La implementación de autenticación multifactor (MFA) se ha convertido en una de las medidas más importantes para proteger las cuentas corporativas. Sin embargo, activar un segundo factor de autenticación no significa que una sesión digital sea imposible de comprometer.
Un atacante que consigue apropiarse de una sesión autenticada puede, en determinadas circunstancias, utilizarla como si fuera el usuario legítimo sin tener que repetir todo el proceso de inicio de sesión. Este escenario se conoce como Session Hijacking o secuestro de sesiones.
OWASP explica que el robo de una cookie de sesión puede permitir a un atacante asumir la sesión de la víctima durante el tiempo en que dicha sesión permanezca válida. En otras palabras, robar una sesión activa puede tener un impacto similar al robo de las credenciales de acceso durante su vigencia.
Para los dueños de empresas, gerentes de TI y oficiales de seguridad de la información, entender esta amenaza resulta fundamental para implementar una estrategia de protección de identidades y sesiones que vaya más allá de simplemente activar MFA.
¿Qué es exactamente el Session Hijacking?
Una aplicación web necesita identificar al usuario después del inicio de sesión. Para hacerlo, normalmente entrega un identificador de sesión, frecuentemente almacenado en una cookie o representado mediante un token.
Mientras ese identificador sea válido, el servidor puede asociar las solicitudes con el usuario autenticado. OWASP señala que un atacante que obtiene, captura o reutiliza un identificador de sesión válido puede llegar a suplantar completamente a la víctima dentro de la aplicación.
El problema aparece cuando ese identificador termina en manos de un tercero. El atacante no necesariamente necesita conocer la contraseña ni repetir el proceso de MFA: puede intentar utilizar el mecanismo de sesión que ya fue creado después de una autenticación legítima.
¿Cómo pueden evadir el doble factor de autenticación?
Es importante hacer una precisión: MFA sigue siendo una defensa esencial. El problema es que MFA protege principalmente el proceso de autenticación, mientras que una sesión ya establecida tiene características diferentes.
1. Robo de cookies o tokens de sesión
Uno de los escenarios más importantes ocurre cuando un atacante consigue una cookie o token asociado a una sesión activa. OWASP indica que las cookies de sesión pueden ser robadas mediante phishing o malware y posteriormente reutilizadas para secuestrar la sesión.
La consecuencia es relevante: aunque el usuario haya introducido correctamente su contraseña y completado MFA, el atacante puede intentar aprovechar la sesión ya autenticada.
2. Malware en el dispositivo del usuario
Un dispositivo comprometido puede proporcionar a un atacante acceso a información relacionada con las sesiones activas.
Por ello, proteger la identidad no significa únicamente proteger las credenciales. También es necesario proteger endpoints, navegadores, aplicaciones y dispositivos donde se procesan esas sesiones.
Esta es una de las razones por las que una arquitectura empresarial debe combinar controles de identidad con EDR/XDR, monitoreo y protección del endpoint.
3. Phishing avanzado y ataques Adversary-in-the-Middle
Las campañas modernas de phishing pueden intentar actuar como intermediarias entre la víctima y el servicio legítimo.
NIST señala que los métodos de autenticación basados en códigos ingresados manualmente, como determinados OTP, no se consideran resistentes al phishing, porque el resultado de autenticación puede ser capturado y transmitido al verificador legítimo.
Esto explica por qué la evolución hacia MFA resistente al phishing, incluyendo mecanismos criptográficos y passkeys según el entorno, resulta especialmente importante para proteger cuentas críticas.
4. Secuestro mediante vulnerabilidades de sesión
Una aplicación con una gestión deficiente de sesiones puede exponer otros riesgos: identificadores predecibles, falta de expiración adecuada, ausencia de regeneración después de autenticarse o configuraciones inseguras de cookies.
OWASP recomienda utilizar mecanismos sólidos para administrar el ciclo de vida de las sesiones y establecer tiempos de expiración apropiados.
En este contexto, el problema no necesariamente está en el MFA, sino en una implementación insegura del sistema de sesiones.
¿Cómo proteger las sesiones corporativas?
La protección debe comenzar por la propia aplicación.
NIST establece que las cookies utilizadas para mantener sesiones deben enviarse únicamente mediante conexiones HTTPS, limitarse a los hosts y rutas necesarios y, cuando corresponde, utilizar atributos como HttpOnly, Secure y SameSite. También recomienda considerar el prefijo __Host- para cookies de sesión.
OWASP también recomienda aplicar atributos Secure, HttpOnly y SameSite como parte de una estrategia de defensa de cookies y sesiones.
Estas configuraciones reducen diferentes posibilidades de exposición, aunque ninguna debe considerarse una solución aislada.
Implementar expiración y reautenticación basada en riesgo
Una sesión no debería permanecer activa indefinidamente.
OWASP recomienda establecer timeouts de sesión, diferenciando entre tiempos de inactividad y duración absoluta. Para aplicaciones de mayor criticidad pueden utilizarse períodos más restrictivos.
Además, determinados eventos de riesgo deberían provocar una nueva autenticación. Entre ellos pueden encontrarse cambios importantes de cuenta, accesos desde dispositivos o ubicaciones sospechosas y procesos de recuperación de cuenta.
Esto permite que la seguridad de la sesión responda a cambios en el contexto y no dependa únicamente del momento del login.
Detectar comportamientos anómalos
La seguridad de sesiones también puede beneficiarse del análisis de comportamiento.
OWASP propone observar características asociadas a una sesión, como dirección IP, User-Agent, idioma y otros indicadores de contexto, para identificar cambios significativos que podrían indicar un secuestro. Al mismo tiempo, advierte que ningún indicador aislado es suficiente: una variación de IP, por ejemplo, también puede ocurrir legítimamente.
Por eso, es recomendable combinar señales y utilizar sistemas de detección y respuesta que puedan correlacionar múltiples eventos.
¿Qué papel desempeñan SIEM y XDR?
El SIEM puede centralizar registros de autenticación, aplicaciones, endpoints y otros sistemas, permitiendo correlacionar actividades relacionadas con cuentas y sesiones.
Por su parte, XDR puede proporcionar contexto adicional sobre el endpoint, identidad y otros vectores, dependiendo de las tecnologías integradas.
Juntos pueden ayudar a detectar situaciones como un inicio de sesión sospechoso seguido de actividad inusual, cambios de dispositivo, comportamiento anómalo de una cuenta o evidencias de compromiso del endpoint.
La ventaja es pasar de una seguridad basada únicamente en “¿la contraseña y MFA fueron correctos?” a una evaluación más amplia:
“¿El comportamiento actual coincide con el usuario legítimo?”
¿MFA sigue siendo recomendable?
Definitivamente.
El error sería interpretar el Session Hijacking como una razón para abandonar MFA. Todo lo contrario: las organizaciones deben combinar MFA, autenticación resistente al phishing, protección de endpoints, gestión segura de sesiones y monitoreo continuo.
NIST establece que los métodos de autenticación resistentes al phishing deben impedir que los secretos o resultados válidos de autenticación sean revelados a un verificador impostor.
Por tanto, la evolución no consiste en sustituir MFA, sino en utilizar mecanismos más resistentes y acompañarlos con controles posteriores al inicio de sesión.
¿Cómo puede ayudar Pawa Peru?
Proteger las cuentas empresariales requiere una estrategia que considere todo el ciclo de acceso: identidad, autenticación, sesión, endpoint, privilegios y monitoreo.
En Pawa Peru, ayudamos a las organizaciones a fortalecer su postura de ciberseguridad mediante soluciones orientadas a la protección de identidades, gestión de accesos privilegiados, monitoreo y detección de amenazas.
Para un gerente de TI o un oficial de seguridad de la información, disponer únicamente de una contraseña más un código MFA puede no ser suficiente para proteger aplicaciones y datos críticos. Es necesario evaluar qué ocurre antes, durante y después de la autenticación.
Conclusión
El Session Hijacking demuestra que proteger el inicio de sesión no es exactamente lo mismo que proteger una sesión.
Un atacante puede intentar aprovechar cookies o tokens de sesión robados, dispositivos comprometidos, phishing avanzado o debilidades en la gestión de sesiones para acceder a recursos sin repetir necesariamente el proceso completo de autenticación.
Por ello, una estrategia moderna debe combinar MFA resistente al phishing, cookies seguras, expiración de sesiones, reautenticación basada en riesgo, protección de endpoints y monitoreo de comportamiento.
La pregunta clave para cualquier organización no debería ser solamente “¿tenemos MFA?”, sino:
“¿Podemos detectar y detener una sesión comprometida incluso después de que el usuario haya completado correctamente la autenticación?”
Ese cambio de enfoque permite construir una defensa de identidad mucho más sólida frente a las amenazas actuales.
