Cuentas abandonadas: el riesgo silencioso que puede abrir la puerta a los ciberdelincuentes

A lo largo de la vida digital, muchas personas crean múltiples perfiles en distintos servicios, desde suscripciones a pruebas gratuitas hasta aplicaciones que solo se usan durante vacaciones. Con el paso del tiempo, esas cuentas quedan olvidadas, pero pueden convertirse en una amenaza crítica para la seguridad personal y corporativa. Según estimaciones, una persona promedio maneja hasta 168 contraseñas de cuentas personales, muchas de las cuales permanecen inactivas.

ESET, empresa líder en detección proactiva de amenazas, advierte que esas cuentas abandonadas representan un blanco fácil para los ciberdelincuentes. “Hay muchas razones por las que puedes tener un gran número de cuentas olvidadas e inactivas. Lo más probable es que te bombardeen a diario con ofertas especiales y nuevos servicios digitales. A veces, la única forma de comprobarlos es registrarse y crear una cuenta nueva. Pero somos humanos: nos olvidamos, nuestros intereses cambian con el tiempo y a veces no recordamos los inicios de sesión y seguimos adelante. A menudo es más difícil eliminar una cuenta que dejarla inactiva. Sin embargo, eso puede ser un error y representar un peligro para nuestra información”, comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

Google respalda esta preocupación al señalar que las cuentas inactivas tienen más probabilidades de ser comprometidas, ya que carecen de medidas de seguridad como la verificación en dos pasos. De hecho, las estadísticas indican que estas cuentas tienen 10 veces menos probabilidades que las activas de contar con dicha protección.

Los cibercriminales apuntan especialmente a estas cuentas olvidadas y emplean técnicas como:

• Malware Infostealer, diseñado para robar credenciales de acceso. En 2023, se reportó el robo de 3.200 millones de credenciales, el 75 % a través de este tipo de malware.
• Filtraciones masivas de datos, donde se venden listas de usuarios y contraseñas.
• Credential stuffing, que usa software automatizado para probar combinaciones filtradas de claves en múltiples plataformas.
• Fuerza bruta, donde intentan adivinar contraseñas con prueba y error.

Las consecuencias del acceso indebido a una cuenta inactiva pueden ser graves, como:

• Usarla para enviar spam o estafas, incluyendo ataques de phishing a contactos del titular.
• Buscar información financiera o personal para cometer fraude de identidad.
• Vender la cuenta en la dark web, especialmente si tiene valor agregado (como millas o puntos de fidelización).
• Vaciar fondos, si se trata de cuentas bancarias o de criptomonedas. En Reino Unido, se estima que existen 109.000 millones de dólares en cuentas perdidas o abandonadas.

En el entorno corporativo, las cuentas inactivas también representan riesgos importantes. Ejemplo de ello fue el ataque de ransomware a Colonial Pipeline en 2021, que se originó en una cuenta VPN inactiva y causó escasez de combustible en la costa este de EE. UU. Otro caso fue el ataque al distrito londinense de Hackney en 2020, facilitado por una contraseña débil en una cuenta inactiva vinculada a servidores gubernamentales.

Algunas empresas como Google, Microsoft y X ya eliminan automáticamente cuentas inactivas tras cierto tiempo, para mejorar la seguridad, reducir costos y liberar recursos informáticos. Sin embargo, la recomendación de ESET es asumir un rol proactivo.

Recomendaciones de ESET para proteger la vida digital

• Auditar y eliminar cuentas inactivas: Buscar en correos términos como “Bienvenido”, “Prueba gratuita” o “Valida tu cuenta”.
• Revisar el gestor de contraseñas o las claves guardadas en el navegador: Eliminar cuentas que ya no se usen o actualizar contraseñas vulnerables.
• Comprobar las políticas del proveedor antes de cerrar una cuenta para asegurarse de que se eliminen datos personales y financieros.
• Evitar abrir nuevas cuentas innecesarias.

Para las cuentas que se mantienen activas:

• Usar contraseñas únicas y robustas, almacenadas en gestores especializados.
• Activar la autenticación en dos factores (2FA), para proteger el acceso incluso si se filtra la clave.
• Evitar acceder a cuentas sensibles en redes públicas sin usar una VPN.
• Ignorar correos sospechosos o urgentes que pidan datos o lleven a enlaces desconocidos.

“Lo más probable es que la mayoría de nosotros tengamos docenas de cuentas inactivas esparcidas por Internet. Dedicar unos minutos al año a hacer limpieza puede hacer que tu vida digital sea un poco más segura”, concluye Gutiérrez Amaya de ESET Latinoamérica.

Sala Digital Colmundo