Un token de sesión robado y sin expirar saltea la contraseña y el MFA de tu cuenta de IA
Okta publicó hoy la autopsia de un volcado de 7 GB de datos robados por infostealers, y el hallazgo que te toca es este: adentro había tokens de sesión de cuentas de inteligencia artificial que todavía no habían expirado. Un token de sesión robado y vigente no necesita tu contraseña ni tu segundo factor: los saltea, porque nació después de que vos ya los pasaste. Si usás ChatGPT, Copilot, Gemini o Claude desde el navegador, la medida que sirve hoy no es cambiar la clave: es cerrar todas las sesiones.
El informe es de Okta Threat Intelligence, lo firma Jeremy Kirk y está fechado el 9 de septiembre de 2026. No analiza un ataque contra una empresa puntual: analiza un solo lote de logs, de los que los vendedores del rubro regalan como muestra para vender la suscripción, liberado gratis en un canal de Telegram el 2 de agosto. Ese lote de regalo tenía 5.871 carpetas, una por máquina infectada, repartidas en 162 países.
Qué te toca hacer hoy, y es gratis
- Cerrá todas las sesiones en cada servicio de IA que uses. Eso da de baja los tokens viejos, que es exactamente lo que se roba. En ChatGPT: perfil → Configuración → Seguridad → Log out all. OpenAI avisa que las otras sesiones activas pueden tardar hasta 30 minutos en caerse.
- Hacé lo mismo en la cuenta con la que entrás. En la cuenta Microsoft personal, el botón Sign out everywhere está en Opciones de seguridad avanzadas, y Microsoft avisa que tarda hasta 24 horas y que no alcanza a una consola Xbox.
- En Google no hay un botón de «cerrar todo». Se hace de a uno: Cuenta de Google → Seguridad e inicio de sesión → Tus dispositivos → Administrar todos los dispositivos, y ahí cerrás sesión dispositivo por dispositivo o sesión por sesión. Google no publica cuánto tarda en propagarse.
- Si generaste una clave de API, rotala y ponele tope de gasto. Okta lo pone en su tabla de controles con todas las letras: «poner topes de uso y allowlisting de IP en las claves de API para limitar el uso si se las roban». Sin ese tope, una clave robada gasta hasta que alguien mire la factura.
- Sacá la clave del archivo de texto plano. Es el lugar donde los infostealers la buscan primero, y ya hay variantes que traen reglas específicas para encontrarla.
- Después, recién después, revisá si el equipo está limpio. Nada de esto sirve si el ladrón sigue adentro y se lleva el token nuevo.
Por qué la contraseña y el doble factor no aparecen en esta historia
Cuando iniciás sesión, el servicio te devuelve un token que el navegador guarda: una credencial que dice «este ya se identificó, dejalo pasar». Existe justamente para que no tengas que escribir la clave en cada clic. El problema es lo que pasa cuando ese token se copia a otra máquina: el servidor lo valida igual, porque el token es válido.
Okta lo escribe sin vueltas en su informe: un JWT válido puede dar acceso directo a la cuenta y ese acceso «bypasses regular authentication using a username and password and also bypasses MFA challenges» — saltea la autenticación con usuario y contraseña, y también saltea los desafíos de MFA (traducción propia). El segundo factor se pide antes de que exista el token. Después ya no.
«La autenticación más fuerte y el uso de tecnologías resistentes al phishing, como las passkeys, hicieron más difícil el robo de cuentas por usuario y contraseña, pero eso no detiene un token de sesión o una clave de API robados.»
Okta Threat Intelligence, conclusión del informe del 9 de septiembre de 2026 (traducción propia)
Es la misma mecánica que contamos en agosto con la demo falsa de GTA 6, vista del otro lado del mostrador: aquella nota explicaba cómo entra el ladrón a la máquina, esta cuenta qué hace con lo que se lleva.
Qué había adentro de esos 7 GB
Okta buscó en el volcado tokens de autenticación y contó lo que encontró. La tabla siguiente es la del informe, con sus tres columnas tal cual: cuántos tokens únicos aparecieron por proveedor, cuántos de esos seguían sin expirar el 2 de agosto —el día en que el lote se hizo público— y en cuántas de las 5.871 máquinas apareció al menos uno.
| Proveedor | Tokens únicos | Sin expirar al 2-ago | Máquinas (de 5.871) |
|---|---|---|---|
| Google (Workspace y consumo) | 9.829 | 9.213 | 4.144 |
| Microsoft (Entra y consumo) | 2.491 | 1.763 | 1.753 |
| Anthropic | 561 | 164 | 404 |
| Amazon (AWS y retail) | 349 | 254 | 245 |
| Gamma | 160 | 131 | 154 |
| Notion | 90 | 79 | 86 |
| Character.ai | 38 | 31 | 34 |
| Cursor | 32 | 16 | 26 |
| Poe.com | 28 | 25 | 26 |
| Pika AI | 20 | 17 | 20 |
Dos aclaraciones que hace el propio Okta y que conviene no saltear, porque sin ellas la tabla dice algo que no dice:
- Esto no es un ranking de qué servicio está más atacado. Okta escribe que el orden refleja «la prevalencia de cada uno en este conjunto de datos en particular» (traducción propia), no su popularidad. Es la foto de un lote, no del mundo.
- Google, Microsoft y Amazon entran con el token de la cuenta entera, porque las tres usan una única puerta de acceso para todos sus servicios. O sea: el token que abre tu Gmail es el mismo que abre Gemini. Por eso ese número no significa «9.829 sesiones de IA».
Aparte de las cookies, Okta contó 44.791 JWT únicos en el lote, de los cuales 555 se identificaron como probablemente ligados a la autenticación de servicios de IA, y otros 2.937 tokens cifrados (JWE) — la mayoría puestos por OpenAI, que usa NextAuth.js. Que estén cifrados protege lo que dicen adentro, no impide que se reproduzcan. De ese conjunto de JWT y JWE, 1.843 no habían expirado el día que el lote salió a la calle.
Y un dato que no tiene que ver con la IA pero es el que más dura: el 17,7% de esos 44.791 tokens lleva datos personales en texto plano —nombre, teléfono o correo—. Un token expira; un número de teléfono, no. Ese material es combustible de phishing por tiempo indefinido.
Las claves de API son el otro botín, y ese no expira solo
El token de sesión al menos vence. Una clave de API, no: funciona hasta que alguien la revoca. Okta pasó el volcado por TruffleHog —una herramienta pública para encontrar secretos filtrados— y encontró 24 claves todavía válidas en cuatro servicios: Google Gemini, OpenAI, Groq y OpenRouter.
Son 24 claves, no 24 empresas hackeadas, y conviene decirlo así. Pero el negocio detrás es claro: una clave robada permite hacer correr el modelo en la cuenta de otro. El informe recuerda tres casos recientes —cerca de un millón de dólares en una organización, 25.000 dólares a un arquitecto de software y 600.000 en créditos de IA en una organización de evaluación—, aunque esos casos no son hallazgos de Okta: los toma de reportes de terceros que enlaza.
Lo más incómodo del capítulo es que el robo está automatizado a medida: según el informe, hay variantes nuevas de infostealer que ya traen reglas específicas para reconocer claves con formato de Anthropic o de OpenAI y para revisar las rutas donde las herramientas de IA suelen guardar su configuración. Poner la clave en un archivo de texto o en una variable de entorno es lo más rápido para arrancar, y también lo primero que buscan.
Lo que este informe no prueba
Cinco límites, porque la nota vale menos si los tapamos:
- Nadie reprodujo ninguno de esos tokens, y es el límite más importante. Okta midió fechas de expiración, no accesos. Lo dice al presentar la tabla: «en teoría, estos serían los tokens que un atacante reproduciría primero» (traducción propia, énfasis nuestro). Y aclara aparte que reproducir una sesión robada «requiere herramientas específicas» y que hay «una variedad de factores» que pueden impedir que el atacante entre —monitoreo del proveedor, bloqueos automáticos, restricción por IP—. La cifra mide oportunidad, no víctimas.
- Es un lote, no un censo. El propio Okta lo llama «un solo volcado de datos de infostealer, y relativamente chico» (traducción propia). Las cifras no se extrapolan.
- No hay dato de la región. El informe dice 162 países y no publica el desglose. No sabemos cuántas de esas máquinas están en LATAM, y no vamos a inventarlo.
- Las cifras de «sin expirar» están congeladas al 2 de agosto. Cuántos de esos tokens siguen vivos hoy es algo que el informe no mide.
- La fuente vende parte de la defensa de la que informa. Okta es una empresa de identidad y su tabla de controles recomienda, entre otras cosas, su propio producto —Identity Threat Protection— que además es para administradores de una organización, no para tu cuenta personal. En el mismo párrafo aclara que no encontró sesiones de Okta robadas en este volcado. Las dos cosas son parte del cuadro.
Del lado del navegador algo se mueve, pero despacio
La industria viene intentando cortar esto en la raíz. Google introdujo en 2024 App-Bound Encryption para cifrar los datos sensibles del navegador, y Okta apunta que los desarrolladores de infostealers «rápidamente encontraron rodeos» (traducción propia). La apuesta siguiente son las Device Bound Session Credentials: atan criptográficamente el token al dispositivo, así que copiarlo a otra máquina no sirve de nada.
La parte que baja las expectativas: es temprano. Cada sitio tiene que implementarlo del lado del servidor para que funcione, y del lado del navegador Okta menciona que Chrome 145 para Windows, de marzo de 2026, puede soportarlo. «Puede soportarlo» no es «ya te protege».
Dónde entra —y dónde no entra— un antivirus
Seamos honestos con la cadena de eventos, porque acá es fácil vender humo. Un antivirus actúa en un solo eslabón: antes, cuando el infostealer intenta ejecutarse en la máquina. Una vez que el token salió del equipo, ningún antivirus lo trae de vuelta ni cierra la sesión del atacante — eso lo hacés vos desde la configuración de la cuenta, y es gratis.
Dicho eso, el eslabón existe y no lo inventamos nosotros: la tabla de controles del propio informe, que mapea cada técnica de ataque a su defensa, pide «mantener los navegadores al día y desplegar protección de endpoint para frenar el malware» contra el robo de credenciales del navegador, y «usar allowlisting de aplicaciones y controles de endpoint para bloquear el malware» contra la ejecución del archivo malicioso (traducción propia). En castellano de todos los días: un antivirus al día en la máquina donde tenés las sesiones abiertas. Okta también recomienda ahí guardar los tokens de refresco «en un llavero del sistema o en un gestor de contraseñas» en vez de dejarlos sueltos.
Si el equipo desde el que trabajás con IA no tiene protección al día, estas dos son las opciones del catálogo que aplican al caso.
Para el equipo donde vivís conectado a tus cuentas
Si ya tenés un antivirus vigente y actualizado, no necesitás otro: cerrá las sesiones, que es gratis, y seguí con tu día. Ninguna de estas licencias reemplaza el tope de gasto en tus claves de API.
Preguntas frecuentes
Si tengo doble factor o passkey, ¿no estoy cubierto?
Contra el robo de contraseñas, sí, y mucho — sigue siendo el ataque más común. Lo que Okta señala es que no cubren este caso puntual: el token nació después de que vos pasaste el segundo factor, así que reproducirlo no vuelve a pedirlo. Por lo mismo, cambiar la contraseña tampoco invalida por sí solo un token que sigue vivo: lo que lo da de baja es cerrar las sesiones. Cambiar la clave después está bien, pero el orden importa.
¿Mis datos estaban en ese volcado?
No hay forma de saberlo desde acá, y desconfiá de quien te diga que sí. Okta no publicó la lista ni el desglose por país. Lo razonable es asumir que si tuviste malware en el equipo alguna vez este año, tus sesiones guardadas pudieron viajar, y actuar en consecuencia: cerrar sesiones y rotar claves.
¿Esto afecta a la cuenta gratis o solo a la paga?
El robo del token no distingue: lo que se lleva es la sesión. La diferencia es el incentivo — el informe arranca observando que el acceso a los modelos de frontera se encarece, y por eso las cuentas con crédito o suscripción se vuelven más valiosas para revender.
¿Qué hago si administro los equipos de una PyME?
Además de lo anterior, dos medidas que la tabla de controles del informe menciona y que solo existen del lado de la organización: desplegar servicios que detecten la reutilización de un token de sesión y, si tu proveedor lo permite, restringir el acceso por rango de IP conocido — con eso, un token robado no se puede reproducir desde otra red. Y para las claves de API, tope de gasto y permisos acotados.
La lectura de fondo: hace años que la industria nos entrena para cuidar la contraseña, y esa parte funcionó bastante bien. El problema es que la credencial que de verdad abre la puerta hoy no es la que escribimos: es la que el navegador guarda por nosotros para no molestarnos. Cerrar sesiones cada tanto es la versión moderna, y bastante menos glamorosa, de cambiar la cerradura.
Ver antivirus para el equipo donde abrís tus sesiones →
¿Cuántas sesiones abiertas tenés ahora mismo en servicios de IA que ya ni usás? Contanos en los comentarios — el ejercicio de ir a mirar suele ser incómodo.
