Qué pasa si te roban la cuenta de ChatGPT y qué medidas tomar

Un viaje organizado, una consulta técnica, el análisis de una propuesta comercial, documentos de trabajo sensibles o una conversación incómoda que se quiere preparar antes de tenerla: todo eso queda almacenado en ChatGPT cada vez que un usuario lo utiliza. La compañía de ciberseguridad ESET Latinoamérica advierte que cada consulta o pedido incorpora información privada sobre intereses, hábitos, proyectos, relaciones y preocupaciones, un detalle que convierte a la cuenta en un blanco atractivo si cae en manos de un ciberdelincuente.

El riesgo no se limita a la simple lectura de conversaciones ajenas. Según el análisis de ESET, también depende de la información que se haya compartido, las funciones utilizadas dentro de la plataforma y los servicios externos que estén conectados a la cuenta.

Qué puede hacer un atacante con la cuenta vulnerada

El escenario más común es el acceso a información sensible. Si un cibercriminal vulnera una cuenta, puede leer todas las conversaciones, revisar documentos compartidos y acceder a cualquier otro dato disponible. Dependiendo de lo que se haya ingresado, pueden quedar expuestos datos personales, información laboral, estudios médicos o detalles de proyectos confidenciales.

Ese mismo contenido puede convertirse en insumo para ataques de ingeniería social más convincentes. Al conocer intereses, relaciones profesionales y personales del usuario, el atacante cuenta con elementos para diseñar estafas y engaños más creíbles y, por lo tanto, más peligrosos.

El problema también puede trascender al usuario original. Si se compartieron contratos, datos de clientes o documentos internos de una empresa, el incidente puede escalar y afectar a colegas, clientes o a la organización completa.

Las integraciones y permisos habilitados amplían el margen de daño. Por ejemplo, si la cuenta tiene conectada una función para enviar correos electrónicos, el atacante podría enviar mensajes haciéndose pasar por el usuario real, ya sea para engañar a un compañero de trabajo, solicitar información confidencial o distribuir un enlace fraudulento. Si además existe acceso a documentos laborales, el atacante podría consultar archivos con información sensible.

Cuando la cuenta tiene habilitadas funciones de pago, créditos de API o recursos facturables, el ciberdelincuente puede generar consumos no autorizados y provocar pérdidas económicas directas. En los casos más graves, el atacante puede modificar las configuraciones de seguridad y dificultar la recuperación del acceso, lo que deja al usuario sin sus conversaciones y herramientas mientras intenta contener el incidente.

Las tres formas más comunes en que se roba una cuenta

La firma de ciberseguridad detalla tres vías principales por las que una cuenta de ChatGPT termina en poder de un atacante. La primera es el phishing: un correo o mensaje que simula provenir de ChatGPT u OpenAI alerta sobre un supuesto problema de seguridad o la necesidad de verificar los datos, e incluye un enlace a una página falsa diseñada para robar el correo electrónico y la contraseña. Este engaño también puede llegar a través de redes sociales o anuncios fraudulentos.

La segunda vía es la reutilización de contraseñas. Usar la misma clave en ChatGPT, el correo electrónico y otras plataformas facilita el trabajo al atacante: si las credenciales de uno de esos servicios se filtran en una brecha de datos, pueden emplearse para iniciar sesión en otras cuentas mediante una técnica conocida como credential stuffing.

La tercera corresponde a dispositivos comprometidos o sesiones expuestas. Un equipo infectado con malware puede permitir el robo de información ingresada por el usuario o de credenciales almacenadas. También existen situaciones menos sofisticadas, como dejar una sesión abierta en una computadora compartida, usar un equipo ajeno sin cerrar la cuenta o perder un dispositivo desbloqueado, lo que permite a cualquiera acceder a la información disponible.

“Establecer qué tan grave puede ser que roben una cuenta de ChatGPT dependerá de la utilidad que se le dé, la información que se comparta, las funciones que se utilicen y los servicios conectados que se tengan a la cuenta”, explicó Mario Micucci, investigador de Seguridad Informática de ESET Latinoamérica.

Según el especialista, no enfrenta las mismas consecuencias quien usa la herramienta para consultas generales que quien comparte información de clientes y documentos internos de una empresa.

Los pasos a seguir ante un acceso no autorizado

ESET recomienda actuar con rapidez cuando se detecta o se sospecha de un ingreso no autorizado, dado que el objetivo no es solo recuperar el acceso, sino impedir que el atacante permanezca conectado.

El primer paso es cambiar la contraseña por una nueva, única y robusta. Si el acceso a la cuenta se realiza mediante Google o Microsoft, también debe modificarse esa credencial, ya que pudo quedar comprometida. El segundo paso consiste en cerrar todas las sesiones activas desde la configuración de seguridad de ChatGPT, lo que obliga a los dispositivos conectados a iniciar sesión nuevamente.

A continuación, conviene revisar la actividad de la cuenta en busca de acciones no reconocidas, como inicios de sesión, cambios de contraseña, modificaciones en los métodos de autenticación o conversaciones que no se recuerde haber generado.

El cuarto paso es activar la autenticación de doble factor, que agrega una verificación adicional al momento de iniciar sesión. ESET aclara que esta medida debe aplicarse después de cambiar la contraseña y cerrar las sesiones activas, ya que activarla no desconecta a quien ya haya ingresado previamente con la cuenta comprometida.

Por último, si se detectó actividad no autorizada, no es posible recuperar el acceso o persiste la sospecha de que la cuenta sigue comprometida, se recomienda contactar al equipo de soporte de OpenAI a través de su Centro de ayuda oficial.