Microsoft y las autoridades actúan contra Lumma Stealer

Qué ocurrió

En mayo de 2025 Microsoft anunció acciones legales y técnicas contra Lumma Stealer, un malware dedicado a robar información almacenada en navegadores, aplicaciones y monederos de criptomonedas. La operación buscó bloquear dominios e infraestructura utilizados por la campaña, en coordinación con otras entidades del sector.

Lumma Stealer se distribuía a través de campañas de infección variadas y funcionaba principalmente como herramienta para extraer credenciales guardadas, cookies de sesión y datos de monederos, que después se vendían o usaban para nuevos ataques.

Qué significa para una empresa mediana

Este tipo de malware convierte una infección local, aparentemente menor, en un problema de identidad: las credenciales robadas se reutilizan para acceder a correo, VPN o aplicaciones en la nube de la empresa, muchas veces sin necesidad de vulnerar nada más.

La acción de Microsoft reduce infraestructura de un actor concreto, pero no elimina la técnica. Cualquier equipo sin protección adecuada puede ser infectado por variantes similares y convertirse en la puerta de entrada a los sistemas corporativos.

Qué conviene revisar

Medidas que cortan la cadena entre infección y compromiso de cuentas:

• Endpoint (EDR) actualizado en todos los equipos, incluidos los de teletrabajo.
• Filtrado web que bloquee dominios de descarga conocidos por distribuir malware.
• Rotación de credenciales y cierre de sesiones activas ante sospecha de infección.
• Doble factor de autenticación resistente a robo de cookies de sesión en los accesos críticos.

Preguntas frecuentes

¿Qué roba exactamente Lumma Stealer?

Credenciales guardadas en navegadores, cookies de sesión, datos de monederos de criptomonedas y otra información almacenada localmente en el equipo infectado.

¿La acción de Microsoft eliminó la amenaza?

Redujo infraestructura utilizada por la campaña, pero este tipo de malware suele reaparecer con nueva infraestructura o variantes similares.

¿Qué puede hacer una empresa pequeña para protegerse?

Mantener el endpoint actualizado, evitar descargas de fuentes no verificadas y usar doble factor resistente al robo de sesión en los accesos más sensibles.