- El secuestro de cookies permite a los atacantes suplantar la identidad del usuario saltándose la contraseña.
- Chromium ha implementado la tecnología DBSC para vincular las sesiones al hardware físico del dispositivo.
- Existen diversas vías de infección, desde redes Wi-Fi abiertas hasta extensiones maliciosas en la tienda oficial.
- La prevención requiere una combinación de configuración técnica del navegador y hábitos de navegación seguros.
Seguramente hayas oído hablar de casos donde alguien pierde el acceso a su cuenta de Google en un abrir y cerrar de ojos, sin que el atacante haya necesitado siquiera saber la contraseña. Estamos hablando del secuestro de sesión o robo de cookies, una jugada bastante ruin que permite a un hacker entrar directamente en tu perfil desde su propio ordenador, dejándote fuera de juego en cuestión de segundos y haciendo que recuperar el control sea una auténtica pesadilla.
Para poner freno a este problema, los navegadores de internet y su funcionamiento basado en Chromium han sacado la artillería pesada con una nueva medida de seguridad. Esta herramienta vincula tus cookies al hardware real de tu máquina, lo que significa que si un malintencionado logra copiar tus datos de sesión, no podrá usarlos en otro dispositivo porque el sistema detectará que el equipo no es el original. Es un paso gigante para que navegar por la red sea un poco menos estresante.
¿En qué consiste exactamente el robo de cookies?
Básicamente, las cookies son esos pequeños archivos que los webs guardan en nuestro PC para que no tengamos que poner la contraseña cada vez que cambiamos de pestaña o volvemos a entrar en un sitio. El problema viene cuando un ciberdelincuente logra interceptar estos archivos de sesión. Al tener la cookie, el servidor cree que el atacante eres tú, permitiéndole entrar en tu cuenta sin pasar por el proceso de autenticación habitual.
Hay varias formas de caer en la trampa. Una muy común es el ataque Man in the Middle (MitM), donde el hacker se mete en medio de la comunicación entre tu navegador y el servidor. También es habitual el robo a través de redes Wi-Fi públicas, donde usan programas llamados sniffers para \»escuchar\» el tráfico y pescar cookies que viajan sin el cifrado adecuado.
La solución definitiva: Device Bound Session Credentials (DBSC)
Google y Microsoft han trabajado juntos para crear un estándar abierto llamado Device Bound Session Credentials. Esta tecnología, ya presente en versiones recientes de Chrome (como la 146 en Windows), utiliza chips de seguridad como el TPM en Windows o el Secure Enclave en Mac para generar claves criptográficas que son imposibles de extraer del hardware.
Si un malware de tipo infostealer logra robarte la cookie, esta resultará completamente inútil en otro ordenador, ya que el servidor exigirá una prueba de que el navegador posee la clave privada vinculada al dispositivo físico. Además, esto mejora la privacidad, ya que evita que las webs te rastreen a través de diferentes sesiones usando claves distintas.
Cómo activar la protección en navegadores Chromium
Si usas Brave, Chrome, Edge, Opera o Vivaldi, puedes intentar activar esta función (que aún puede estar en fase experimental) siguiendo estos pasos. Primero, debes acceder a las flags del navegador escribiendo la URL correspondiente según tu software (por ejemplo, chrome://flags o edge://flags) en la barra de direcciones.
Una vez dentro, utiliza el buscador superior y escribe \»device bound session credentials\». Cambia el estado de \»Default\» a \»Enabled\» (o \»Enabled with multi-session\» en Chrome). No olvides darle al botón de Relaunch para reiniciar el navegador, ya que si no lo haces, el cambio no surtirá efecto. Ten en cuenta que necesitas un chip TPM 2.0 y que el sitio web también debe soportar esta tecnología para que funcione.
Otras amenazas: Secuestro del navegador y extensiones maliciosas
No hay que confundir el robo de cookies con el secuestro del navegador (browser hijacking). Aquí el problema no es solo la sesión, sino que el malware cambia la configuración de tu navegador sin permiso. De repente, te encuentras con que tu página de inicio ha cambiado, te aparecen ventanas emergentes constantes o tus búsquedas te redirigen a webs sospechosas que solo buscan ganar dinero con publicidad o instalarte spyware.
Otro peligro latente son las extensiones maliciosas. Se han detectado campañas donde herramientas que parecen útiles (VPNs, asistentes de IA como DeepSeek o herramientas de productividad) ocultan código para exfiltrar datos y ejecutar comandos remotos. Estas extensiones suelen pedir permisos excesivos en el archivo manifest.json, lo que les permite leer todo lo que haces en la web y manipular el DOM para hacer phishing.
Consejos prácticos para blindar tu navegación
Para no darle facilidades a los hackers, lo primero es usar siempre conexiones HTTPS y evitar a toda costa las redes Wi-Fi abiertas para gestiones sensibles. Una medida muy efectiva es configurar el navegador para que borre las cookies automáticamente al cerrar todas las ventanas. En Chrome, esto se hace en Privacidad y Seguridad > Configuración de sitios > Datos de sitios en el dispositivo.
Si sospechas que te han robado la sesión, lo más urgente es cambiar todas tus contraseñas y cerrar las sesiones activas desde el panel de seguridad de tus cuentas. Para evitar el malware, huye del software gratuito de fuentes dudosas, mantén el navegador actualizado y, si ves que algo va mal, reinstala el navegador desde cero y limpia la caché de DNS.
Mantener una higiene digital rigurosa, combinando la activación de funciones como el DBSC con el uso de antivirus actualizados y la cautela al instalar extensiones, es la única forma de reducir el riesgo de quedar expuesto a estos ataques tan agresivos que buscan tomar el control total de nuestra identidad digital.