La mayoría de nosotros tenemos una especie de alarma mental para "me hackearon la cuenta": un correo de restablecimiento de contraseña que no solicitamos, un mensaje de texto sobre un inicio de sesión desde una ciudad desconocida, una cuenta que de repente queda bloqueada. Esa alarma tenía sentido cuando la principal amenaza era que alguien adivinara o forzara tu contraseña por fuerza bruta. Pero no sirve de casi nada frente a los métodos de acceso que aparecen en incidentes recientes, diseñados específicamente para no activarla.

Dos ejemplos de las últimas semanas ilustran este patrón. Malwarebytes documentó una estafa de WhatsApp (publicada el 3 de agosto de 2026) en la que se guía a las víctimas a través de lo que parece una "configuración de WhatsApp Web" —a veces incluso en el dominio real wa.me— y terminan introduciendo un código que vincula el dispositivo del atacante a su cuenta. No se escribe ninguna contraseña en ningún momento, así que no se dispara ningún correo de restablecimiento ni salta ninguna alerta de inicio de sesión fallido. El dispositivo del atacante simplemente se convierte en una entrada más, silenciosa, en la lista de dispositivos vinculados de la cuenta, con acceso completo de lectura y envío, que luego usan para ejecutar la misma estafa entre los contactos de la víctima. Por separado, Microsoft alertó sobre una campaña que denomina "CaptiveCrunch", que intercepta a viajeros en los portales cautivos de Wi-Fi de hoteles y conferencias, redirigiéndolos a páginas de inicio de sesión falsas que capturan no solo contraseñas, sino también códigos de dispositivo y tokens de OAuth: credenciales que otorgan acceso sin generar nunca el tipo de aviso de "nuevo inicio de sesión" que sí generaría un cambio de contraseña.

El hilo común: ambos ataques apuntan a los mecanismos de sesión y autorización —dispositivos vinculados, concesiones de OAuth, códigos de dispositivo— en lugar de a la contraseña en sí. El sistema de alertas integrado de tu cuenta fue diseñado para vigilar la puerta principal. Estos métodos entran por una puerta trasera que no monitoriza.

Qué hacer realmente al respecto

No puedes esperar una notificación que nunca llegará. En su lugar, trata la revisión de tus propios dispositivos vinculados y aplicaciones autorizadas como una rutina que debes hacer tú mismo, igual que revisarías las pilas de un detector de humo. Aquí tienes una revisión concreta, en orden:

1. Revisa los dispositivos vinculados/activos en las aplicaciones de mensajería

  • WhatsApp: Ajustes → Dispositivos vinculados. Todo lo que no reconozcas, tócalo y selecciona "Cerrar sesión".
  • Telegram: Ajustes → Dispositivos. La misma idea: cierra cualquier sesión que no corresponda a un dispositivo que tengas físicamente en la mano en este momento.
  • Signal: Ajustes → Dispositivos vinculados, la misma comprobación.

2. Revisa las sesiones activas y el acceso de aplicaciones de terceros en tus cuentas principales

  • Google: myaccount.google.com/security → "Tus dispositivos" y "Aplicaciones de terceros con acceso a la cuenta". Revoca cualquier cosa que no reconozcas, y presta especial atención a las aplicaciones a las que diste acceso hace meses o años y ya has olvidado: una autorización antigua le sirve a un atacante tanto como una reciente.
  • Microsoft: account.microsoft.com/security → "Actividad de inicio de sesión" y "Permisos de aplicaciones".
  • Apple ID: Ajustes → [tu nombre] → revisa la lista de dispositivos que aparece más abajo.
  • Facebook/Instagram: Ajustes → "Dónde iniciaste sesión" / "Sesiones activas", además de "Aplicaciones y sitios web" para el acceso de terceros conectados.

3. Desconfía de cualquier proceso que te pida introducir un código en lugar de una contraseña

Los procesos legítimos de "vincular este dispositivo" sí utilizan códigos, así que eso no es en sí mismo una señal de alarma. Lo que debería hacerte parar es el desencadenante: si un aviso para introducir un código aparece a raíz de un mensaje de un contacto ("vota por mí", "mira esto"), de un portal cautivo de Wi-Fi público, o de cualquier enlace que no iniciaste tú mismo, trátalo como hostil hasta que se demuestre lo contrario. Ciérralo y accede directamente a la aplicación o la cuenta en lugar de continuar desde el enlace.

4. Comprueba si tu correo electrónico ha aparecido en alguna filtración conocida

Have I Been Pwned (haveibeenpwned.com), gestionado por el investigador de seguridad Troy Hunt, es un servicio gratuito y bien establecido para comprobar si tu dirección de correo electrónico aparece en filtraciones de datos conocidas; es lo bastante fiable como para que gobiernos nacionales lo utilicen para sus propios dominios (el centro nacional de ciberseguridad de Nepal se convirtió esta semana, según informes, en el gobierno número 47 en sumarse). No detectará un compromiso por dispositivo vinculado, pero es una comprobación rápida y gratuita que vale la pena hacer con tus direcciones de correo principales, y es el primer paso correcto si sospechas de algún problema en tu cuenta y no sabes por dónde empezar.

5. En redes que no sean de confianza —Wi-Fi de hoteles, de conferencias, de aeropuertos— evita iniciar sesión en nada sensible a través de la propia página del portal cautivo

Si la página de inicio de sesión del Wi-Fi de un hotel o un recinto te pide una actualización de software, un cuadro de diálogo de "verificación de seguridad" o un inicio de sesión de Microsoft/Google antes de darte acceso a internet, desconfía: conéctate primero y luego realiza tus inicios de sesión reales usando la conexión de datos móviles de tu teléfono o una VPN, en lugar de hacerlo a través de la página que te presente esa red.

Ponlo en tu calendario

Una sola limpieza resuelve el problema de hoy, pero no el del próximo trimestre. Elige un recordatorio periódico —una frecuencia trimestral es razonable, o puedes vincularlo a algo que ya hagas regularmente, como un cambio de estación o el pago de una factura recurrente— y repasa los pasos 1 y 2 anteriores para tus dos o tres cuentas más importantes: tu correo principal, la aplicación de mensajería que más uses, y cualquier cuenta vinculada a tus finanzas. Lleva menos de quince minutos una vez que sabes dónde están los menús, y es la única forma fiable de detectar un acceso diseñado específicamente para no alertarte.