Crece la alerta por el robo de sesiones activas en cuentas de inteligencia artificial corporativa

La protección de las cuentas vinculadas con servicios de inteligencia artificial ya no se resuelve con una contraseña robusta. Un informe elaborado por SOCRadar en un período de noventa días detectó 5.434 registros de sesiones expuestas, asociados a 1.500 direcciones de correo corporativo y a 482 empresas, lo que confirma la magnitud de un riesgo que combina el robo de credenciales con el aprovechamiento de sesiones que permanecen abiertas después del ingreso legítimo del usuario.

El mecanismo comienza con programas maliciosos conocidos como infostealers, capaces de extraer cookies y tokens de dispositivos con sistemas operativos Windows o macOS. Esos identificadores permiten que la cuenta permanezca autenticada aunque el usuario no haya vuelto a escribir su clave. Cuando un atacante los reutiliza, el servicio lo reconoce como un usuario ya verificado y omite el segundo factor de autenticación, lo que convierte al robo de sesión en un camino de acceso que esquiva los controles habituales.

Qué cambia cuando se filtra una sesión de IA

El problema excede al simple acceso al chatbot. Según el análisis de ESET, los atacantes pueden revisar el historial completo de conversaciones, donde suelen quedar almacenados fragmentos de código, contratos, datos de clientes y borradores de documentos que los empleados incorporaron a sus consultas. Si la organización contrata servicios pagos, la misma sesión habilita el consumo no autorizado de créditos o planes contratados, con el consecuente impacto en los costos y en la trazabilidad de la información.

Controles recomendados por los especialistas

• Acortar la duración de las sesiones activas y forzar su renovación periódica.
• Implementar un inicio de sesión único que centralice el acceso a las plataformas de inteligencia artificial.
• Rotar con frecuencia las claves API, que son las que permiten conectar aplicaciones externas con los servicios de IA.
• Monitorear ingresos desde ubicaciones o franjas horarias atípicas para el usuario legítimo.
• Inventariar qué cuentas de IA se utilizan dentro de la organización, incluso aquellas que no fueron declaradas formalmente.

Qué hacer cuando aparece una credencial corporativa

Cuando un correo corporativo aparece en registros de información robada, el cambio de contraseña puede resultar insuficiente si el atacante conserva una sesión válida. La recomendación es tratar el caso como un incidente de seguridad del dispositivo: revisar la máquina comprometida, invalidar los tokens emitidos y reconstruir el historial de accesos para descartar movimientos laterales hacia otros servicios conectados.

La advertencia cobra especial relevancia porque la conexión entre plataformas amplía el alcance del daño. Una sesión comprometida en un servicio de automatización como Zapier puede extenderse hacia cuentas de correo electrónico, hojas de cálculo o sistemas internos, lo que transforma un robo puntual en una puerta de entrada persistente a información sensible de la organización.