¿Qué es Pass-the-Cookie?

Escrito por: Brenda Buckman
Publicado: 18/3/2026

Pass-the-cookie es un ataque de secuestro de sesión en el que los atacantes roban cookies de navegador autenticadas para hacerse pasar por un usuario, pasando por alto por completo la autenticación multifactor. La contraseña es irrelevante. La cookie es la clave.

Se supone que MFA es la red de seguridad. La activaste. Hiciste que tu equipo la usara. Y aun así, tu cuenta de Microsoft 365 fue vulnerada.

Esta es la realidad de los ataques pass-the-cookie. No rompen tu MFA. La evitan.

Cuando te autenticas en una aplicación en la cloud como Microsoft 365 o Google Workspace, tu navegador almacena una cookie de sesión: la cookie le indica a la aplicación "esta persona ya demostró quién es". Es lo que evita que tengas que iniciar sesión cada 30 segundos. Los ataques pass-the-cookie roban esa cookie y la reutilizan en el navegador del atacante. La aplicación detecta una sesión de comunicación válida y autenticada, y lo deja entrar directamente. Sin necesidad de contraseña. Sin solicitud de MFA. Sin advertencia.

No es un concepto nuevo, pero se ha convertido en una de las técnicas más efectivas que usan los atacantes contra las empresas hoy en día, específicamente porque gran parte del trabajo ahora vive dentro de aplicaciones en la cloud, y muchas empresas han invertido en MFA, pensando que eso cerraba la puerta.

No fue así. No por completo.

Puntos clave

Las cookies de sesión —no las contraseñas— son lo que buscan los atacantes, porque robar una otorga acceso completo a Microsoft 365, Google Workspace y aplicaciones SaaS conectadas sin activar MFA
La cadena de ataque de tres etapas pasa del robo de cookies a la repetición silenciosa y luego a una escalada rápida, y el fraude de BEC suele ocurrir horas después del acceso inicial
Los registros de inicio de sesión de Microsoft Entra ID contienen las señales de detección más críticas, incluidos los desplazamientos imposibles, los inicios de sesión mediante proxy anónimo y las modificaciones de reglas de la bandeja de entrada hechas inmediatamente después del acceso
La defensa requiere una combinación de evaluación continua del acceso, MFA resistente a phishing, duraciones de sesión más cortas y un SOC capaz de correlacionar señales y revocar sesiones rápidamente

El ataque tiene tres etapas, y en la tercera ocurre el verdadero daño.

Etapa 1: Robo de cookies

Los atacantes obtienen la cookie de sesión mediante uno de estos tres métodos principales:

Malware infostealer: herramientas como Raccoon Stealer, RedLine, Lumma y Vidar están diseñadas específicamente para extraer credenciales guardadas y cookies de sesión de navegadores como Chrome, Edge y Firefox. Un correo de phishing, una descarga maliciosa o un sitio web comprometido bastan para exponer todas las sesiones autenticadas en esa máquina.
Phishing de adversario en el medio (AiTM): los atacantes configuran un proxy inverso que se ubica entre la víctima y la página de inicio de sesión real. El usuario pasa por un flujo de autenticación que parece normal (incluida la MFA), pero el proxy captura la cookie de sesión en tiempo real. Herramientas como Evilginx hacen esto sorprendentemente accesible incluso para adversarios poco sofisticados.
Secuencias de comandos en sitios cruzados (XSS): menos común en los ataques modernos a SaaS, pero las vulnerabilidades en las aplicaciones web pueden permitir que los atacantes ejecuten scripts que extraen los valores de las cookies de la sesión activa de un usuario.

Etapa 2: Reutilización de la cookie

El atacante importa la cookie robada a su propio navegador usando herramientas de desarrollador o extensiones del navegador. Listo. Eso es todo. Su navegador ahora se ve como la sesión autenticada de la víctima ante cualquier aplicación en la cloud que confíe en esa cookie.

Etapa 3: Acceso y escalamiento

Ya están adentro. Desde aquí, pueden:

Leer el correo y configurar reglas de reenvío para exfiltrar correspondencia en curso
Buscar hilos relacionados con finanzas para preparar fraude de compromiso de correo empresarial (BEC)
Acceder a SharePoint o OneDrive para robar documentos sensibles
Crear cuentas nuevas o modificar permisos para mantener acceso persistente
Usar la identidad comprometida como punto de partida hacia sistemas conectados

El tiempo promedio desde el acceso inicial hasta el envío de una solicitud de transferencia bancaria fraudulenta en un ataque de BEC se mide en horas. Para cuando tu equipo note algo inusual, el daño ya podría estar hecho.

Este no es un ataque técnico y especializado. Es una técnica común que los atacantes usan precisamente porque funciona contra los controles de seguridad que la mayoría de las empresas ya implementaron.

Considera a qué te enfrentas:

La MFA es un requisito básico, y los atacantes lo saben. La mayoría de las organizaciones ya implementaron MFA. Los atacantes respondieron cambiando su enfoque de robar contraseñas a robar sesiones. No vulneraron la MFA; solo se movieron un paso más adelante.

El malware infostealer es barato y está masificado. No necesitas ser un actor de un estado-nación para implementar un infostealer que roba cookies. Malware-as-a-service pone estas herramientas al alcance de cualquiera dispuesto a pagar una suscripción mensual. El Informe de ciberamenazas de Huntress 2026 encontró actividad de infostealers entre las categorías de malware más comunes observadas en los entornos administrados.

Las aplicaciones en la nube hacen que las sesiones robadas sean más valiosas. Hace diez años, robar una cookie de sesión podía darte acceso a una sola aplicación web. Hoy, una sesión válida de Microsoft 365 puede abrir el correo, Teams, SharePoint, OneDrive, Azure AD y cada integración de SaaS conectada, todo en un solo paso.

Muchas aplicaciones emiten tokens que pueden seguir siendo válidos por días o más, especialmente cuando entran en juego los tokens de actualización. Si no monitoreas activamente las anomalías de sesión, una cookie robada puede brindar acceso persistente y sin detectar mucho después del robo inicial.

A qué apuntan los atacantes

Cualquier aplicación SaaS que use autenticación de sesión basada en cookies está en riesgo. En la práctica, los objetivos de mayor valor son:

Aplicación	Por qué es un objetivo
Microsoft 365	Correo, Teams, SharePoint, OneDrive, Azure AD: las llaves del reino para la mayoría de las organizaciones
Google Workspace	Acceso a Gmail y Drive; a menudo conectado a decenas de herramientas SaaS de terceros
Salesforce	Datos de clientes, flujo de negociaciones y, a menudo, un puente hacia las comunicaciones de finanzas y legal
Sistemas de RR. HH. y nómina	Camino directo hacia cambios fraudulentos de depósito directo
VPN y portales de acceso remoto	Puede abrir la puerta al acceso a la red interna

Para las organizaciones que usan Microsoft 365, esta es tu superficie de mayor riesgo. Los registros de inicio de sesión de Microsoft Entra ID son tu primera línea de visibilidad; si no los monitoreas, estás volando a ciegas.

La cookie se roba en silencio. Pero la reutilización deja rastros, si sabes qué buscar.

Presta atención a estas señales en los registros de tu proveedor de identidad y de SIEM:

Nuevo dispositivo o cadenas de agente de usuario en una cuenta ya establecida: una sesión de comunicación que se origina en una huella digital de navegador que no coincide con los dispositivos conocidos del usuario.
Inicio de sesión desde rangos de IP desconocidoso proxies anónimos: los atacantes suelen enrutar las sesiones de comunicación reutilizadas a través de VPN o proxies residenciales para evitar los bloqueos por geolocalización.
Creación de reglas de bandeja de entrada justo después del inicio de sesión: un movimiento común después del acceso; los atacantes configuran reglas de reenvío para enviar correos a una dirección externa.
Alertas de inicio de sesión riesgoso: Microsoft Entra ID y plataformas similares marcan sesiones de comunicación anómalas; no las ignores.
Éxito de MFA sin autenticación de dispositivo correspondiente: inicios de sesión exitosos que no coinciden con la postura habitual del dispositivo del usuario ni con la lista de dispositivos que cumplen con las políticas

El reto es conectar estos puntos con suficiente rapidez. Las señales individuales son fáciles de pasar por alto; la correlación entre los registros de identidad, endpoint y correo electrónico es donde la detección se vuelve confiable. Este es exactamente el tipo de investigación de múltiples fuentes en la que contar con el centro de operaciones de seguridad (SOC) que revisa tu entorno las 24 horas, los 7 días de la semana, da resultado.

Ningún control por sí solo detiene esto. La defensa en profundidad es la respuesta honesta.

Reduce la superficie de ataque:

Habilita la evaluación de acceso continua (CAE) en Microsoft Entra ID para acortar la vida útil de los tokens de sesión y aplicar revocación en tiempo real
Exige dispositivos administrados y conformes para acceder a aplicaciones confidenciales; los dispositivos personales no administrados son el vector más común de infecciones por infostealers
Usa métodos de MFA resistentes al phishing (llaves de seguridad físicas, passkeys) en lugar de SMS o códigos de app autenticadora; aunque el robo de cookies evita el MFA por completo, los métodos resistentes al phishing reducen la superficie de ataque de AiTM río arriba

Detecta y contén más rápido:

Monitorea continuamente los registros de inicio de sesión del proveedor de identidad, no solo los intentos fallidos, sino también los exitosos anómalos
Configura reglas de alerta para viajes imposibles, inicios de sesión desde nuevos dispositivos y modificaciones de reglas en la bandeja de entrada
Crea un manual de respuesta que incluya la revocación de sesión como primer paso, cada vez que se sospeche de una cuenta comprometida

Reduce el impacto de una cookie robada:

Aplica una vida útil de los tokens de sesión acorde a tu tolerancia al riesgo; sesiones más cortas significan una ventana de explotación más pequeña
Usa controles de acceso a nivel de aplicación o el principio de privilegio mínimo para que incluso una sesión válida no pueda acceder a todo sin autorización adicional
Capacita a tu equipo para reconocer señuelos de phishing; los proxies de AiTM dependen de que los usuarios ingresen credenciales en páginas de inicio de sesión falsas

Cómo ayuda Huntress

Los ataques de pass-the-cookie no se anuncian. Parecen inicios de sesión legítimos porque, técnicamente, lo son, solo que de alguien que no es quien dice ser.

Huntress Managed ITDR monitorea los entornos de Microsoft 365 en busca de exactamente estos patrones: marca sesiones de comunicación anómalas, reglas de bandeja de entrada sospechosas, comportamiento de inicio de sesión inusual, y otros indicadores de compromiso basados en identidad que apuntan a una sesión de comunicación robada antes de que la brecha escale a un fraude de compromiso de correo electrónico empresarial, una filtración de datos o un despliegue de ransomware.

Y cuando algo se activa, nuestros analistas del SOC investigan. No recibes solo una alerta y un encogimiento de hombros. Recibes una respuesta clara: esto es lo que pasó, esto es lo que está en riesgo, esto es lo que debes hacer a continuación.

Descubre cómo funciona Huntress Managed ITDR

Lee el Informe de ciberamenazas de Huntress

Recursos adicionales

El volcado de datos de una base de datos frente a los datos ficticios

Ciberseguridad 101

Descubre qué es el volcado de datos, por qué los cibercriminales lo buscan y cómo proteger tus volcados de base de datos de las amenazas de seguridad. Guía esencial para profesionales de TI.

Ciberseguridad 101

Descubre qué hace un director de seguridad, su rol en evolución dentro de la ciberseguridad, las calificaciones necesarias y las oportunidades profesionales en esta guía completa.

Qué es la red de voz sobre IP (VoIP) y por qué importa en ciberseguridad

Ciberseguridad 101

Aprende cómo funcionan las redes de voz sobre IP, su papel en la ciberseguridad y consejos prácticos para proteger la red de voz sobre IP en tu organización.

Preguntas frecuentes sobre pass-the-cookie

Pass-the-cookie es un ataque de secuestro de sesión en el que un atacante roba la cookie de una sesión de comunicación de navegador autenticada y la usa para acceder a aplicaciones de cloud como si fuera el usuario legítimo, sin necesitar una contraseña ni completar la autenticación multifactor (MFA).

Cuando inicias sesión con MFA, tu navegador guarda una cookie de sesión que confirma que la autenticación ya ocurrió. Los ataques pass-the-cookie roban esa cookie posterior a la autenticación, de modo que el navegador del atacante la presenta como ya verificada. La aplicación ve una sesión de comunicación válida, sin necesidad de solicitud de MFA.

Pass-the-hash ataca entornos de Windows on-premises robando hashes de contraseñas NTLM para autenticarse en sistemas internos. Pass-the-cookie ataca aplicaciones cloud y SaaS robando tokens de autenticación de sesión web para secuestrar sesiones de navegador ya autenticadas.

Cualquier aplicación SaaS que use autenticación de sesión basada en cookies está en riesgo, sobre todo Microsoft 365, Google Workspace, Salesforce y otras herramientas web que tu equipo usa a diario. Microsoft 365 es el objetivo más común por su uso generalizado y el valor del acceso al correo para ataques posteriores como el compromiso del correo empresarial.

Los tres métodos más comunes son: malware infostealer (como Raccoon Stealer, RedLine o Lumma) que extrae cookies directamente del navegador; proxies de phishing adversary-in-the-middle (AiTM) que interceptan la sesión de comunicación en tiempo real; y vulnerabilidades de secuencias de comandos en sitios cruzados (XSS) que permiten a los atacantes ejecutar scripts para extraer valores de cookies.

Ayudan, pero no son infalibles. Las políticas de acceso condicional que exigen el cumplimiento del dispositivo o restricciones basadas en IP pueden marcar sesiones de comunicación sospechosas. Sin embargo, los atacantes usan cada vez más proxies residenciales o equipos comprometidos que ya cumplen con los criterios de cumplimiento para evadir estos controles.

Busca eventos de inicio de sesión desde geolocalizaciones o direcciones IP inusuales, viajes imposibles (dos inicios de sesión desde ubicaciones geográficamente distantes en minutos), actividad de sesión que no coincide con el horario habitual del usuario, y alertas de inicio de sesión riesgoso en tu proveedor de identidad. La correlación de registros de SIEM es esencial para detectar estos patrones.

Revoca de inmediato todas las sesiones de comunicación activas de la cuenta afectada a través de tu proveedor de identidad (Microsoft Entra ID, Okta, etc.). Restablece las credenciales del usuario, investiga las reglas de bandeja de entrada y el reenvío que puedan haberse configurado, revisa si hubo exfiltración de datos y ejecuta una investigación de endpoints para encontrar el origen del infostealer si hubo malware involucrado.

Pass-the-cookie es una forma específica de secuestro de sesión. El secuestro de sesión es el concepto más amplio de tomar el control de una sesión de comunicación autenticada; pass-the-cookie es el método en el que un token de autenticación de cookie robado se reproduce en otro navegador para suplantar a la víctima.

HTTPS protege las cookies en tránsito: evita la interceptación en la red. Pero los ataques de pass-the-cookie suelen robar las cookies después de que ya están almacenadas en el endpoint, usando malware o proxies de phishing. HTTPS no protege contra el compromiso del endpoint ni los ataques AiTM.

Protege lo que importa

Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliégalo en minutos para empezar a combatir amenazas.

Empieza gratis

¿Qué es Pass-the-Cookie?

¿Qué es Pass-the-Cookie?