La mayoría de nosotros pensamos en el robo de una cuenta como algo que ocurre cuando alguien adivina o roba una contraseña. Pero un patrón que aparece en varios incidentes recientes funciona de otra manera: el atacante nunca llega a tocar tu contraseña. En cambio, te hace entregar algo que funciona como una llave de repuesto para una cuenta en la que ya iniciaste sesión —un dispositivo vinculado, un token de autorización, una sesión— y así se salta por completo los candados en los que normalmente confiarías.

Dos ejemplos ilustran bien el mecanismo. Investigadores de seguridad describieron recientemente una estafa de WhatsApp que se propaga desde cuentas ya comprometidas, en la que un mensaje te pide "votar" por un amigo en un concurso. Te dirige a una página que imita la configuración de "dispositivo vinculado" de WhatsApp, o te indica que ingreses un código en tu propio menú de dispositivos vinculados. Completar ese proceso agrega el teléfono del atacante como un segundo dispositivo, totalmente autorizado, en tu cuenta —con acceso completo para leer y enviar mensajes— sin que en ningún momento tenga que ingresar una contraseña. Como nunca se tocó la contraseña, no recibes ningún correo de restablecimiento de contraseña ni ninguna alerta de inicio de sesión fallido. La sesión intrusa simplemente queda ahí, en silencio, en tu lista de dispositivos, como una entrada más.

Por otro lado, Microsoft ha advertido sobre una campaña que abusa de los portales cautivos de Wi-Fi de hoteles y conferencias —esa página de "aceptar los términos" que ves al conectarte—. Los atacantes, situados en la ruta de red, redirigen a las víctimas hacia páginas de inicio de sesión falsas o hacia falsos avisos de "código de dispositivo" que, una vez completados, entregan tokens de autorización en lugar de contraseñas. El efecto es el mismo: una sesión que le parece legítima al servicio, porque técnicamente lo es; solo que ahora le pertenece a otra persona.

Por qué tus defensas habituales no detectan esto

Un gestor de contraseñas protege la contraseña. La autenticación de dos factores protege el momento en que inicias sesión. Ninguno de los dos vigila lo que pasa después de que se autoriza una sesión o un dispositivo, que es exactamente el vacío que estos ataques están diseñados para explotar. La única manera confiable de detectar este tipo de compromiso es revisar periódicamente, a mano, qué dispositivos y aplicaciones tienen actualmente acceso permanente a tus cuentas, en lugar de esperar una alerta que estos ataques están diseñados específicamente para no activar.

La auditoría de sesiones de 15 minutos

Haz esto con las cuentas que más importan (correo electrónico, WhatsApp/Telegram, banca y todo lo que esté vinculado a tu identidad o a tu dinero), y programa un recordatorio periódico para repetirlo. Cuando los nombres de los menús cambien con el tiempo, busca términos como "dispositivos", "sesiones" o "aplicaciones conectadas":

  • WhatsApp: Configuración → Dispositivos vinculados. Todo lo que no reconozcas, tócalo y cierra esa sesión de inmediato.
  • Google: myaccount.google.com/security → "Your devices" y, por separado, "Third-party apps & services" (a veces aparece como "Sign in with Google"). Revoca el acceso de todo lo que no uses activamente.
  • Cuenta de Microsoft: account.microsoft.com/devices para la lista de dispositivos; account.microsoft.com/activity para el historial de inicios de sesión.
  • Apple ID: Configuración → [tu nombre] en un iPhone/iPad, o Configuración del Sistema en una Mac, muestra todos los dispositivos que tienen la sesión iniciada con tu Apple ID.
  • Facebook/Instagram (Meta): Configuración → Centro de cuentas → Contraseña y seguridad → Dónde iniciaste sesión.
  • Aplicaciones bancarias y financieras: la mayoría tiene una pantalla de "administrar dispositivos" o "sesiones activas" dentro de la configuración de seguridad, aunque el texto exacto varía según la institución; revisa la tuya ahora para saber dónde está antes de necesitarlo.

Mientras estés en estos menús, échale un vistazo también a la lista de "aplicaciones conectadas" o de permisos OAuth: las aplicaciones y extensiones de navegador antiguas que autorizaste hace años y que ya olvidaste son exactamente el tipo de acceso permanente que este tipo de ataque intenta crear de nuevo.

Si encuentras algo que no reconoces

Primero, elimina o cierra la sesión del dispositivo o la aplicación desconocida; no esperes. Luego, aunque el atacante quizás no haya necesitado tu contraseña, cámbiala de todos modos como medida de precaución adicional, y reactiva la autenticación de dos factores si fue desactivada (algunos secuestros de cuenta la desactivan para facilitar el reingreso). Revisa si el atacante configuró algo para mantener el acceso, como nuevas reglas de reenvío en el correo, nuevos números de teléfono o correos de recuperación, o nuevos dispositivos añadidos en otro lugar: una sesión secuestrada suele usarse para establecer un segundo punto de apoyo antes de que se descubra el primero. Por último, si la cuenta comprometida es una en la que los contactos confían (como WhatsApp), avísales que los mensajes que enviaste en el pasado reciente —especialmente cualquiera que pida dinero, votos o códigos— podrían no haber sido tuyos.

Una trampa específica de los viajes que vale la pena señalar

Si te conectas al Wi-Fi de un hotel, un aeropuerto o una conferencia, y la página del portal cautivo te pide "iniciar sesión" en Microsoft, Google o una cuenta similar, o te muestra un código de dispositivo para ingresar, desconfía por defecto: el Wi-Fi legítimo de un hotel casi nunca necesita que autentiques una cuenta personal en la nube para darte acceso a internet. Cierra el navegador y conéctate mejor a través del punto de acceso celular de tu teléfono o de una VPN, y si de verdad tienes que usar el Wi-Fi del hotel, evita iniciar sesión en cualquier cosa sensible mientras estés en él.

Un dato más, si escribes o publicas código

La misma lógica de "no es tu contraseña, es tu sesión o tu token" aplica a las credenciales de desarrollador. Un incidente reciente de cadena de suministro, que involucraba un paquete de npm envenenado, vigilaba específicamente la rotación de credenciales y podía activarse justo con eso, lo que significa que el primer movimiento instintivo (rotar tus tokens) fue, en ese caso, el movimiento equivocado. Si alguna vez sospechas que una credencial de compilación o de CI quedó expuesta, revisa qué hizo realmente el paquete comprometido antes de rotar nada, en lugar de asumir que rotar por sí solo cierra la puerta.

Ponlo en el calendario

Nada de esto es una solución de una sola vez: es un hábito, de la misma manera que revisar el estado de cuenta bancario es un hábito. Elige una fecha recurrente (el primer día del mes funciona bien) y repasa las listas de dispositivos y sesiones que mencionamos arriba. Es una revisión de quince minutos que detecta exactamente el tipo de robo de cuenta silencioso y sin contraseña que el resto de tu configuración de seguridad está diseñada para pasar por alto.