La mayoría tenemos una especie de alarma mental para saber que "hackearon mi cuenta": un correo de restablecimiento de contraseña que no pedimos, un mensaje de texto sobre un inicio de sesión desde una ciudad desconocida, una cuenta que de repente se bloquea. Esa alarma tenía sentido cuando la principal amenaza era que alguien adivinara o forzara tu contraseña por fuerza bruta. Pero no sirve de casi nada frente a los métodos de acceso que aparecen en incidentes recientes, diseñados específicamente para no activarla.

Dos ejemplos de las últimas semanas ilustran el patrón. Malwarebytes documentó una estafa de WhatsApp (publicada el 3 de agosto de 2026) en la que se guía a las víctimas a través de lo que parece ser una "configuración de WhatsApp Web" —a veces incluso en el dominio real wa.me— y terminan ingresando un código que vincula el dispositivo del atacante a su cuenta. No se escribe ninguna contraseña en ningún momento, así que no se dispara ningún correo de restablecimiento de contraseña ni se activa ninguna alerta de inicio de sesión fallido. El dispositivo del atacante simplemente se convierte en una entrada más, silenciosa, en la lista de dispositivos vinculados de la cuenta, con acceso completo de lectura y envío, que luego usan para ejecutar la misma estafa con los contactos de la víctima. Por separado, Microsoft advirtió sobre una campaña que llama "CaptiveCrunch", que intercepta a viajeros en los portales cautivos de Wi-Fi de hoteles y conferencias, redirigiéndolos a páginas de inicio de sesión falsas que recopilan no solo contraseñas, sino también códigos de dispositivo y tokens de OAuth: credenciales que otorgan acceso sin generar nunca el tipo de aviso de "nuevo inicio de sesión" que generaría un cambio de contraseña.

El hilo conductor: ambos ataques apuntan a los mecanismos de sesión y autorización —dispositivos vinculados, permisos de OAuth, códigos de dispositivo— en lugar de la contraseña en sí. El sistema de alertas integrado de tu cuenta fue diseñado para vigilar la puerta principal. Estos métodos entran por una puerta lateral que no monitorea.

Qué hacer al respecto, en la práctica

No puedes esperar una notificación que nunca llegará. En cambio, trata la revisión de tus propios dispositivos vinculados y aplicaciones autorizadas como una rutina que tú mismo ejecutas, de la misma manera en que revisarías las baterías de un detector de humo. Aquí tienes un repaso concreto, en orden:

1. Revisa los dispositivos vinculados o activos en tus aplicaciones de mensajería

  • WhatsApp: Configuración → Dispositivos vinculados. Si ves algo que no reconoces, tócalo y selecciona "Cerrar sesión".
  • Telegram: Configuración → Dispositivos. La misma idea: cierra cualquier sesión que no sea un dispositivo que tengas físicamente en la mano en este momento.
  • Signal: Configuración → Dispositivos vinculados, la misma verificación.

2. Revisa las sesiones activas y el acceso de aplicaciones de terceros en tus cuentas principales

  • Google: myaccount.google.com/security → "Tus dispositivos" y "Aplicaciones de terceros con acceso a la cuenta." Revoca cualquier acceso que no reconozcas, y presta especial atención a las aplicaciones a las que les diste acceso hace meses o años y que ya olvidaste: un permiso antiguo le sirve a un atacante tanto como uno reciente.
  • Microsoft: account.microsoft.com/security → "Actividad de inicio de sesión" y "Permisos de aplicaciones."
  • Apple ID: Configuración → [tu nombre] → revisa la lista de dispositivos en la parte inferior.
  • Facebook/Instagram: Configuración → "Dónde iniciaste sesión" / "Sesiones activas", además de "Aplicaciones y sitios web" para revisar el acceso de terceros conectados.

3. Sospecha de cualquier proceso que te pida ingresar un código en lugar de una contraseña

Los procesos legítimos de "vincular este dispositivo" sí usan códigos, así que eso no es en sí una señal de alerta. Lo que debería hacerte parar es el disparador: si aparece una solicitud para ingresar un código a raíz de un mensaje de un contacto ("vota por mí", "mira esto"), un portal cautivo de Wi-Fi público, o cualquier enlace que no iniciaste tú mismo, trátalo como hostil hasta que se demuestre lo contrario. Ciérralo y navega directamente a la aplicación o cuenta en lugar de continuar desde el enlace.

4. Revisa si tu correo ha aparecido en alguna filtración conocida

Have I Been Pwned (haveibeenpwned.com), administrado por el investigador de seguridad Troy Hunt, es un servicio gratuito y bien establecido para verificar si tu dirección de correo aparece en filtraciones de datos conocidas; es lo suficientemente confiable como para que gobiernos nacionales lo usen para sus propios dominios (el centro nacional de ciberseguridad de Nepal se convirtió en el gobierno número 47 en sumarse, según reportes de esta semana). No detectará un compromiso por dispositivo vinculado, pero es una verificación rápida y gratuita que vale la pena hacer con tus direcciones de correo principales, y es el primer paso correcto si sospechas de algún problema con tu cuenta y no sabes por dónde empezar.

5. En redes no confiables —Wi-Fi de hoteles, conferencias, aeropuertos— evita iniciar sesión en algo sensible directamente desde la página del portal cautivo

Si la página de inicio de sesión del Wi-Fi de un hotel o recinto te pide una actualización de software, muestra un aviso de "verificación de seguridad", o te pide iniciar sesión con Microsoft o Google antes de darte acceso a internet, desconfía: conéctate primero y luego realiza tus inicios de sesión reales usando los datos móviles de tu teléfono o una VPN, en lugar de hacerlo desde la página que te ofrece la red.

Ponlo en tu calendario

Una sola limpieza resuelve el problema de hoy, pero no el del próximo trimestre. Elige un recordatorio recurrente —cada trimestre es una frecuencia razonable, o vincúlalo a algo que ya hagas regularmente, como un cambio de estación o una factura recurrente— y repasa los pasos 1 y 2 anteriores para tus dos o tres cuentas más importantes: tu correo principal, la aplicación de mensajería que más uses, y cualquier cuenta ligada a tus finanzas. Toma menos de quince minutos una vez que sabes dónde están los menús, y es la única forma confiable de detectar accesos diseñados específicamente para no alertarte.