Te vaciaron la sesión de IA y ni te diste cuenta: cómo evitar que te roben la cuenta sin tocar tu contraseña

A mí me pasó una vez con el mail del trabajo: dejé la sesión abierta en la compu del laburo, me fui de licencia y cuando volví había mails que yo jamás había enviado. Imaginate eso, pero con tu cuenta de ChatGPT, Claude o Gemini. Eso es exactamente lo que está pasando ahora, según un informe de SOCRadar que revisó datos robados durante 90 días.

El truco es sencillo y por eso preocupa. Hay programas maliciosos llamados infostealers, o sea "ladrones de información", que se instalan en computadoras con Windows o Mac y extraen lo que los técnicos llaman cookies y tokens. Suena a jerga, pero la traducción doméstica ayuda: una cookie es como el ticket que te dan en el estacionamiento para que no te cobren de nuevo al salir; un token es el sello de "ya pasaste por la entrada". Si alguien se lleva ese ticket, entra directo sin volver a pagar ni mostrar DNI.

El alcance del problema

En ese período de 90 días, SOCRadar encontró 5.434 registros robados vinculados a 1.500 direcciones de correo corporativo y 482 empresas. Hablamos de cuentas de inteligencia artificial usadas por empleados, donde probablemente haya quedado código fuente, contratos borradores o datos de clientes metidos dentro de un chat.

El riesgo se multiplica porque esas cuentas de IA suelen estar enganchadas a otros servicios mediante claves API, que son como los cables que conectan una aplicación con otra. Si alguien entra a una plataforma de automatización tipo Zapier con una sesión robada, puede terminar leyendo tu correo o moviendo archivos sin que nadie le pida la contraseña jamás.

Qué hacer para no quedar a merced del infostealer

• Acortá la duración de las sesiones: cuanto menos tiempo viva una cookie, menos ventana tiene el ladrón para usarla.
• Renová las claves API cada cierto tiempo, igual que cambiarías la cerradura de tu casa después de mudarte.
• Implementá inicio de sesión único, que es unificar el acceso a todas las apps con una sola plataforma: más control, menos lugares donde se escabullen los atacantes.
• Activá el segundo factor de verificación, aunque los infostealers aprendieron a esquivarlo: sirve igual como barrera extra.
• Monitoreá ingresos desde lugares o horarios raros: nadie labura a las tres de la mañana desde un café de Estocolmo, y si pasa, hay que mirar.
• Hacé un inventario de qué cuentas de IA se usan en la empresa, incluso las que no están aprobadas formalmente: lo que no sabés que existe, no lo podés cuidar.

Cambiar la contraseña después de un robo ya alcanza poco si el atacante sigue con una sesión abierta entre las manos. ESET lo dice clarito: hay que tratar el caso como un incidente del dispositivo entero, no como un simple cambio de clave. Acá me río de mí mismo porque yo, la primera vez que me pasó algo parecido, solo cambié la contraseña y me fui a dormir tranquilo. Spoiler: no era suficiente.

“Si la sesión sigue válida, cambiar la contraseña no expulsa al intruso. Hay que revocar el acceso desde adentro de la plataforma.”Recomendación de ESET

Moraleja para el que llegó hasta acá: revisá hoy mismo las sesiones activas de tus cuentas de inteligencia artificial, cortá las que no reconozcas y, por las dudas, deslogueate de todos los dispositivos. Después respirá. Mañana le dedicás diez minutos al tema y listo, mejor que quedarse con la duda.