Un stealer malware se instala, abre tu navegador de par en par y se lleva contraseñas, cookies de sesión y tarjetas guardadas en menos de un minuto. El robo de credenciales vía infostealer navegador ya no necesita que teclees nada en una web falsa: te basta con abrir el archivo equivocado. Familias como Redline Stealer o Raccoon Stealer llevan años perfeccionando este golpe rápido, silencioso y muy rentable para quien lo opera.
Qué es un stealer y por qué apunta a tu navegador
Un stealer es un tipo de malware diseñado para un objetivo único: extraer datos guardados en tu equipo y enviarlos a un servidor remoto. No cifra archivos como el ransomware ni pide rescate. Roba y desaparece.
El navegador es el blanco favorito porque concentra todo lo valioso en un mismo sitio: gestor de contraseñas integrado, cookies de sesión activas, autocompletado de tarjetas y datos de wallets cripto instaladas como extensión. Un solo archivo de base de datos SQLite del navegador puede contener cientos de credenciales.
Chrome, Edge y Firefox cifran esas contraseñas localmente, pero la clave de descifrado también vive en el equipo. Un stealer con permisos de usuario normal puede leerla sin escalar privilegios ni saltar ninguna alarma.
Redline Stealer y Raccoon Stealer: los dos nombres que más suenan
Redline Stealer apareció en torno a 2020 y se convirtió rápido en uno de los stealers más distribuidos, vendido como malware-as-a-service en foros y canales de Telegram por precios de suscripción mensual. Las fuerzas del orden europeas y estadounidenses desarticularon parte de su infraestructura a finales de 2024 dentro de la Operación Magnus, aunque en 2026 siguen circulando variantes y forks basados en su código filtrado.
Raccoon Stealer sigue un modelo similar: alquiler por cuota a otros ciberdelincuentes, panel de control propio y actualizaciones constantes para esquivar antivirus. Ambos comparten el mismo objetivo comercial: los logs robados (usuario, contraseña, cookie, IP) se venden en mercados clandestinos en paquetes de miles de credenciales.
Otras familias activas en 2026 son Lumma Stealer, Vidar y StealC, que han ido ganando cuota tras las bajas de Redline. El ecosistema cambia de nombre constantemente, pero la mecánica de fondo apenas varía.
Cómo se propagan: las vías de entrada más comunes
Ningún stealer se instala solo. Necesita que el usuario ejecute algo. Las vías habituales:
- Software pirata y cracks: ejecutables de programas de pago "liberados" que llevan el stealer incrustado.
- Falsos instaladores de aplicaciones populares descargados desde webs que no son la oficial, o anuncios de búsqueda que suplantan la página real.
- Adjuntos en correo disfrazados de facturas, currículums o documentos urgentes, a menudo dentro de un ZIP protegido con contraseña para esquivar el análisis automático.
- Falsos parches de videojuegos y cheats, muy usados para llegar a perfiles jóvenes con cuentas de Steam o Discord valiosas.
- Publicidad maliciosa (malvertising) en resultados de búsqueda, especialmente en descargas de herramientas técnicas.
Este patrón de entrega —engañar antes de infectar— comparte lógica con otras técnicas descritas en nuestro artículo sobre smishing y SMS fraudulentos: el eslabón débil casi nunca es el sistema, es la decisión de un clic.
Qué se lleva exactamente un infostealer
Un log típico de stealer contiene mucho más que un usuario y una contraseña:
| Dato robado | Uso posterior por el atacante |
|---|---|
| Credenciales guardadas | Acceso directo a cuentas de email, banca, redes sociales |
| Cookies de sesión activas | Entrar sin contraseña, saltándose incluso el 2FA ya validado |
| Autocompletado de tarjetas | Compras fraudulentas o reventa de datos financieros |
| Wallets cripto en extensión | Vaciado directo de fondos si no hay confirmación adicional |
| Historial y capturas de pantalla | Perfilado de la víctima para ataques dirigidos posteriores |
El robo de cookies de sesión es el dato que más sorprende a quien no sigue el tema de cerca. Aunque tengas verificación en dos pasos, si el atacante roba la cookie de una sesión ya abierta, entra directamente sin que le pidan ese segundo factor. Es una de las razones por las que conviene cerrar sesión en dispositivos compartidos y revisar periódicamente las sesiones activas de tus cuentas principales.
Cómo protegerte y qué hacer si sospechas que te han infectado
La defensa contra un stealer combina higiene digital básica con un par de hábitos técnicos:
- No guardes contraseñas en el navegador. Usa un gestor de contraseñas dedicado (Bitwarden, 1Password) que cifra la bóveda con una clave maestra independiente.
- Descarga software solo de fuentes oficiales. Desconfía de cracks, keygens y "activadores".
- Verifica archivos sospechosos en VirusTotal antes de ejecutarlos, aunque procedan de un contacto conocido.
- Activa 2FA con app de autenticación en vez de SMS, y revisa regularmente los dispositivos y sesiones activas de tus cuentas.
- Comprueba si tus credenciales ya han sido filtradas en Have I Been Pwned.
- Si sospechas infección: desconecta el equipo de la red, cambia contraseñas desde otro dispositivo limpio, cierra todas las sesiones activas de tus cuentas críticas y pasa un análisis completo con un antivirus actualizado.
En el ámbito empresarial, un solo equipo infectado con un stealer puede exponer credenciales corporativas completas. Por eso conviene revisar el programa de formación en ciberseguridad para empleados y tener claro un plan de respuesta a incidentes antes de que haga falta usarlo, no después.
Preguntas frecuentes
¿Cómo sé si tengo un stealer en el ordenador?
No suele haber síntomas visibles: no ralentiza el equipo ni muestra ventanas. La señal más habitual es indirecta, como accesos no reconocidos en tus cuentas o alertas de inicio de sesión desde ubicaciones extrañas. Un análisis con antivirus actualizado y la revisión de procesos en ejecución son el primer paso.
¿Un stealer puede robar contraseñas que no están guardadas en el navegador?
Sí, si además captura pulsaciones de teclado o portapapeles, algo habitual en variantes más completas de Redline o Raccoon. Por eso un gestor de contraseñas con autocompletado seguro reduce el riesgo frente a teclear manualmente cada vez.
¿El antivirus detecta siempre estos stealers?
No siempre. Los operadores actualizan el código constantemente para esquivar firmas conocidas, y muchos stealers se distribuyen como "cripters" recién generados que aún no están en las bases de datos de detección. Un antivirus ayuda, pero no sustituye a la prudencia al descargar archivos.
¿Cambiar la contraseña basta si me han robado la cookie de sesión?
No siempre. Si no cierras también las sesiones activas desde la configuración de la cuenta, la cookie robada puede seguir siendo válida aunque cambies la contraseña. Revisa siempre el listado de dispositivos conectados y cierra todo lo que no reconozcas.
¿Los stealers afectan solo a Windows?
La inmensa mayoría de Redline, Raccoon y similares están compilados para Windows, que sigue siendo el sistema con más base instalada y más software pirata en circulación. macOS y Linux no son inmunes, pero el volumen de campañas activas es muchísimo menor en 2026.
El siguiente paso
Abre ahora mismo la configuración de contraseñas guardadas de tu navegador, exporta lo que tengas ahí a un gestor de contraseñas dedicado y bórralas del navegador. Es la acción que más reduce de golpe lo que un stealer podría llevarse si mañana ejecutas el archivo equivocado.
