La mayoría pensamos en el robo de una cuenta como alguien que adivina o roba una contraseña. Pero un patrón que aparece en varios incidentes recientes funciona de otra manera: el atacante nunca toca tu contraseña. En cambio, consigue que le entregues algo que actúa como una llave de repuesto de una cuenta en la que ya has iniciado sesión —un dispositivo vinculado, un token de autorización, una sesión— y así pasa de largo junto a las cerraduras en las que normalmente confiarías.

Dos ejemplos hacen tangible el mecanismo. Investigadores de seguridad describieron recientemente una estafa de WhatsApp que se propaga desde cuentas ya secuestradas, en la que un mensaje te pide que "votes" por un amigo en un concurso. Te dirige a una página que imita la configuración de "dispositivo vinculado" de WhatsApp, o te dice que introduzcas un código en tu propio menú de dispositivos vinculados. Completar ese proceso añade el teléfono del atacante como un segundo dispositivo, totalmente autorizado, en tu cuenta —con acceso completo de lectura y envío— sin que en ningún momento introduzca una contraseña. Como no se tocó ninguna contraseña, no recibes ningún correo de restablecimiento de contraseña ni ninguna alerta de inicio de sesión fallido. La sesión fraudulenta simplemente queda ahí, en silencio, en tu lista de dispositivos, como una entrada más.

Por otro lado, Microsoft ha advertido sobre una campaña que abusa de los portales cautivos del Wi-Fi de hoteles y conferencias —esa página de "aceptar los términos" que ves al conectarte—. Los atacantes, situados en la ruta de la red, redirigen a las víctimas a páginas de inicio de sesión falsas o a falsos avisos de "código de dispositivo" que, una vez completados, entregan tokens de autorización en lugar de contraseñas. El efecto es el mismo: una sesión que al servicio le parece legítima, porque técnicamente lo es; solo que ahora pertenece a otra persona.

Por qué tus defensas habituales no detectan esto

Un gestor de contraseñas protege la contraseña. La autenticación de dos factores protege el momento en el que inicias sesión. Ninguno de los dos vigila lo que ocurre después de que un dispositivo o una sesión quedan autorizados, que es exactamente el hueco para el que están diseñados estos ataques. La única forma fiable de detectar este tipo de compromiso es revisar periódicamente, a mano, qué dispositivos y aplicaciones tienen actualmente acceso permanente a tus cuentas, en lugar de esperar una alerta que estos ataques están diseñados específicamente para no activar.

La auditoría de sesiones de 15 minutos

Haz esto con las cuentas que más importan (correo electrónico, WhatsApp/Telegram, banca, y cualquier cosa vinculada a tu identidad o a tu dinero), y programa un recordatorio recurrente para repetirlo. Donde los nombres de los menús cambien con el tiempo, busca términos como "dispositivos", "sesiones" o "aplicaciones conectadas":

  • WhatsApp: Ajustes → Dispositivos vinculados. Todo lo que no reconozcas, tócalo y ciérrale la sesión de inmediato.
  • Google: myaccount.google.com/security → "Tus dispositivos" y, por separado, "Aplicaciones y servicios de terceros" (a veces con la etiqueta "Iniciar sesión con Google"). Revoca el acceso a todo lo que no uses activamente.
  • Cuenta de Microsoft: account.microsoft.com/devices para la lista de dispositivos; account.microsoft.com/activity para el historial de inicios de sesión.
  • Apple ID: Ajustes → [tu nombre] en un iPhone/iPad, o Ajustes del Sistema en un Mac, muestra todos los dispositivos con la sesión iniciada en tu Apple ID.
  • Facebook/Instagram (Meta): Configuración → Centro de cuentas → Contraseña y seguridad → Dónde iniciaste sesión.
  • Aplicaciones bancarias y financieras: la mayoría tiene una pantalla de "administrar dispositivos" o "sesiones activas" dentro de la configuración de seguridad, aunque la redacción varía según la entidad; revisa la tuya ahora para saber dónde está antes de necesitarlo.

Mientras estés en estos menús, échale también un vistazo a cualquier lista de "aplicaciones conectadas" o de permisos OAuth: las aplicaciones antiguas y las extensiones del navegador que autorizaste hace años y olvidaste son exactamente el tipo de acceso permanente que este tipo de ataque intenta crear de nuevo.

Si encuentras algo que no reconoces

Elimina o cierra la sesión del dispositivo o la aplicación desconocidos primero; no esperes. Después, aunque es posible que el atacante no haya necesitado tu contraseña, cámbiala de todos modos como medida adicional de precaución, y vuelve a activar la autenticación de dos factores si se desactivó (algunos secuestros la desactivan para facilitar el volver a entrar). Comprueba si hay algo que el atacante pueda haber configurado para mantener el acceso, como nuevas reglas de reenvío en el correo, nuevos números o correos de recuperación, o nuevos dispositivos añadidos en otros sitios; una sesión secuestrada se usa a menudo para plantar un segundo punto de apoyo antes de que se descubra el primero. Por último, si la cuenta comprometida es una en la que tus contactos confían (como WhatsApp), avisa a la gente de que los mensajes tuyos del pasado reciente —especialmente cualquiera que pida dinero, votos o códigos— podrían no haber sido tuyos.

Una trampa específica para viajes que merece la pena señalar

Si te conectas al Wi-Fi de un hotel, un aeropuerto o una conferencia y la página del portal cautivo te pide que "inicies sesión" en una cuenta de Microsoft, Google o similar, o te muestra un código de dispositivo para introducir, desconfía por defecto: el Wi-Fi legítimo de un hotel casi nunca necesita que autentiques una cuenta personal en la nube para darte acceso a internet. Cierra el navegador, conéctate en su lugar mediante el punto de acceso de datos móviles de tu teléfono o una VPN, y si tienes que usar el Wi-Fi del hotel, evita iniciar sesión en cualquier cosa sensible mientras lo uses.

Un dato más, si escribes o publicas código

La misma lógica de "no es tu contraseña, es tu sesión/token" se aplica a las credenciales de desarrollador. Un incidente reciente en la cadena de suministro, que involucraba un paquete de npm envenenado, vigilaba específicamente la rotación de credenciales y podía activarse con ella; es decir, el primer instinto (rotar tus tokens) fue, en ese caso, el movimiento equivocado. Si alguna vez sospechas que una credencial de compilación o de CI ha quedado expuesta, comprueba qué hizo realmente el paquete comprometido antes de rotar nada, en lugar de asumir que la rotación por sí sola cierra la puerta.

Anótalo en un calendario

Nada de esto es una solución de una sola vez; es un hábito, igual que revisar el extracto bancario es un hábito. Elige una fecha recurrente (el primer día del mes funciona bien) y revisa las listas de dispositivos y sesiones mencionadas arriba. Es una comprobación de quince minutos que detecta exactamente el tipo de robo silencioso y sin contraseña que todo lo demás en tu configuración de seguridad está diseñado para pasar por alto.