Los ladrones ya no necesitan tu contraseña: 6 estafas que invaden cuentas sin login

Los delincuentes están invadiendo cuentas en línea sin necesidad de descubrir la contraseña, según una alerta publicada por Fox News con el periodista Kurt "CyberGuy" Knutsson. En lugar de adivinar tu código de acceso, roban la sesión que ya está abierta, transfieren tu número de celular a otro chip, fuerzan aprobaciones de inicio de sesión o usan programas espía y aplicaciones conectadas.

La contraseña sigue siendo importante, pero ahora es solo una parte de la protección. El informe explica que cambiar la contraseña no siempre expulsa al invasor, porque el acceso puede continuar a través de una sesión activa, una app autorizada o una regla creada en tu correo.

Sesión robada, SIM swap y agotamiento del MFA

Cuando mantienes la sesión iniciada, el sitio crea una sesión, un registro temporal que le dice al servicio que ya demostraste quién eres. Esa sesión usa tokens o cookies, pequeños archivos digitales de identificación. Si el delincuente roba ese token, el servicio puede permitir la entrada sin pedir contraseña ni nueva verificación.

Otra estafa es el cambio de chip, conocido como SIM swap. El estafador convence a la operadora de pasar tu número a un chip o eSIM que él controla. Así recibe llamadas y SMS destinados a ti, incluidos los códigos de verificación. La pérdida repentina de señal, un aviso inesperado de cambio de equipo y un mensaje de restablecimiento de contraseña que no pediste son señales de alerta.

La tercera táctica apunta a la autenticación de dos factores, el MFA, esa capa extra además de la contraseña. En la estafa del agotamiento del MFA, también llamada push bombing, el delincuente envía solicitudes de aprobación sin parar hasta que tocas "Aprobar" solo para que deje de molestarte. También puede hacerse pasar por soporte técnico y pedirte que leas en voz alta un código único.

Virus espía y apps con demasiados permisos

El cuarto riesgo es el infostealer, un virus diseñado para recolectar información del dispositivo. Puede robar contraseñas guardadas en el navegador, cookies de sesión y datos de pago. Llega en falsas actualizaciones de programas, aplicaciones piratas, archivos adjuntos sospechosos, anuncios maliciosos o extensiones del navegador comprometidas, y puede actuar en silencio.

La quinta estafa ni siquiera necesita un virus: es la app maliciosa con acceso a la cuenta. Una falsa aplicación de productividad pide permiso para leer tu correo, contactos o archivos en la nube en una pantalla de autorización que parece legítima. Esta técnica, llamada OAuth consent phishing, fue citada en una alerta del FBI de septiembre de 2026. Ese acceso puede continuar incluso después de que cambies la contraseña, hasta que revoques el permiso.

Qué hacer ahora

La recomendación es usar passkeys cuando estén disponibles. La passkey es un inicio de sesión sin contraseña escrita, que se libera con biometría como huella digital o reconocimiento facial, llave de seguridad o gestor de contraseñas, y está vinculada al sitio verdadero. Para cuentas sensibles, el texto también recomienda una llave de seguridad o una aplicación de autenticación, que genera códigos que generalmente no dependen de tu número de teléfono.

En la práctica, revisa las sesiones y dispositivos conectados, cierra lo que no reconozcas y nunca apruebes un inicio de sesión que no hayas iniciado. Pregunta a tu operadora sobre el PIN de seguridad, el bloqueo de transferencia del número y la protección contra port-out. Revisa las aplicaciones de terceros vinculadas a Google, Microsoft y otras cuentas importantes y elimina las que no uses. Si sospechas una invasión, empieza por el correo principal, que desbloquea todas las demás cuentas, usando un dispositivo de confianza.

• Correo: cambia la contraseña, cierra sesiones sospechosas y revisa direcciones de recuperación y reglas de reenvío.
• Celular y banco: avisa a la operadora en caso de SIM swap y revisa las transacciones con tu banco o tarjeta.
• Monitoreo: revisa los informes de crédito, considera una alerta de fraude o un congelamiento, que es gratuito, en las tres agencias Equifax, Experian y TransUnion.
• Recuperación en EE. UU.: en caso de robo de identidad, el texto indica el sitio IdentityTheft.gov, de la Federal Trade Commission.