Qué ocurre si te roban la cuenta de ChatGPT y cómo puedes reaccionar
Perder el acceso a una cuenta de ChatGPT no es un problema menor. Si un ciberdelincuente consigue entrar, el riesgo no se limita a que lea las conversaciones guardadas. También puede encontrar información personal, documentos compartidos, instrucciones privadas y datos que permitan preparar nuevos ataques contra la víctima o su entorno.
La popularización de los asistentes de inteligencia artificial ha llevado a muchos usuarios a utilizarlos como una especie de cuaderno digital. En sus chats pueden aparecer datos laborales, planes de viaje, contraseñas copiadas por error, informes internos, información médica o mensajes redactados para otras personas. Todo ese contenido puede convertirse en material sensible si cae en manos equivocadas.
El historial de conversaciones puede revelar más de lo que parece
El primer riesgo es el acceso al historial. Aunque una conversación aislada parezca inofensiva, varias sesiones permiten reconstruir hábitos, intereses, relaciones personales y proyectos profesionales. Un atacante podría identificar dónde trabaja una persona, qué herramientas utiliza o cuándo estará fuera de casa.
Además, los usuarios suelen pegar en el chatbot fragmentos de correos electrónicos, contratos, código, facturas o documentos internos. Incluso cuando se omiten algunos nombres, el conjunto de los mensajes puede facilitar la identificación de personas y organizaciones.
La información también puede servir para lanzar campañas de phishing más convincentes. Conociendo el estilo de comunicación de la víctima y sus asuntos habituales, un delincuente puede preparar mensajes dirigidos a compañeros, clientes o familiares, con detalles que hagan que el engaño parezca legítimo.
Instrucciones personalizadas, memoria y archivos: otros puntos sensibles
El acceso no se limita a las conversaciones visibles. Dependiendo de la configuración de la cuenta y de las funciones activadas, el intruso podría consultar instrucciones personalizadas, preferencias, memorias guardadas o archivos subidos previamente. Estos elementos pueden contener información sobre la forma de trabajar del usuario y datos que no aparecen en una sola conversación.
Las instrucciones personalizadas son especialmente relevantes en cuentas utilizadas para tareas profesionales. Pueden incluir el tono de una marca, procesos internos, criterios para revisar documentos o indicaciones sobre proyectos en desarrollo. Si alguien las modifica, podría alterar las respuestas del asistente sin que el propietario se dé cuenta de inmediato.
También conviene revisar las funciones conectadas. Un chatbot no tiene acceso automático a todos los servicios del usuario, pero sí puede interactuar con herramientas externas cuando se han configurado permisos o integraciones. En ese caso, la intrusión podría ampliar el alcance del incidente, sobre todo si existen aplicaciones vinculadas, conectores empresariales o claves de acceso.
El atacante podría utilizar la cuenta para engañar a terceros
Una cuenta comprometida puede emplearse como plataforma para construir credibilidad. El delincuente podría generar mensajes personalizados, respuestas con apariencia profesional o documentos falsos para intentar obtener credenciales, transferencias o información confidencial.
En entornos de trabajo, el riesgo aumenta si varias personas comparten documentos o utilizan la misma cuenta. Un atacante podría aprovechar el conocimiento obtenido en el historial para hacerse pasar por un empleado, preparar un fraude al director financiero o manipular un proceso interno.
También existe la posibilidad de que cambie datos de configuración, borre conversaciones o altere las preferencias del asistente. Aunque estas acciones no siempre provoquen un daño económico directo, pueden dificultar la investigación y hacer que el usuario tarde más en detectar que la cuenta ha sido manipulada.
Qué hacer inmediatamente tras detectar un acceso sospechoso
La rapidez es importante. Si todavía puedes entrar en la cuenta, conviene seguir este orden:
- Cambia la contraseña por una larga, única y que no se utilice en ningún otro servicio.
- Cierra las sesiones abiertas desde el apartado de seguridad, si la plataforma ofrece esa opción.
- Activa la autenticación multifactor para añadir una segunda barrera al acceso.
- Protege primero la cuenta de correo asociada, ya que suele utilizarse para restablecer contraseñas.
- Revisa las aplicaciones, dispositivos e integraciones conectadas y elimina las que no reconozcas.
- Comprueba el historial y la configuración para detectar conversaciones borradas, cambios en las instrucciones o actividad inusual.
- Revoca las claves API y genera otras nuevas si se han almacenado o utilizado desde esa cuenta.
Si ya no puedes acceder, hay que utilizar los canales oficiales de recuperación y soporte. No es recomendable confiar en supuestos intermediarios que prometen recuperar la cuenta a cambio de dinero o que solicitan códigos de verificación.
Cómo reducir el impacto de una futura intrusión
La mejor protección empieza antes del incidente. Utiliza una contraseña exclusiva, activa la verificación en dos pasos y evita guardar en el chatbot información que no sea imprescindible. Si necesitas analizar un documento sensible, elimina antes nombres, direcciones, teléfonos, números de identificación y otros datos que permitan reconocer a una persona.
También es aconsejable revisar periódicamente las opciones de privacidad, borrar conversaciones antiguas que ya no sean necesarias y separar el uso personal del profesional. En una empresa, los empleados deben conocer qué información pueden introducir en una herramienta de inteligencia artificial y qué datos deben permanecer fuera de ella.
Una cuenta de ChatGPT puede concentrar un retrato bastante completo de su propietario. Por eso, protegerla exige la misma atención que una cuenta de correo electrónico o almacenamiento en la nube: contraseña única, autenticación multifactor, control de permisos y prudencia al compartir información.
