Qué pasa con las cuentas inactivas de Netflix, Gmail o PlayStation: momento hacker

En la vida digital moderna, es fácil acumular decenas de cuentas en servicios que alguna vez parecieron imprescindibles. Desde registros para pruebas gratuitas hasta aplicaciones que solo usaste en vacaciones, muchas de estas cuentas quedan olvidadas en la web.

Según estimaciones recientes una persona promedio puede tener hasta 168 contraseñas de cuentas personales, muchas de ellas ya en desuso. Aunque parezcan inofensivas, las cuentas inactivas representan un riesgo real para la seguridad digital y son un objetivo frecuente para los ciberdelincuentes.

El problema es tan común que expertos de Eset y gigantes tecnológicos como Google advierten sobre el peligro de mantener cuentas abandonadas: suelen ser más vulnerables a los ataques, carecen de protección como la autenticación en dos pasos y, si han sido filtradas en brechas anteriores, pueden ser la puerta de entrada a fraudes y robos de identidad.

Por qué las cuentas inactivas son peligrosas

La proliferación de cuentas olvidadas responde a la naturaleza del consumo digital: probar servicios, descargar apps, aprovechar promociones y luego descuidar el cierre. El problema llega cuando esas cuentas quedan sin vigilancia y, en muchos casos, con contraseñas antiguas o repetidas.

Google incluso afirma que las cuentas que llevan mucho tiempo inactivas tienen al menos 10 veces menos probabilidades de tener una protección adecuada.

Los ciberdelincuentes buscan activamente estas cuentas por varios motivos. Primero, son más fáciles de comprometer, ya que es probable que no tengan activada la autenticación de dos factores. Segundo, pueden contener datos personales, información bancaria, correos antiguos o incluso tarjetas guardadas que todavía funcionan.

Técnicas que usan los hackers para explotar cuentas inactivas

• Infostealers y malware: Programas diseñados para robar credenciales almacenadas en navegadores o gestores de contraseñas. Un solo ataque puede exponer cientos de cuentas.
• Filtraciones masivas: Los hackers recopilan bases de datos de contraseñas y nombres de usuario filtrados por terceros, buscando coincidencias para acceder a cuentas que no han sido cerradas.
• Credential stuffing: El uso de software automatizado para probar combinaciones de usuario y contraseña en múltiples servicios, aprovechando la reutilización de claves.
• Fuerza bruta: Ataques que prueban cientos de contraseñas hasta dar con la correcta en cuentas menos protegidas.

¿Qué pueden hacer con una cuenta abandonada?

• Enviar spam o estafas: Usar tu cuenta para distribuir phishing, malware o estafas a tus contactos, haciéndose pasar por ti.
• Robo de información y fraude: Buscar datos personales, documentos, fotos o tarjetas guardadas para cometer fraudes o suplantar tu identidad.
• Venta en la darkweb: Las cuentas con algún valor añadido (por ejemplo, con suscripciones activas, millas aéreas o datos bancarios) pueden ser vendidas a otros delincuentes.
• Vaciar fondos: En cuentas bancarias, wallets o plataformas con saldo, los atacantes pueden intentar transferir los fondos si logran el acceso.
• Acceso a cuentas corporativas: Las credenciales olvidadas de empleados pueden permitir el ingreso a sistemas sensibles, como ocurrió en incidentes de ransomware en empresas globales, donde cuentas inactivas facilitaron el ataque.

Cómo protegerte y hacer limpieza digital

La mayoría de los proveedores, como Google, Microsoft o X, han comenzado a eliminar cuentas inactivas tras cierto periodo, pero la responsabilidad última recae en el usuario. Aquí algunos pasos clave:

• Audita regularmente tus cuentas: Busca en tu correo palabras como “Bienvenido”, “Verifica tu cuenta” o “Gracias por registrarte”. Revisa tus gestores de contraseñas y elimina o actualiza las que ya no usas.
• Elimina cuentas que no necesitas: Revisa las políticas de eliminación de cada servicio para asegurarte de que tus datos sean borrados definitivamente.
• No reutilices contraseñas: Activa siempre una clave única y fuerte para cada servicio. Si decides conservar una cuenta, actualiza la contraseña y usa un gestor seguro.
• Activa la autenticación de dos factores (2FA): Así, aunque alguien consiga tu contraseña, no podrá acceder sin el segundo factor.
• Evita usar redes wifi públicas para cuentas sensibles: Y si necesitas conectarte, utiliza una VPN.
• Desconfía de mensajes sospechosos: No hagas clic en enlaces de correos que presionan para que actúes rápido o solicitan tus credenciales.

La cantidad de cuentas inactivas que acumulamos puede ser sorprendente y peligrosa. Tomarte un tiempo al año para revisar, actualizar y eliminar accesos innecesarios ayuda a reducir tu exposición y protege tu identidad digital.