El navegador, principal vector de intrusiones corporativas en 2026

En 2026 el navegador se ha convertido en el campo de batalla principal para las intrusiones corporativas: no solo es la puerta de entrada a las aplicaciones de negocio, sino que allí mismo se ejecuta gran parte de la cadena de ataque. Informes y detecciones del sector apuntan a seis técnicas que dominan el panorama: phishing AiTM con proxy inverso, campañas que inducen a las víctimas a pegar y ejecutar comandos (ClickFix y variantes), abusos de flujos OAuth y consentimientos, extensiones maliciosas o comprometidas, compromisos por contraseñas “fantasma” fuera de SSO, y el secuestro de sesiones. A continuación explico qué está ocurriendo, cómo funcionan técnicamente estas tácticas, a quién afectan, qué consecuencias prácticas suponen y qué medidas concretas pueden aplicar los equipos de seguridad y los usuarios.

Hechos confirmados: proveedores y reportes del sector han documentado un incremento sostenido de ataques que se desarrollan completamente dentro del navegador. Microsoft y otros reportes públicos catalogan técnicas como la suplantación de consentimiento OAuth y el uso de kits Phishing-as-a-Service; el RFC 8628 describe técnicamente el “device code flow” que está siendo abusado en el terreno real (RFC 8628). El Verizon Data Breach Investigations Report (DBIR) 2025 y otros análisis señalan que un porcentaje significativo de incidentes empieza en dispositivos no gestionados y que el robo de credenciales sigue presente en muchas intrusiones (Verizon DBIR). Microsoft también ha destacado vectores recientes donde el usuario pega comandos en su equipo como vector inicial de compromiso (Microsoft Digital Defense Report).

Cómo funcionan, en términos técnicos: los kits AiTM (adversary-in-the-middle por proxy inverso) crean una pasarela entre víctima y servicio legítimo y relayan en tiempo real credenciales, cookies y tokens de sesión, lo que permite eludir MFA basado en factores controlados por el usuario. ClickFix y sus variantes convencen a la víctima de copiar y ejecutar comandos en su terminal; esos scripts suelen instalar infostealers o RATs, que exfiltran cookies, credenciales y artefactos de sesión. Los abusos de OAuth aprovechan flujos de consentimiento o el “device code” para obtener tokens sin que el usuario reingrese credenciales; aquí el mecanismo de autenticación se mantiene intacto, pero el permiso concedido autoriza al atacante. Las extensiones maliciosas obtienen permisos de navegador suficientes para leer y modificar páginas, registrar pulsaciones o capturar tokens en tránsito; con frecuencia los actores compran extensiones legítimas y las corrompen en una actualización. Finalmente, las “ghost logins” aparecen cuando aplicaciones no integradas con el SSO mantienen credenciales locales o métodos de autenticación alternativos que quedan fuera del control del proveedor de identidad y de sus registros.

A quién afecta: organizaciones con uso intensivo de web apps —fintech, SaaS, salud, legal—, equipos con desarrolladores que usan máquinas personales o terceros, y cualquier compañía que permita instalación libre de extensiones o no aplique políticas de SSO centralizadas. Los usuarios individuales también están en riesgo por la misma dinámica: navegadores sincronizados con cuentas personales pueden propagar tokens y contraseñas a entornos corporativos, y las prácticas de copiar/pegar comandos son comunes entre empleados que intentan “arreglar” problemas por su cuenta.

Consecuencias reales: una intrusión que nunca abandona el navegador dificulta la detección por herramientas tradicionales centradas en correo, red o endpoint, porque el tráfico parece legítimo y las credenciales o tokens capturados son válidos. El resultado puede ser acceso persistente, exfiltración silenciosa de datos, movimientos laterales usando credenciales reutilizadas y, en entornos con sincronización activada, compromisos cruzados entre cuentas personales y corporativas. Además, la comercialización de estos kits reduce la barrera técnica del atacante, ampliando el número potencial de operaciones maliciosas dirigidas.

Información estimada y aún incierta: los porcentajes exactos de incidencia entre técnicas varían según el dataset del proveedor que los publica; por ejemplo, algunos actores de telemetría comerciales reportan que ClickFix ha sido dominante en su corpus, pero las cifras no siempre son representativas de todos los sectores o regiones. También hay incertidumbre sobre la eficacia a largo plazo de defensas emergentes específicas (p. ej., ciertas implementaciones de DPoP o token binding), porque los atacantes adaptan rápidamente sus herramientas.

Medidas concretas y prácticas — lo que deben hacer hoy los equipos de seguridad y los usuarios:

- Implementar políticas de navegador a nivel central: use allowlisting de extensiones y políticas de bloqueo por defecto gestionadas vía Chrome Enterprise, Edge for Business o las políticas de navegador de su EMM. Controle las actualizaciones y despliegue revisiones de código para extensiones internas.

- Restringir y auditar aplicaciones de terceros y consentimientos OAuth: configure un proceso de aprobación para cualquier app que solicite permisos, limite los scopes, y registre cada consentimiento. Revise y revogue permisos inactivos periódicamente y alerte sobre consentimientos inusuales o desde nuevos IPs.

- Prohibir o mitigar la práctica de copiar/pegar comandos: establezca medidas técnicas que bloqueen la ejecución de scripts no firmados (PowerShell Constrained Language, políticas de ejecución, AppLocker/WDAC en Windows), despliegue EDR con control de comportamiento y desactive el pegado directo en consolas en sistemas corporativos.

- Aumentar visibilidad sobre sesiones y tokens: registre y monitorice usos de tokens, detecte replays de sesión, implemente detección de anomalías en uso de tokens (nueva geolocalización, agente de usuario distinto). Favorezca sesiones de corta duración y revocación automática de refresh tokens tras cambios de riesgo.

- Enforce SSO y cerrar “ghost logins”: centralice el acceso mediante IdP, deshabilite métodos de autenticación locales en aplicaciones siempre que sea posible, y audite logins fuera del IdP. Para aplicaciones que no soportan SSO, documente y gestione credenciales con vaults corporativos y políticas de rotación.

- Tratar a los dispositivos no gestionados como alto riesgo: aplique políticas de acceso condicional que requieran dispositivos con postureo conocido, minimice el uso de cuentas corporativas en máquinas personales y desactive la sincronización de navegadores para cuentas sensibles.

- Educación y red team: forme a usuarios con ejercicios de phishing que incluyan vectores no e‑mail (mensajería, SMS, redes sociales) y campañas que simulen peticiones de pegar y ejecutar comandos. Combine formación con pruebas técnicas —aislamiento de navegador, navegación remota o proxies de seguridad web— para reducir la superficie de ataque.

Estas líneas de acción combinan controles técnicos, gobernanza y concienciación. Ninguna medida es completa por sí sola: la amenaza ha migrado al navegador y exige controles específicos en ese nivel. Para profundizar en los flujos OAuth y en la técnica de device code, consulte el texto del estándar RFC 8628, y para contexto sobre tendencias de intrusión y dispositivos no gestionados revise el Verizon DBIR y los informes de defensa digital de los grandes proveedores citados más arriba (Verizon DBIR) (Microsoft Digital Defense Report). Implementar políticas de navegador gestionadas, auditar consentimientos OAuth y poner trabas técnicas al “paste-and-run” son las acciones con mayor retorno inmediato para reducir el riesgo.