Asistente para organizar un viaje, consultor para resolver dudas sobre tecnología, analista de una propuesta comercial, archivos de trabajo o documentos sensibles, dupla creativa para proponer ideas, explorar una decisión o preparar una conversación incómoda, entre tantas otras actividades más exploran las personas a la hora de usar ChatGPT. Eso sí, ESET Latinoamérica, compañía líder en detección proactiva de amenazas, advierte que con cada consulta o pedido que hacemos, incorporamos información privada sobre nuestros intereses, hábitos, proyectos, relaciones, responsabilidades y preocupaciones, y analiza qué pasaría si un cibercriminal puede acceder a todo ese contenido, cómo podría utilizarlo y si pueden estar en riesgo los contactos o el ámbito laboral.
Los escenarios pueden ser diversos y el riesgo no se limita a la lectura de conversaciones, sino que también depende de la información compartida, las funciones que se utilizan y los servicios que se tengan conectados:
- Acceder a información sensible: Este es el riesgo más común y conocido. Al vulnerar una cuenta, un cibercriminal podráía leer todas las conversaciones, ver los documentos compartidos y cualquier otro dato disponible. Según lo que se haya ingresado, podrían quedar expuestos datos personales, información laboral, estudios médicos, planes o detalles de proyectos confidenciales.
- Armar ataques de ingeniería social más creíbles: Toda información disponible puede ser clave para que un ciberatacante conozca los intereses, identifique relaciones profesionales y personales, pudiendo así para crear estafas y engaños mucho más convincentes y peligrosos.
- Exponer información de terceros: Esto sucede si se compartieron contratos, datos de clientes o documentos internos. Así, el incidente podría escalar, afectando también a empresas, colegas o clientes.
- Abusar de funciones o conexiones disponibles: Según las herramientas, integraciones y permisos habilitados, el ciberatacante podría utilizar capacidades asociadas. Su alcance dependerá de la configuración y de los controles de acceso de cada servicio. Por ejemplo, si ChatGPT tiene habilitada una integración para enviar correos, el cibercriminal podría enviar mensajes haciéndose pasar por el usuario, ya sea para engañar a un compañero de trabajo, solicitar información confidencial o compartir un enlace fraudulento. Si también tiene acceso a documentos laborales, podría consultar archivos con información sensible.
- Generar gastos o provocar pérdidas económicas: Si la cuenta tiene acceso a funciones de pago, créditos de API o recursos facturables, el ciberatacante podría generar consumos no autorizados.
- Apoderarse de tu cuenta: Un ciberatacante podría cambiar configuraciones de seguridad e intentar dificultar que se recupere el acceso. Eso puede dejar sin acceso a conversaciones y herramientas mientras se intenta recuperar la cuenta y contener el incidente.
Que una cuenta de ChatGPT termine en manos un ciberatacante puede explicarse por diversos motivos. ESET explorara a continuación las tres más comunes:
- Phishing: Un ciberdelincuente envía un correo electrónico o un mensaje que parece provenir de ChatGPT u OpenAI, alertando sobre un problema con la cuenta, un inicio de sesión sospechoso o la necesidad de verificar los datos. Este tipo de mensaje suele incluir un enlace que dirige a una página falsa (diseñada para parecer legítima), para que se ingrese ek correo electrónico y contraseña. Ahí, el atacante puede quedarse con esas credenciales e intentar utilizarlas para acceder a la cuenta. Este engaño también puede llegarte a través de mensajes en redes sociales o anuncios fraudulentos.
- Contraseñas reutilizadas: Si se utiliza la misma contraseña para ChatGPT, correo electrónico y otras plataformas, se le facilita el trabajo al atacante. Si las credenciales de uno de esos servicios quedan expuestas en una filtración de datos, los ciberdelincuentes pueden intentar utilizarlas para iniciar sesión en otras cuentas. La técnica se conoce como credential stuffing y justamente se aprovecha de un (mal) hábito bastante extendido: reutilizar la misma contraseña en distintos sitios.
- Dispositivos comprometidos o sesiones expuestas: Un equipo infectado con malware podría permitir que un ciberatacante robe información ingresada por el usuario o determinadas credenciales almacenadas. También existen situaciones menos sofisticadas como dejar una sesión abierta en una computadora compartida, utilizar un equipo ajeno sin cerrar la cuenta al terminar o perder un dispositivo que permanece desbloqueado. En esos casos, alguien podría encontrar una sesión activa y acceder a información disponible en ella.
“Establecer qué tan grave puede ser que roben una cuenta de ChatGPT dependerá de la utilidad que se le dé, la información que se comparta, las funciones que se utilicen y los servicios conectados que se tengan a la cuenta. Por ejemplo, alguien que usa ChatGPT para consultas generales y cotidianas no enfrenta las mismas consecuencias que una persona que comparte información de clientes y documentos internos de su empresa.”, comenta Mario Micucci, Investigador de Seguridad Informática de ESET Latinoamérica.
En caso de que alguien se haya apoderado de la cuenta o se sospeche que alguien accedió sin autorización a una cuenta de ChatGPT, desde ESET se aconseja actuar rápido para limitar la gravedad de las consecuencias, ya que no solo se trata solo de recuperar el acceso, sino de impedir que el atacante siga conectado. Se recomienda seguir los siguientes pasos:
- Cambiar la contraseña: Es clave cambiar la credencial de acceso cuanto antes, por una nueva, única y robusta. Si se accede mediante Google o Microsoft, también se debe cambiar la contraseña, ya que pudo quedar comprometida.
- Cerrar las sesiones abiertas: Esto puede realizarse desde la configuración de seguridad de ChatGPT, eligiendo la opción de cerrar todas las sesiones activas. De esta manera, obligas a los dispositivos conectados a volver a iniciar sesión.
- Revisar la actividad de la cuenta: Debes identificar cualquier acción que no se haya realizado o no se reconozca, como inicios de sesión, cambios de contraseña o modificaciones en los métodos de autenticación. Es importante revisar conversaciones o acciones que no se recuerde haber realizado.
- Activar el doble factor de autenticación: Este punto es clave, porque agrega un paso extra de verificación al iniciar sesión. Es decir, si alguien consigue una contraseña, necesitará superar esa segunda comprobación. Es importante hacerlo después de cambiar la contraseña y cerrar las sesiones activas, porque activarlo no desconecta a quien ya haya iniciado sesión.
- Contactar al soporte oficial: Si se observó actividad no autorizada, no se puede recuperar el acceso o se sospecha que la cuenta aún sigue comprometida, se debe contactar al equipo de soporte de OpenAI a través del Centro de ayuda.
“Existen diversas buenas prácticas que ayudan a que una cuenta de ChatGPT sea mucho más segura y difícil de vulnerar para un ciberatacante. Por ejemplo, desde ESET se recomienda utilizar una contraseña única y robusta, activar el doble factor de autenticación. no compartir contraseñas, datos financieros ni información confidencial, revisar los permisos de las aplicaciones y las integraciones conectadas, mantener el sistema operativo, el navegador y la solución de seguridad actualizados, y desconfiar de mensajes urgentes o inesperados. De esta manera, la adopción de estas herramientas también plantea nuevas preguntas sobre la privacidad y la seguridad. Tenerlas en cuenta e incorporarlas a los hábitos digitales implica entender qué datos compartimos, qué permisos damos y cómo actuamos si algo sale mal.”, advierte Micucci.
Para saber más sobre ESET ingrese a: https://www.eset.com/latam/blog/cultura-y-seguridad-digital/que-pasa-si-te-roban-la-cuenta-chatgpt/
Por otro lado, ESET invita a conocer Conexión Segura, su podcast para saber qué está ocurriendo en el mundo de la seguridad informática. Para escucharlo ingrese a: https://open.spotify.com/show/0Q32tisjNy7eCYwUNHphcw
