Tu historial de ChatGPT es una credencial: protégelo como tu correo

¿Dejarías tu bandeja de entrada protegida con una contraseña débil y sin segundo factor? Claro que no. Sin embargo, muchos hemos estado volcando en ChatGPT el tipo de material que antes vivía solo ahí: planes de trabajo, datos de clientes, preocupaciones de salud, decisiones a medio madurar. La cuenta que lo guarda todo es ya un objetivo, y la investigación de las últimas semanas indica que es un objetivo alcanzable.

El 28 de octubre, el equipo de investigación de Parameter publicó un análisis en el que afirma que, al saltarse el sandbox de ChatGPT y su política de seguridad de contenidos, podía hacerse con la cuenta de cualquiera con solo enviarle un enlace. Un artículo en dev.to sobre una cadena de postMessage en MathLive asegura que OpenAI publicó la corrección en ocho días y menciona una recompensa de 5000 dólares por una toma de control total de la cuenta en su producto estrella. Por otra parte, según se ha informado, los investigadores de Hacktron encadenaron un fallo de procesamiento de imágenes en el foro de la comunidad de OpenAI con un fallo de inicio de sesión único para tomar el control de cuentas de ChatGPT y Codex de empleados. The Hacker News cuenta que usaron Claude Opus 5, de Anthropic, para encadenar los dos fallos y llegar a un repositorio de código interno de OpenAI.

La contraseña nunca fue el único punto débil

Fíjate en lo que tienen en común estos ataques: tal como se describen, ninguno parece haber necesitado adivinar una contraseña. Un enlace, un acceso a un foro, una función de agente. A nuestro juicio, eso importa para el consejo de siempre. La autenticación multifactor (MFA) sigue siendo lo mínimo, y los expertos en seguridad citados junto a un aviso de ESET la recomiendan junto con credenciales únicas y la revisión de los permisos de las aplicaciones de terceros. Pero si un atacante se apodera de una sesión o de un flujo de identidad, puede que el segundo factor de la pantalla de acceso nunca llegue a entrar en juego. Por la documentación no podemos saber exactamente cómo interactúa cada exploit con la MFA, así que toma esto como interpretación nuestra, no como un hallazgo.

Lo que sí nos parece claro es la lección sobre el alcance. El argumento de ESET es que el daño depende de lo que hayas compartido y de los servicios que tengas conectados. Quien pide ideas de recetas pierde poco. Quien ha subido bases de datos de clientes o estrategia corporativa y ha vinculado conectores ha entregado un mapa de su vida.

La memoria y los conectores convirtieron el historial en superficie de ataque

El caso anterior de ZombieAgent es lo que nos parece más infravalorado. Investigadores de Radware describieron un fallo sin clics en ChatGPT y en sus agentes de Deep Research que abusaba de la memoria y de los conectores para exfiltrar datos en silencio y mantener un acceso persistente. Según la ficha del incidente de la OCDE, OpenAI lo corrigió en diciembre de 2025, pero el robo de datos ya se había producido.

Ese es el patrón que merece preocupación. Las funciones que hacen útil a un asistente, recordarte y llegar a tus otros servicios, son justo las que hacen valiosa una cuenta comprometida. Un historial de chat era antes un registro. Ahora se parece más a un perfil, más un manojo de llaves. Por eso lo llamaríamos credencial: quien lo tiene puede saber lo que tú sabes y, a veces, actuar como si fuera tú.

Los usuarios, a lo aburrido; las empresas, a pagar por los fallos graves

Para los usuarios, la lista práctica es corta y un poco aburrida. Activa la MFA. Usa una contraseña única. Revisa qué tienes conectado y desconecta lo que no uses. Y sé sincero con lo que pegas: si no se lo pondrías en un correo a un desconocido, piénsatelo dos veces antes de ponérselo a un chatbot. También consideraríamos el borrado una cuestión de higiene. Las conversaciones antiguas que ya no necesitas son riesgo sin ventaja alguna, así que eliminarlas es un hábito sensato, aunque cuánto control te da cada plan es algo que conviene comprobar en tus propios ajustes.

Para las empresas, el listón debería subir. Una corrección en ocho días, tal como la describe el artículo de dev.to, es respetable, y no queremos quitarle mérito. Pero una recompensa de 5000 dólares por controlar por completo un producto tan central parece una señal de precio extraña, y el autor de dev.to lo insinúa. Las compañías deberían valorar estos fallos según lo que protegen. También deberían ofrecer controles de retención claros y hacer que los conectores sean opcionales y visibles. Funciones como el cambio de cuenta, que OpenAI está desplegando en móvil y que mantiene separados chats, ajustes y suscripciones para hasta dos cuentas con la sesión iniciada, son una comodidad. También sirven para separar el uso laboral del personal, lo que nos parece en sí mismo una buena higiene de seguridad.

Trata tu cuenta de IA como un buzón con memoria

Deja de pensar en una cuenta de IA como una aplicación y empieza a pensar en ella como un buzón con memoria. Blíndala como tal, guarda menos cosas en ella y conéctale menos servicios. La contraseña no es la única puerta, así que reduce lo que hay detrás de todas ellas.