Expertos advirtieron que estas cuentas son el blanco perfecto para vaciar fondos bancarios y traficar datos en la ‘Dark Web’

Los hábitos digitales han transformado por completo la forma en que las personas interactúan con servicios en línea.

En medio de la comodidad que brindan las plataformas, aplicaciones y suscripciones gratuitas, se esconde una amenaza creciente que pasa desapercibida: la acumulación de cuentas inactivas, muchas de las cuales pueden convertirse en una puerta abierta para los ciberataques.

Una mina para los delincuentes digitales

Las cuentas digitales abandonadas representan una oportunidad valiosa para los ciberdelincuentes. De acuerdo con especialistas en seguridad informática, entre ellos el equipo de ESET, estas cuentas suelen quedar en el olvido después de registrarse en servicios temporales, como pruebas gratuitas o aplicaciones para viajes.

“En promedio, se estima que, una persona tiene 168 contraseñas de cuentas personales”, indica la agencia.

ESET, reconocida por su labor en prevención de amenazas informáticas, advierte que estas cuentas “fantasma”, aún activas, pero sin supervisión, se convierten en objetivos frecuentes. No es solo por el acceso fácil que pueden brindar a información personal y financiera, sino porque muchas veces ni siquiera tienen herramientas básicas de protección, como la verificación en dos pasos.

“Hay muchas razones por las que puedes tener un gran número de cuentas olvidadas e inactivas. Lo más probable es que te bombardeen a diario con ofertas especiales y nuevos servicios digitales. A veces, la única forma de comprobarlos es registrarse y crear una cuenta nueva”, señala Camilo Gutiérrez Amaya, jefe del Laboratorio de Investigación de ESET Latinoamérica.

Google, por su parte, respalda esta preocupación: afirma que las cuentas inactivas presentan una probabilidad significativamente mayor de ser comprometidas, especialmente si las credenciales han sido expuestas en filtraciones anteriores.

Cómo se roban estas cuentas: técnicas silenciosas pero eficaces

Los ataques a cuentas inactivas se han profesionalizado. Entre las estrategias más comunes utilizadas por los cibercriminales se encuentran:

• ‘Malware Infostealer’: software diseñado para capturar claves de acceso. En 2023, se estima que se robaron 3.200 millones de credenciales, y un 75% fue a través de este método.
• Filtraciones masivas de datos: los hackers aprovechan vulnerabilidades en empresas para acceder a bases de datos enteras de usuarios.
• ‘Credential stuffing’: una técnica automatizada que prueba combinaciones filtradas en múltiples servicios.
• Ataques de fuerza bruta: prueba sistemática de contraseñas hasta dar con la correcta.

Estas acciones permiten a los delincuentes asumir el control de cuentas que parecían inofensivas. Una vez dentro, los usos posibles son tan diversos como peligrosos: enviar estafas desde correos conocidos, rastrear información financiera, vender accesos en la dark web o incluso vaciar cuentas bancarias.

¿Para qué utilizan los delincuentes las cuentas comprometidas?

Una vez que los atacantes consiguen el control de una cuenta digital abandonada, las posibilidades de explotación son múltiples. Según ESET, las consecuencias pueden ser severas tanto para la víctima como para sus contactos.

Entre los usos más frecuentes se encuentran:

• Utilizarla para enviar spam y estafas a los contactos: los criminales aprovechan la cuenta para enviar correos maliciosos o mensajes de estafa suplantando la identidad de la víctima.
• Buscar información personal o datos guardados de tarjetas: muchos usuarios almacenan datos personales o financieros en sus perfiles, incluidos detalles de tarjetas bancarias.
• Vender la cuenta en la Dark Web: las credenciales robadas se comercializan en foros clandestinos a otros actores maliciosos.
• Vaciar la cuenta de fondos: si la cuenta está vinculada a servicios financieros, los delincuentes pueden llegar a transferir o sustraer dinero directamente.

Recomendaciones para recuperar el control digital

Para reducir estos riesgos, compañías como Google, Microsoft y X (antes Twitter) han comenzado a cerrar automáticamente las cuentas sin actividad. No obstante, ESET insiste en que la mejor estrategia sigue siendo la prevención.

Entre las recomendaciones clave están:

1. Revisar y cerrar cuentas obsoletas: buscar en el correo electrónico señales de registros antiguos mediante términos como “Bienvenido”, “Verifica su cuenta” o “Gracias por registrarte”.
2. Limpiar los gestores de contraseñas: identificar contraseñas asociadas a servicios que ya no se usan, y eliminarlas o reforzarlas si han estado expuestas.
3. Evitar registros innecesarios: pensar dos veces antes de crear una nueva cuenta que podría quedar abandonada a corto plazo.

“Lo más probable es que la mayoría de nosotros tengamos docenas de cuentas inactivas esparcidas por Internet. Dedicar unos minutos al año a hacer limpieza puede hacer que tu vida digital sea un poco más segura”, concluyó Gutiérrez Amaya de ESET Latinoamérica.