septiembre 2, 2026
Las cuentas de inteligencia artificial, nuevo objetivo de los ciberdelincuentes
Utilizamos la inteligencia artificial para redactar correos, analizar documentos, preparar propuestas, revisar contratos, resolver problemas o trabajar con información interna de nuestras empresas.
Poco a poco estamos construyendo dentro de estas plataformas algo que quizá no estamos protegiendo suficientemente: un enorme archivo de contexto sobre nosotros y nuestro trabajo.
Y los ciberdelincuentes empiezan a darse cuenta.
Los atacantes ya están secuestrando cuentas de IA
Malwarebytes ha publicado recientemente un caso relacionado con usuarios de Claude, la inteligencia artificial desarrollada por Anthropic.
Según la información publicada, algunos atacantes están utilizando malware especializado en el robo de información —los denominados infostealers— para apropiarse de sesiones activas de usuarios.
La técnica es especialmente interesante porque el atacante no necesita necesariamente conocer la contraseña.
Si consigue robar determinados datos de sesión almacenados en el navegador, puede intentar acceder a una cuenta que ya había sido autenticada previamente.
Eso significa que incluso mecanismos como la autenticación en dos pasos pueden no ser suficientes frente a determinados tipos de malware instalado en el dispositivo.
En los casos detectados, los atacantes utilizaron las cuentas principalmente para consumir recursos de Claude y, potencialmente, generar costes para los propietarios.
Pero ese puede ser solamente uno de los riesgos.
El verdadero valor puede estar en nuestras conversaciones
Cuando pensamos en el robo de una cuenta solemos pensar inmediatamente en dinero.
En una cuenta bancaria resulta evidente.
En una cuenta de correo también podemos imaginar fácilmente las consecuencias.
Con una cuenta de inteligencia artificial todavía no tenemos esa percepción.
Pero pensemos qué información estamos introduciendo actualmente en estas plataformas.
Una pyme puede utilizar una IA para preparar una propuesta comercial.
Un responsable de recursos humanos puede consultar cómo gestionar una determinada situación laboral.
Un gerente puede analizar un conflicto con un proveedor.
Un programador puede compartir fragmentos de código.
Un departamento comercial puede introducir información sobre clientes.
Un profesional puede trabajar durante meses sobre un mismo proyecto manteniendo numerosas conversaciones.
Separadas, muchas de esas conversaciones pueden parecer poco importantes.
Juntas pueden construir un perfil sorprendentemente detallado de una persona o una empresa.
Para cometer un fraude, el contexto es extremadamente valioso
Uno de los grandes problemas actuales del phishing y la ingeniería social es que los ataques están cada vez mejor contextualizados.
El correo mal redactado que pedía urgentemente nuestras credenciales sigue existiendo.
Pero no es necesariamente el fraude que más debería preocuparnos.
Un ataque mucho más efectivo puede mencionar correctamente a un proveedor, conocer un proyecto en marcha, utilizar el nombre de un compañero o hacer referencia a una situación que realmente está ocurriendo dentro de la empresa.
Cuanto más sabe un atacante sobre nosotros, más fácil resulta construir una historia creíble.
Y una cuenta de inteligencia artificial puede contener precisamente ese tipo de información.
El propio artículo de Malwarebytes señala que los datos obtenidos de estas cuentas podrían utilizarse posteriormente para fraudes, ingeniería social o nuevos ataques.
Ahí está, probablemente, uno de los riesgos más importantes.
La IA está creando una nueva categoría de cuenta sensible
Durante años hemos aprendido que debemos proteger especialmente determinadas cuentas:
El correo electrónico.
La banca online.
Las redes sociales.
Los servicios en la nube.
Las herramientas corporativas.
Ahora deberíamos añadir otra categoría:
las cuentas de inteligencia artificial.
Especialmente cuando se utilizan profesionalmente.
No porque utilizar IA sea peligroso en sí mismo, sino porque el valor de una cuenta depende en gran medida de la información que contiene.
Y cada vez contienen más.
El problema no es solamente la contraseña
El caso publicado sobre Claude también plantea otra cuestión importante.
Estamos acostumbrados a pensar que proteger una cuenta significa utilizar una contraseña robusta y activar la autenticación en dos factores.
Ambas medidas siguen siendo fundamentales.
Pero no solucionan todos los problemas.
Si un dispositivo está comprometido por malware capaz de robar información del navegador, un atacante puede intentar apropiarse de sesiones previamente autenticadas.
Por eso la seguridad debe contemplarse de forma más amplia.
No solamente debemos proteger la cuenta.
También debemos proteger el dispositivo desde el que accedemos a ella.
Qué deberían hacer las empresas
No es necesario prohibir el uso de inteligencia artificial.
De hecho, probablemente sería una medida poco realista en muchas organizaciones.
Lo razonable es establecer unas reglas básicas.
Limitar la información que introducimos
Antes de copiar un documento completo dentro de una IA conviene preguntarse si realmente necesita toda esa información.
Muchas veces podemos anonimizar nombres, eliminar datos personales o proporcionar solamente el contexto necesario.
Separar el uso personal del profesional
Las cuentas utilizadas para trabajar deberían gestionarse como cualquier otra herramienta corporativa.
Compartir cuentas entre trabajadores o utilizar indiscriminadamente cuentas personales genera problemas adicionales de seguridad y trazabilidad.
Activar las medidas de protección disponibles
Contraseñas únicas, autenticación multifactor y revisión periódica de sesiones activas siguen siendo medidas básicas.
Mantener los dispositivos protegidos
Un ordenador infectado puede convertir en inútiles muchas de las medidas aplicadas sobre las cuentas.
Actualizar sistemas, evitar software de origen dudoso y disponer de mecanismos de protección frente a malware sigue siendo esencial.
Formar a los trabajadores
Probablemente esta sea una de las medidas más importantes.
La mayoría de los empleados todavía percibe una conversación con una inteligencia artificial como algo relativamente privado e informal.
Pero cuando se utiliza para trabajar, esa conversación puede contener información empresarial.
Y debe tratarse como tal.
Una cuestión que las empresas deberían empezar a plantearse
La adopción de inteligencia artificial está avanzando mucho más rápido que las políticas internas de muchas organizaciones.
Los trabajadores empiezan a utilizar estas herramientas porque les ayudan a trabajar mejor.
Eso es perfectamente comprensible.
El problema aparece cuando una empresa no sabe qué herramientas se utilizan, qué información se introduce en ellas o qué medidas existen si una cuenta es comprometida.
Por eso la pregunta ya no debería ser únicamente:
¿Utilizamos inteligencia artificial en nuestra empresa?
La pregunta debería ser:
¿sabemos cómo la estamos utilizando y qué información estamos dejando dentro?
La noticia sobre el secuestro de cuentas de Claude es solamente un ejemplo.
Pero probablemente veremos más.
Porque allí donde empieza a concentrarse información valiosa, tarde o temprano aparecen quienes intentan apropiarse de ella.
Internet cambia rápido, y los métodos para engañarnos y las normativas todavía más.
Si gestionas una web o una entidad, la seguridad no debería ser un dolor de cabeza constante.
Únete a la newsletter para recibir consejos cortos y prácticos sobre:
- Protección de Datos: Cómo cumplir la ley correctamente para protegerte de multas y sanciones.
- Seguridad Web: Mantén tu página a salvo de intrusos.
- Ciberseguridad: Hábitos sencillos para blindar tu día a día.
- IA: Cómo usar la inteligencia artificial de forma segura.