En la era digital, la acumulación de cuentas en servicios y plataformas es una realidad cotidiana. Sin embargo, muchas de estas cuentas quedan en el olvido, convirtiéndose en una puerta de entrada para ciberdelincuentes que buscan explotar vulnerabilidades y acceder a información sensible.
Según estimaciones, una persona promedio gestiona alrededor de 168 contraseñas personales. Muchas de estas corresponden a cuentas creadas para pruebas gratuitas, aplicaciones de uso temporal o servicios que ya no se utilizan. El olvido y la falta de gestión de estas cuentas representan un riesgo tanto a nivel personal como corporativo.
¿Por qué las cuentas abandonadas son un objetivo delicitivo?
Una cuenta abandonada suele carecer de medidas de seguridad actualizadas, como la autenticación en dos pasos, lo que la hace hasta diez veces más vulnerables a ataques en comparación con cuentas activas.
Según me informó la empresa de seguridad informática Eset en un comunicado, los ciberdelincuentes emplean diversas técnicas para apropiarse de una cuenta inactiva, entre ellas:
- «Malware Infostealer»: Software diseñado para robar credenciales de acceso. En 2024, se reportó el robo de 3.200 millones de credenciales, el 75% mediante este tipo de malware.
- Filtraciones de datos: delincuentes digitales recopilan bases de datos de contraseñas y nombres de usuario de empresas comprometidas.
- «Credential stuffing»: Uso automatizado de credenciales filtradas para acceder a otra cuenta donde se reutiliza la misma contraseña.
- Fuerza bruta: Pruebas sistemáticas de contraseñas hasta encontrar la correcta.
Consecuencias de una cuenta comprometida
El acceso no autorizado a una cuenta inactiva puede tener graves consecuencias, según advirtieron desde Eset:
- Envío de spam y estafas a contactos, o lanzamiento de ataques de phishing en nombre del titular.
- Robo de información personal o financiera, incluyendo datos de tarjetas de crédito aún vigentes.
- Venta de cuentas en la web oscura, especialmente si tienen valor agregado como millas aéreas o puntos de fidelidad.
- Vaciamiento de fondos en cuentas bancarias o billeteras de criptomonedas. En el Reino Unido, se estima que existen hasta 109.000 millones de dólares en cuentas perdidas.
En el ámbito empresarial, una cuenta inactiva puede facilitar el acceso a sistemas y datos confidenciales. Ejemplos recientes incluyen el ataque de ransomware a la empresa Colonial Pipeline en 2021, originado por una cuenta inactiva de red privada virtual (VPN, sigla en inglés), y el incidente en el distrito londinense de Hackney en 2020, vinculado a una contraseña débil en una cuenta inactiva.
Cómo protegerse
Algunas empresas, como Google, Microsoft y X, han implementado políticas de cierre automático de cuentas inactivas para reducir riesgos. Sin embargo, la responsabilidad principal recae en los usuarios. Desde Eset recomendaron:
- Auditorías periódicas: Buscar en el correo electrónico términos como “Bienvenido”, “Verificar cuenta” o “Prueba gratuita” para identificar una cuenta olvidada.
- Gestión de contraseñas: Revisar y eliminar credenciales guardadas en navegadores o gestores de contraseñas asociadas a cuentas inactivas.
- Verificar políticas de eliminación: Asegurarse de que la información personal se borre definitivamente al cerrar una cuenta.
- Pensar antes de crear una nueva cuenta.
Para las cuentas que se decida conservar, es fundamental:
- Usar contraseñas fuertes y únicas, almacenadas en un gestor de contraseñas.
- Activar la autenticación de dos factores (2FA).
- Evitar acceder a cuentas sensibles desde redes Wi-Fi públicas sin protección VPN.
- Desconfiar de mensajes sospechosos que soliciten información o presionen para actuar rápidamente.
“Lo más probable es que la mayoría de nosotros tengamos docenas de cuentas inactivas esparcidas por Internet. Dedicar unos minutos al año a hacer limpieza puede hacer que tu vida digital sea un poco más segura”, dijo Camilo Gutiérrez Amaya, jefe del laboratorio de investigación de Eset Latinoamérica.
La proliferación de cuentas inactivas es un riesgo latente en la vida digital moderna. Dedicar tiempo a revisar y eliminar cuentas olvidadas puede ser clave para evitar fraudes, robos de identidad y otros delitos informáticos.
La prevención y la gestión activa de la seguridad digital son esenciales para proteger tanto la información personal como la corporativa.
Si te gustó o sirvió algo que publiqué, te ofrezco dos alternativas para agradecer y permitir la continuidad de mi trabajo en Bahía César:
Te invito a suscribirte gratis al boletín semanal de Bahía César para recibirlo en tu correo electrónico. Ingresa tu e-mail aquí.
