aquí no son «un antivirus más», sino higiene de credenciales, doble factor y capacidad de detectar la sesión anómala a tiempo. El estándar de referencia, el marco MITRE ATT&CK, cataloga precisamente estas técnicas de acceso inicial y ayuda a entender qué mirar.

Infostealers: el ladrón silencioso dentro del navegador

Un infostealer (o ladrón de información) es un tipo de malware con un único objetivo: recolectar todo lo que sirva para suplantar a la víctima y venderlo. En segundos copia las contraseñas guardadas en el navegador, las cookies de sesión, los datos de autorrelleno, las carteras de criptomonedas y, a menudo, capturas de pantalla del equipo. Luego se cierra y desaparece, dejando poco rastro visible para el usuario.

El detalle que más subestiman las pymes es el de las cookies de sesión. Con una cookie válida, el atacante entra en el correo o en el panel de administración sin necesitar la contraseña ni el segundo factor: reutiliza la sesión ya autenticada del empleado. Por eso un solo portátil infectado puede comprometer media empresa.

Explicamos el funcionamiento completo, desde la infección hasta la venta del «log», en qué es un infostealer y cómo roba las contraseñas de tu empresa. Y analizamos las dos familias que más incidentes están generando hoy:

• RedLine Stealer: el malware que vacía los navegadores de tus empleados — durante años el infostealer más extendido, distribuido a través de cracks, instaladores falsos y adjuntos.
• Lumma Stealer: el infostealer de moda que alimenta el fraude a pymes — el modelo malware-as-a-service que ha heredado buena parte de ese mercado y que abastece de credenciales a grupos de fraude.

De un portátil infectado a decenas de webs caídas

El salto entre «un empleado infectado» y «un incidente grave» es más corto de lo que parece cuando esa persona gestiona accesos de terceros. Es exactamente lo que documentamos en el caso de credenciales de agencia robadas: un login que compromete decenas de webs: el ordenador de un profesional de una agencia queda infectado, y con esa única credencial el atacante llega a todas las webs de clientes que la agencia administraba. Un punto débil, efecto en cascada.

Reutilización de contraseñas: por qué una fuga vieja te sigue hackeando

Aunque nadie infecte tu equipo hoy, es muy probable que alguna contraseña de tu empresa ya esté circulando en una filtración antigua. Miles de millones de credenciales de brechas de servicios de terceros están recopiladas y a la venta. El problema no es la fuga en sí: es que las personas reutilizan la misma contraseña en el correo del trabajo, en el hosting y en la tienda online.

Los atacantes automatizan esto con credential stuffing: prueban millones de combinaciones usuario/clave filtradas contra tu panel de acceso hasta que una funciona. Si compartes claves entre servicios, una brecha de 2022 en una web ajena puede acabar en el compromiso de tu correo corporativo en 2026. Lo desarrollamos en reutilización de contraseñas: por qué una fuga de 2022 aún te hackea.

Comprobar si tus direcciones aparecen en filtraciones conocidas es gratis y toma un minuto en el servicio de referencia Have I Been Pwned. Si sale alguna, esa contraseña debe considerarse quemada en todas partes donde se haya usado.

Phishing: cuando el atacante te pide la llave y se la das

El phishing sigue siendo la vía más rentable porque ataca al eslabón que ningún parche corrige: la persona con prisa. Un correo que imita a Microsoft, al banco o a un proveedor te lleva a una web idéntica a la real, y ahí tecleas tu usuario y tu contraseña con tus propias manos. El phishing moderno además captura el código del segundo factor en tiempo real mediante páginas intermediarias, de modo que tener 2FA por SMS ya no basta por sí solo.

En el caso concreto de quien gestiona webs, el objetivo suele ser el panel de administración. Un correo que simula una alerta de seguridad de tu CMS, una actualización urgente o un comentario pendiente de moderar te lleva a un falso wp-login.php. Lo analizamos en phishing a administradores web: los correos que roban tu panel WordPress, con las señales concretas para distinguir el correo legítimo del cebo.

Fraude del CEO y BEC: el ataque que factura por ti

El BEC (Business Email Compromise, o compromiso del correo empresarial) es el ataque con más impacto económico directo para una pyme, y a menudo el más silencioso. Aquí el atacante no busca cifrar tus archivos ni tumbar tu web: busca dinero real, desviado con documentación aparentemente legítima.

La mecánica tiene dos variantes principales:

• Fraude del CEO: el atacante suplanta a un directivo (correo parecido o cuenta realmente comprometida) y ordena a administración o a finanzas una transferencia urgente y confidencial, presionando para saltarse los controles habituales.
• Fraude de la factura / cambio de IBAN: tras leer el correo real de la empresa durante semanas, el atacante escribe a un cliente haciéndose pasar por ti y le comunica un «nuevo número de cuenta». El cliente paga una factura legítima… a la cuenta equivocada.

Cuando el buzón está de verdad comprometido, el atacante suele crear reglas de reenvío y filtros ocultos para leer y borrar los correos que podrían delatarlo. Cómo entran, cómo se mueven y cómo llegan a facturar en tu nombre está detallado en secuestro de correo empresarial (BEC): cómo entran y facturan por ti. El IC3 del FBI lleva años situando el BEC entre las categorías de fraude con mayores pérdidas reportadas a nivel mundial, muy por encima del ransomware.

Si sospechas que uno de tus buzones ya está intervenido, los indicadores más fiables —reglas que no creaste, sesiones desde ubicaciones extrañas, correos enviados que no recuerdas— están reunidos en nuestra guía práctica: ¿han comprometido tu correo? Señales de un buzón secuestrado.

Las cuatro vías, de un vistazo

Vía de acceso inicial	Qué busca el atacante	Señal temprana	Defensa clave
Infostealer	Contraseñas y cookies del navegador	Inicios de sesión desde IP/país nuevos	2FA no-SMS, EDR, cerrar sesiones activas
Reutilización de contraseñas	Claves válidas ya filtradas	Aparición en brechas conocidas	Gestor de contraseñas, claves únicas
Phishing	Que teclees tú la contraseña	Correos con urgencia y enlaces raros	Formación, 2FA resistente, filtros
BEC / fraude del CEO	Dinero vía transferencia o IBAN	Reglas de reenvío que no creaste	Doble verificación de pagos por otro canal

Cómo se defiende una pyme sin equipo de seguridad

La buena noticia es que las mismas medidas cubren varias vías a la vez. Por orden de impacto:

• Doble factor en todo lo crítico (correo, hosting, panel web, banca), y preferiblemente con aplicación o llave física en vez de SMS.
• Contraseñas únicas y largas gestionadas con un gestor, para que ninguna fuga externa arrastre a tus servicios.
• Verificación por segundo canal de cualquier pago o cambio de IBAN: una llamada telefónica frena la mayoría de los BEC.
• Vigilancia de accesos anómalos: reglas de reenvío nuevas, sesiones desde ubicaciones imposibles, logins fuera de horario.
• Formación breve y realista a quien maneja correo y pagos, con ejemplos de los cebos que se usan hoy.

Para reforzar la parte humana, organismos como INCIBE publican recursos gratuitos orientados a pymes en español. Y para la parte técnica, saber en qué estado está expuesta tu web y tu correo es el primer diagnóstico honesto.

En PathSentinel investigamos estos incidentes de principio a fin: reconstruimos por dónde entró el atacante, qué credenciales quedaron comprometidas y qué hay que rotar para cerrar la puerta de verdad, no solo aparentemente. Cada uno de los enlaces de esta página lleva al análisis técnico de una de esas vías; empieza por la que más se parezca a lo que estás viendo en tu empresa.