Los cibercriminales están utilizando navegadores "antidetect" impulsados por IA para gestionar redes masivas de cuentas falsas. Según Check Point Research, estas herramientas permiten que un solo operador haga parecer que miles de perfiles provienen de diferentes personas, dispositivos y ubicaciones, logrando así evadir los sistemas de seguridad y detección de las plataformas sociales.

Los ciberdelincuentes están utilizando navegadores "antidetect" potenciados por IA para gestionar grandes redes de cuentas falsas en línea, haciendo que cada perfil parezca provenir de una persona, dispositivo o ubicación diferente.

Check Point Research informó que estas herramientas pueden ayudar a un único operador o a un grupo pequeño a manejar miles de cuentas en redes sociales y otras plataformas, lo que dificulta que los servicios detecten actividades vinculadas.

Los navegadores tienen usos legítimos, pero los investigadores documentaron su presencia en foros y mercados criminales y describieron su uso en fraudes y operaciones de robo de cuentas.

Los analistas de Check Point Research identificaron a Kameleo, AdsPower y MultiLogin como tres herramientas con funciones que pueden respaldar esta actividad.

Su informe del 20 de octubre de 2026 indica que estas plataformas combinan el aislamiento de perfiles y el enmascaramiento de identidad con automatización y, en algunos casos, integraciones de IA.

El informe no afirma que los navegadores en sí sean malware; advierte que los criminales pueden hacer un mal uso de software disponible comercialmente para ocultar operaciones coordinadas.

Utilizan navegadores potenciados por IA

Un sitio web puede recopilar detalles sobre un navegador y un dispositivo, incluyendo el tamaño de la pantalla, la zona horaria, el idioma, el agente de usuario y la configuración de gráficos.

En conjunto, estos detalles pueden ayudar a crear una huella digital del navegador. Las plataformas pueden comparar las huellas y los patrones de actividad para identificar cuentas que parecen compartir un dispositivo u operador.

Check Point afirma que los navegadores antidetect pueden cambiar o asignar valores diferentes a los perfiles, dificultando esa comparación.

Las herramientas también pueden mantener separadas las cookies, el almacenamiento local y la información de sesión de cada perfil. Algunas pueden funcionar con servicios de proxy, lo que puede hacer que los perfiles parezcan conectarse desde diferentes ubicaciones de red.

Eso puede complicar las comprobaciones basadas únicamente en la dirección IP o la ubicación de una cuenta. Ya se ha descrito cómo los proxies residenciales pueden ocultar el tráfico malicioso, aunque el uso de proxies por sí solo no prueba que la actividad sea criminal.

Un riesgo más grave surge cuando los criminales utilizan cookies de sesión robadas. Una cookie puede mantener a un usuario conectado después de la autenticación; si es robada y reutilizada, un atacante puede acceder a una cuenta activa sin repetir el proceso de inicio de sesión habitual.

Check Point afirma que los criminales pueden colocar datos de sesión robados en un perfil de navegador, haciendo que la sesión parezca familiar para un servicio.

Esto está relacionado con los riesgos del robo de cookies de sesión y el robo de cuentas, donde el acceso a una sesión ya iniciada puede anular las protecciones que se centran en el inicio de sesión inicial.

La IA y la automatización aumentan la escala

El informe dice que las funciones de IA y la automatización pueden reducir el trabajo manual necesario para gestionar muchas cuentas. AdsPower, por ejemplo, anuncia un servidor Model Context Protocol (MCP) para conectar flujos de trabajo de modelos de lenguaje extensos a perfiles de navegador.

Los investigadores describen una posible canalización en la que el texto generado por IA se combina con la actividad y distribución automatizada de cuentas. Esto no significa que cada usuario de estos productos esté llevando a cabo una campaña, pero puede facilitar que el mal uso coordinado escale.

Algunas plataformas también ofrecen plantillas para acciones repetitivas y herramientas para construir historiales de actividad a lo largo del tiempo. Este "calentamiento" puede hacer que un perfil nuevo no parezca una cuenta recién creada.

Check Point advierte que las cuentas pueden construir historiales creíbles o pasar controles de identidad, lo que puede retrasar la detección hasta que comience la actividad fraudulenta.

El mal uso potencial incluye el robo de cuentas, fraude en pagos, solicitudes de préstamos falsas, fraude publicitario, phishing, distribución de malware y esfuerzos coordinados para influir en el debate en línea.

La misma preocupación se aplica a las organizaciones cuyas cuentas de personal o de clientes son el objetivo. Una sesión robada puede usarse para acceder al correo electrónico, servicios financieros u otros sistemas conectados.

El reporte sobre el robo de sesiones de Microsoft 365 tras MFA ofrece un ejemplo relacionado de por qué los equipos de seguridad necesitan monitorear las sesiones activas, y no solo las contraseñas y los desafíos de inicio de sesión.

Check Point recomienda mirar más allá del comportamiento de la cuenta, porque las herramientas antidetect están diseñadas para que los perfiles individuales parezcan no estar relacionados.

Tus equipos de seguridad deberían revisar las señales de red e infraestructura, incluyendo la actividad de proxies residenciales a gran escala, cambios inusuales en la huella digital del navegador y patrones sospechosos de cookies de sesión. Las organizaciones también deberían comprobar si su monitoreo de sesiones puede identificar accesos inusuales a una cuenta ya autenticada.

Para las plataformas, las señales a nivel de cuenta aún pueden ser importantes, pero el informe sostiene que deben combinarse con el análisis de infraestructura y la investigación de patrones sospechosos entre perfiles.

Para las empresas, las revisiones de seguridad deben incluir escenarios en los que se use una sesión válida desde un dispositivo o red inesperados, incluso cuando no aparezca una nueva solicitud de contraseña.

Al igual que con otros métodos de secuestro de sesión, puede ser necesario invalidar las sesiones activas cuando se confirme que una cuenta ha sido comprometida. El punto clave es que los navegadores antidetect no son una única familia de malware con una firma fija.

Son herramientas que pueden enmascarar señales de identidad, mientras que la automatización y la IA pueden ayudar a los criminales a operar a una escala mayor. Por lo tanto, necesitas vincular señales entre cuentas, dispositivos, redes y sesiones en lugar de confiar en un solo indicador.

Fuentes:
https://cybersecuritynews.com/hackers-use-ai-powered-browsers/