ESET advierte que el riesgo va más allá de leer tus chats: estos son los cinco pasos para sacar al atacante y blindar la cuenta.
TL;DR: Si te roban la cuenta de ChatGPT, cambia la contraseña, cierra sesiones, revisa la actividad, activa el doble factor y contacta a OpenAI. El orden importa: el doble factor no expulsa a quien ya inició sesión.
Si alguien se apodera de tu cuenta, primero cambia la contraseña y cierra las sesiones: el doble factor no expulsa a quien ya está dentro. Así lo indica el Centro de ayuda de OpenAI.
ESET Latinoamérica advirtió que el daño depende de lo que escribiste, de las funciones que usas y de lo que conectaste.
¿Qué puede hacer un atacante con tu cuenta?
Un atacante puede leer tus chats y archivos, suplantarte con integraciones activas y generar cobros. El alcance depende de lo que compartiste.
Mario Micucci, investigador de ESET Latinoamérica, plantea que no es igual usar ChatGPT para consultas cotidianas que compartir datos de clientes y documentos internos.
Si en tus conversaciones hay datos personales, estudios médicos o contratos, el incidente puede salpicar también a colegas, clientes y a la empresa donde trabajas.
Con tus intereses y relaciones a la vista, el atacante puede armar estafas mucho más creíbles contra ti y tus contactos. Es la lógica de lo que puede hacer un ciberdelincuente con tu número de teléfono: cuanto más sabe, más convincente es el engaño.
Si tienes una integración para enviar correos, el atacante puede escribirles a tus compañeros haciéndose pasar por ti para pedir datos o mandar enlaces fraudulentos.
También hay riesgo económico. Si pagas un plan, como ChatGPT Go en Colombia, o tienes créditos de API, el atacante puede generar consumos no autorizados a tu nombre. También puede cambiar la seguridad para que no recuperes el acceso.
¿Cómo te roban la cuenta de ChatGPT?
Las tres vías más comunes, según ESET, son el phishing, las contraseñas reutilizadas y los dispositivos o sesiones expuestas.
El phishing llega como un correo o mensaje que parece de OpenAI. Avisa de un inicio de sesión sospechoso y te lleva a una página falsa donde entregas tu correo y contraseña. También circula por redes sociales y anuncios fraudulentos. Una variante reciente es el falso CAPTCHA que pide copiar un comando.
Las contraseñas reutilizadas facilitan el trabajo: si una filtración expone tus credenciales de otro servicio, los atacantes las prueban en tu cuenta de ChatGPT. La técnica se llama credential stuffing.
Los dispositivos comprometidos y las sesiones abiertas cierran la lista. Un equipo con malware, una sesión olvidada en un computador compartido o un celular perdido y desbloqueado dan acceso sin necesidad de contraseña.
¿Qué hacer si robaron tu cuenta de ChatGPT?
Cambia la contraseña, cierra sesiones, revisa la actividad, activa el doble factor y contacta a OpenAI. El doble factor no expulsa sesiones abiertas.
Los nombres de los menús pueden variar según tu idioma y la versión de la app. Estos son los pasos.
Paso 1: cambia la contraseña
ESET pide una contraseña nueva, única y robusta, y cambiar también la de Google o Microsoft si entras con ellos, porque pudo quedar comprometida.
Según OpenAI, al restablecer la contraseña las sesiones activas se cierran en un plazo de 30 minutos. Hazlo desde la pantalla de inicio de sesión, con la opción “¿Olvidaste tu contraseña?”.
Paso 2: cierra todas las sesiones
En la configuración de ChatGPT, dentro de Seguridad e inicio de sesión, está la opción de cerrar sesión en todos los dispositivos. Fuerza a cada equipo conectado a volver a iniciar sesión. OpenAI aclara que puede tardar hasta 30 minutos.
Paso 3: revisa la actividad de la cuenta
ESET recomienda buscar inicios de sesión, cambios de contraseña o de métodos de autenticación que no reconozcas. Revisa también si hay conversaciones o acciones que no recuerdes haber hecho.
Paso 4: activa el doble factor
El doble factor agrega una segunda verificación al iniciar sesión, así que una contraseña robada ya no basta. Actívalo después de los pasos 1 y 2, porque OpenAI confirma que no cierra las sesiones ya abiertas.
OpenAI ofrece varios métodos: app autenticadora, notificación push, SMS o WhatsApp, y passkey. Cuáles ves depende de tu dispositivo, país y tipo de cuenta.
Guarda un método de respaldo. Si pierdes todos, OpenAI exige un proceso de verificación con soporte que puede tardar varios días.
Paso 5: contacta al soporte de OpenAI
Si hay actividad que no reconoces o la cuenta sigue comprometida, escribe al soporte de OpenAI desde su Centro de ayuda. Para cuentas o claves de API, OpenAI ofrece además un formulario de actividad no autorizada.
¿Cómo evitar que te roben la cuenta?
Usa una contraseña única, activa el doble factor, no compartas datos financieros ni confidenciales y revisa los permisos de las integraciones conectadas.
ESET resume la prevención en seis hábitos. Tres dependen solo de ti: contraseña única, doble factor y no pegar datos sensibles en los chats.
- Mantén al día el sistema operativo, el navegador y tu solución de seguridad.
- Desconfía de mensajes urgentes o inesperados que digan venir de OpenAI.
- Revisa qué aplicaciones e integraciones tienen acceso a tu cuenta.
Una prueba de cinco minutos: entra a la configuración y mira qué tienes conectado. Cada integración que ya no uses es una puerta que conviene cerrar.
Preguntas frecuentes sobre cuentas de ChatGPT robadas
¿Activar el doble factor saca al atacante de mi cuenta?
No. OpenAI aclara que activar el doble factor no cierra las sesiones abiertas. Primero cambia la contraseña y cierra todas las sesiones, y después actívalo.
¿Cuánto tarda en cerrarse una sesión robada?
Hasta 30 minutos, tanto al cerrar sesión en todos los dispositivos como al restablecer la contraseña.
¿Cómo sé si me robaron la cuenta de ChatGPT?
Busca inicios de sesión que no reconoces, cambios de contraseña o de métodos de autenticación que no hiciste, y conversaciones que no recuerdas.
¿Qué hago si entro a ChatGPT con Google o Microsoft?
Cambia también la contraseña de esa cuenta, porque pudo quedar comprometida. Con el acceso de Google o Microsoft asegurado, repite los pasos de sesiones y doble factor.
¿Qué hago si perdí mi método de doble factor?
Usa otro método configurado. Si no tienes ninguno, contacta a OpenAI: la verificación puede tardar varios días y después te dan un acceso temporal de recuperación por correo.
¿Qué datos puede ver un atacante en mi cuenta?
Puede ver tus conversaciones y los documentos compartidos. Según tus integraciones, también puede acceder a archivos de trabajo, enviar correos en tu nombre o generar cobros.
¿Sabes hoy qué integraciones tienes conectadas a tu ChatGPT?
