Un perfil comprometido de ChatGPT puede revelar mucho más que simples charlas virtuales. Cuando un atacante logra ingresar, puede hallar información valiosa para perpetrar fraudes, sustraer claves de otras plataformas o efectuar cobros indebidos en servicios de pago, créditos de API y recursos vinculados.
El impacto varía según el empleo que cada usuario le dé al asistente de inteligencia artificial. Consultas sobre planificación de viajes, archivos laborales, revisiones de propuestas comerciales, comunicaciones personales o inquietudes sobre una cuenta pueden dejar huellas sobre costumbres, relaciones, proyectos y datos confidenciales.
¿Qué información puede obtener un intruso dentro de una cuenta de ChatGPT?
De acuerdo con ESET, el peligro más inmediato es la exposición del historial de conversaciones, archivos subidos y documentos compartidos. Allí es posible encontrar datos personales, información sobre salud, itinerarios de viaje, borradores de contratos, propuestas de negocio, detalles de clientes o referencias a sistemas internos de una compañía.
Aunque una consulta aislada pueda parecer inocente, la acumulación de intercambios permite trazar un perfil detallado. Un agresor podría identificar intereses, responsabilidades profesionales, contactos frecuentes o circunstancias personales que luego utilizaría para crear mensajes engañosos con mayor credibilidad.
¿Cómo un chat en ChatGPT puede facilitar el robo de cuentas de WhatsApp o Instagram?
Una cuenta de ChatGPT no entrega directamente las contraseñas de WhatsApp o Instagram, a menos que el usuario las haya anotado, copiado o almacenado de alguna forma en una conversación o documento. El riesgo habitual reside en la información que permite preparar ataques de suplantación o engaños dirigidos.
Por ejemplo, si el historial revela que alguien necesita recuperar el acceso a una red social, cambió de teléfono o aguarda una comunicación de una empresa, el ciberdelincuente puede enviar un correo o mensaje falso adaptado a esa situación.
¿Por qué una cuenta de ChatGPT atacada puede generar pérdidas económicas?
Las consecuencias financieras dependen de los servicios conectados y los permisos habilitados. ESET señala que, si la cuenta tiene acceso a funciones de pago, créditos de API o herramientas facturables, un extraño podría realizar consumos no autorizados y acumular cargos antes de que el dueño detecte el incidente.
Además, pueden producirse pérdidas por vías indirectas. Un atacante que conozca una negociación, una factura pendiente o el vínculo con un proveedor podría hacerse pasar por una persona conocida y solicitar una transferencia. La información obtenida en el chatbot sirve para construir una estafa más convincente, incluso si no permite mover dinero de forma directa.
¿Qué ocurre si la cuenta de ChatGPT tiene servicios o herramientas conectadas?
Las integraciones amplían el alcance de un acceso malicioso. Si el usuario autorizó funciones para enviar correos, consultar archivos o interactuar con plataformas externas, el impacto dependerá de los permisos otorgados a cada servicio y de los controles de seguridad disponibles.
En un entorno laboral, un extraño que tome control de la cuenta podría revisar documentos internos y usar una integración de correo para enviar mensajes en nombre del titular. Ese acceso podría emplearse para pedir información confidencial, compartir enlaces fraudulentos o contactar a colegas y clientes con argumentos basados en datos reales.
¿Cuáles son las vías más comunes para tomar control de una cuenta?
El phishing figura entre los métodos más frecuentes. Los atacantes pueden enviar correos, anuncios o mensajes que aparentan provenir de OpenAI y alertan sobre un supuesto acceso sospechoso, un problema de facturación o la necesidad de verificar la cuenta. El enlace dirige a una página falsa que busca capturar las credenciales.
Otra práctica habitual es el uso de contraseñas repetidas. Si una misma clave se utiliza para ChatGPT, el correo y redes sociales, una filtración en cualquier plataforma puede abrir la puerta a otras cuentas mediante una técnica conocida como credential stuffing.
Para evitar riesgos, la primera acción debe ser cambiar la contraseña por una clave única y robusta. Si el inicio de sesión depende de una cuenta de Google o Microsoft, corresponde modificar la contraseña de ese servicio. Después, es necesario cerrar todas las sesiones activas desde la configuración de seguridad.
Fuente: Infobae