¿Te robaron la cuenta de IA sin tocarte la contraseña? Sí, puede pasar

¿A vos te robaron la cuenta de IA y encima no te diste cuenta? Tranquilo, no es culpa tuya: alcanza con que un software malicioso pase por tu computadora y se lleve las llaves que dan por iniciada tu sesión. Ni usuario, ni contraseña, ni verificación en dos pasos. Nada. La inteligencia artificial ya tiene su propio dolor de cabeza y se llama robo de sesiones, una técnica que esquiva los métodos de seguridad más comunes.

¿Qué es eso de los infostealers que andan robando cookies?

Mirá, en cualquier pueblo chico hay un kiosco donde el dueño te fía y te conoce de toda la vida. No te pide documento, no te pide nada: sabe que sos vos y te deja pasar. Algo parecido hacen las cookies y los tokens de sesión con los servicios de IA: son como el ticket del kiosco. Si alguien se lleva ese ticket, el sistema lo reconoce como un usuario ya autenticado y lo deja entrar sin chistar. Los infostealers son los programas maliciosos que se dedican a juntar esos tickets de computadoras con Windows o Mac, los empaquetan y los venden o los usan.

¿Cuánta gente quedó expuesta según el informe?

Los números los puso sobre la mesa SOCRadar, que revisó un período de 90 días y encontró 5.434 registros asociados a 1.500 direcciones de correo corporativo. Eso corresponde a 482 empresas con cuentas comprometidas. Y ojo: no estamos hablando de cuentas de correo o de home banking. Hablamos de cuentas de plataformas de inteligencia artificial, donde la gente guarda desde código fuente hasta borradores de contratos y hasta datos de clientes que fueron metidos en una consulta.

“Si el atacante conserva una sesión válida, cambiar la contraseña puede resultar insuficiente.”Informe de ESET

• Acortar la duración de las sesiones activas en las plataformas de IA.
• Renovar periódicamente los identificadores de sesión, como las claves API.
• Adoptar un inicio de sesión único y centralizado para toda la organización.
• Limitar y rotar las claves API que conectan aplicaciones con servicios de IA.
• Revisar ingresos desde lugares o horarios fuera de lo habitual, incluso fuera del horario laboral.
• Detectar qué cuentas de IA se usan dentro de la empresa sin que los responsables de área lo sepan.

Y acá viene lo picante: una sesión comprometida en una herramienta de automatización como Zapier puede abrir la puerta al correo electrónico, a otras aplicaciones conectadas y, en definitiva, a buena parte del ecosistema digital de la empresa. El alcance del problema se multiplica con cada integración que tengamos activa sin supervisión.

Mientras tanto, seguimos esperando la fibra.