- Una investigación de NordVPN revela que se han robado más de 52.400 millones de cookies en un año, superando en 4,6 veces a contraseñas y tarjetas de crédito.
- Google, Facebook y Microsoft encabezan la lista de plataformas con más registros de cookies robadas, seguidas de Twitch, Netflix o Instagram.
- España ocupa el puesto 17 a nivel mundial con casi 700 millones de cookies comprometidas, lo que supone 14,62 por habitante.
- Los expertos recomiendan cerrar sesiones y borrar la caché como medidas rápidas para limitar el daño ante un posible secuestro de sesión.
La ciberseguridad ha dado un giro inesperado. Ya no basta con proteger las contraseñas, porque los ciberdelincuentes han encontrado una vía mucho más directa: las cookies de navegación. Un estudio de NordVPN ha destapado que en solo un año se han sustraído más de 52.400 millones de estos pequeños archivos, una cifra que deja en evidencia cómo está cambiando el panorama de las amenazas digitales.
Los datos hablan por sí solos. Los registros de cookies aparecen 4,6 veces más en las bases de datos de programas maliciosos que la suma de contraseñas, archivos y tarjetas de crédito. Marijus Briedis, director de tecnología de NordVPN, lo explica con claridad: “ya no se trata solo de descifrar una contraseña, sino de robar la llave digital que ya está puesta en la cerradura”.
Las cookies, el nuevo objetivo de los ciberdelincuentes
Las cookies de sesión se han convertido en la moneda de cambio del crimen digital. Permiten a los atacantes hacerse pasar por un usuario autenticado sin necesidad de conocer su contraseña, una técnica conocida como secuestro de sesión. El estudio analizó datos de infostealers recopilados entre junio de 2025 y junio de 2026, y descubrió que más del 96 % de los registros de infecciones procedían de dispositivos que tenían software de seguridad activo. Esto demuestra que ninguna capa de protección es infalible.
Entre las familias de malware más activas destacan Lumma-C2, responsable del 34,5 % de las cookies encontradas, seguida de RedLine (27,2 %) y Vidar (18,1 %). Estos programas están diseñados para extraer información almacenada en los navegadores, incluyendo cookies, credenciales y datos de autorrelleno, funcionando como auténticos infostealers.
Plataformas más afectadas: Google, Facebook y Microsoft
El robo de cookies no se limita a cuentas bancarias. Google encabeza la lista con 11,78 millones de registros de cookies robadas, seguido de Facebook (8,10 millones) y los servicios de Microsoft (7,85 millones). También aparecen con frecuencia Twitch, Netflix, YouTube, Reddit, Roblox e Instagram. Aunque puedan parecer servicios de ocio, los ciberdelincuentes las valoran porque contienen métodos de pago guardados, datos personales y credenciales que a menudo se reutilizan en otras plataformas.
El problema alcanza dimensiones globales. Se han detectado robos de cookies en más de 250 países y territorios. India lidera el volumen absoluto con 4.680 millones de cookies, seguida de Brasil (2.830 millones) y Estados Unidos (2.430 millones). Sin embargo, al ajustar por población, Uruguay, Perú y Chile presentan las mayores concentraciones por habitante.
España en el punto de mira
España ocupa el puesto 17 a nivel mundial, con exactamente 699.675.062 cookies encontradas en las bases de datos analizadas. Esto equivale a 14,62 cookies robadas por persona, una cifra que pone de relieve la exposición de los usuarios españoles. Aunque no todos esos registros corresponden a víctimas distintas, la magnitud es preocupante.
Desde NordVPN insisten en que la prevención tradicional debe ir acompañada de una respuesta rápida. Cerrar la sesión de las cuentas afectadas y refrescar esa sesión puede limitar significativamente los daños, según Briedis. También recomiendan borrar la caché del navegador, cambiar las contraseñas, activar la autenticación de dos factores y revisar los dispositivos conectados.
El hallazgo deja una advertencia clara: proteger las contraseñas ya no es suficiente. Mientras las sesiones permanezcan abiertas durante semanas o meses, las cookies se convierten en una credencial paralela, silenciosa y muy rentable para el mercado criminal. La ciberseguridad ya no consiste solo en prevenir, sino en actuar con rapidez cuando algo sale mal.
