Qué pasa si te roban la cuenta de ChatGPT

ESET advierte que, si un actor malicioso accede a un chatbot, el riesgo no se limita a que lea las conversaciones: el escenario puede ser mucho más grave según la información compartida, las funciones utilizadas y los servicios conectados.

Fuente: Comunicado de prensa de ESET.

Asistente para organizar un viaje, consultor para resolver dudas sobre tecnología, analista de una propuesta comercial, archivos de trabajo o documentos sensibles, dupla creativa para proponer ideas, explorar una decisión o preparar una conversación incómoda: son algunas de las actividades para las que las personas usan ChatGPT. ESET Latinoamérica advierte que con cada consulta o pedido se incorpora información privada sobre intereses, hábitos, proyectos, relaciones, responsabilidades y preocupaciones, y analiza qué pasaría si un cibercriminal pudiera acceder a todo ese contenido, cómo podría utilizarlo y si pueden estar en riesgo los contactos o el ámbito laboral.

Qué riesgos hay si acceden a la cuenta

Los escenarios pueden ser diversos y el riesgo no se limita a la lectura de conversaciones, sino que también depende de la información compartida, las funciones que se utilizan y los servicios que se tengan conectados:

• Acceder a información sensible: es el riesgo más común y conocido. Al vulnerar una cuenta, un cibercriminal podría leer todas las conversaciones, ver los documentos compartidos y cualquier otro dato disponible. Según lo que se haya ingresado, podrían quedar expuestos datos personales, información laboral, estudios médicos, planes o detalles de proyectos confidenciales.
• Armar ataques de ingeniería social más creíbles: toda información disponible puede ser clave para que un ciberatacante conozca los intereses, identifique relaciones profesionales y personales, y pueda así crear estafas y engaños mucho más convincentes y peligrosos.
• Exponer información de terceros: sucede si se compartieron contratos, datos de clientes o documentos internos. Así, el incidente podría escalar, afectando también a empresas, colegas o clientes.
• Abusar de funciones o conexiones disponibles: según las herramientas, integraciones y permisos habilitados, el ciberatacante podría utilizar capacidades asociadas. Su alcance dependerá de la configuración y de los controles de acceso de cada servicio. Por ejemplo, si ChatGPT tiene habilitada una integración para enviar correos, el cibercriminal podría enviar mensajes haciéndose pasar por el usuario, ya sea para engañar a un compañero de trabajo, solicitar información confidencial o compartir un enlace fraudulento. Si también tiene acceso a documentos laborales, podría consultar archivos con información sensible.
• Generar gastos o provocar pérdidas económicas: si la cuenta tiene acceso a funciones de pago, créditos de API o recursos facturables, el ciberatacante podría generar consumos no autorizados.
• Apoderarse de la cuenta: un ciberatacante podría cambiar configuraciones de seguridad e intentar dificultar que se recupere el acceso. Eso puede dejar sin acceso a conversaciones y herramientas mientras se intenta recuperar la cuenta y contener el incidente.

Cómo pueden robar una cuenta de ChatGPT

Que una cuenta de ChatGPT termine en manos de un ciberatacante puede explicarse por diversos motivos. ESET detalla las tres más comunes:

1. Phishing: un ciberdelincuente envía un correo electrónico o un mensaje que parece provenir de ChatGPT u OpenAI, alertando sobre un problema con la cuenta, un inicio de sesión sospechoso o la necesidad de verificar los datos. Este tipo de mensaje suele incluir un enlace que dirige a una página falsa, diseñada para parecer legítima, donde se ingresa el correo electrónico y la contraseña. Ahí, el atacante puede quedarse con esas credenciales e intentar utilizarlas para acceder a la cuenta. Este engaño también puede llegar a través de mensajes en redes sociales o anuncios fraudulentos.
2. Contraseñas reutilizadas: si se utiliza la misma contraseña para ChatGPT, el correo electrónico y otras plataformas, se le facilita el trabajo al atacante. Si las credenciales de uno de esos servicios quedan expuestas en una filtración de datos, los ciberdelincuentes pueden intentar utilizarlas para iniciar sesión en otras cuentas. La técnica se conoce como credential stuffing y se aprovecha de un (mal) hábito bastante extendido: reutilizar la misma contraseña en distintos sitios.
3. Dispositivos comprometidos o sesiones expuestas: un equipo infectado con malware podría permitir que un ciberatacante robe información ingresada por el usuario o determinadas credenciales almacenadas. También existen situaciones menos sofisticadas, como dejar una sesión abierta en una computadora compartida, utilizar un equipo ajeno sin cerrar la cuenta al terminar o perder un dispositivo que permanece desbloqueado. En esos casos, alguien podría encontrar una sesión activa y acceder a la información disponible en ella.

“Establecer qué tan grave puede ser que roben una cuenta de ChatGPT dependerá de la utilidad que se le dé, la información que se comparta, las funciones que se utilicen y los servicios conectados que se tengan a la cuenta. Por ejemplo, alguien que usa ChatGPT para consultas generales y cotidianas no enfrenta las mismas consecuencias que una persona que comparte información de clientes y documentos internos de su empresa”, comenta Mario Micucci, Investigador de Seguridad Informática de ESET Latinoamérica.

Qué hacer si la cuenta fue comprometida

En caso de que alguien se haya apoderado de la cuenta o se sospeche que accedió sin autorización, ESET aconseja actuar rápido para limitar la gravedad de las consecuencias, ya que no solo se trata de recuperar el acceso, sino de impedir que el atacante siga conectado. Recomienda seguir estos pasos:

1. Cambiar la contraseña: es clave cambiar la credencial de acceso cuanto antes por una nueva, única y robusta. Si se accede mediante Google o Microsoft, también se debe cambiar esa contraseña, ya que pudo quedar comprometida.
2. Cerrar las sesiones abiertas: puede hacerse desde la configuración de seguridad de ChatGPT, eligiendo la opción de cerrar todas las sesiones activas. De esta manera, se obliga a los dispositivos conectados a volver a iniciar sesión.
3. Revisar la actividad de la cuenta: hay que identificar cualquier acción no realizada o que no se reconozca, como inicios de sesión, cambios de contraseña o modificaciones en los métodos de autenticación. También es importante revisar conversaciones o acciones que no se recuerde haber realizado.
4. Activar el doble factor de autenticación: agrega un paso extra de verificación al iniciar sesión. Es decir, si alguien consigue una contraseña, necesitará superar esa segunda comprobación. Es importante hacerlo después de cambiar la contraseña y cerrar las sesiones activas, porque activarlo no desconecta a quien ya haya iniciado sesión.
5. Contactar al soporte oficial: si se observó actividad no autorizada, no se puede recuperar el acceso o se sospecha que la cuenta aún sigue comprometida, se debe contactar al equipo de soporte de OpenAI a través del Centro de ayuda.

“Existen diversas buenas prácticas que ayudan a que una cuenta de ChatGPT sea mucho más segura y difícil de vulnerar para un ciberatacante. Por ejemplo, desde ESET se recomienda utilizar una contraseña única y robusta, activar el doble factor de autenticación, no compartir contraseñas, datos financieros ni información confidencial, revisar los permisos de las aplicaciones y las integraciones conectadas, mantener el sistema operativo, el navegador y la solución de seguridad actualizados, y desconfiar de mensajes urgentes o inesperados”, advierte Micucci.

La adopción de estas herramientas también plantea nuevas preguntas sobre la privacidad y la seguridad. Tenerlas en cuenta e incorporarlas a los hábitos digitales implica entender qué datos se comparten, qué permisos se dan y cómo actuar si algo sale mal.