OpenAI blinda ChatGPT frente al robo de cuentas

La nueva configuración Advanced Account Security elimina el acceso por contraseña y exige métodos más resistentes al phishing para usuarios con mayor exposición digital

OpenAI ha lanzado una nueva configuración de seguridad avanzada para proteger las cuentas de ChatGPT frente al acceso no autorizado y al posible robo de información sensible. La función, denominada Advanced Account Security —AAS, por sus siglas en inglés—, está pensada especialmente para usuarios con mayor riesgo de sufrir ataques digitales, aunque puede ser activada por cualquier cuenta personal compatible desde la versión web de ChatGPT. La medida llega en un momento en el que las cuentas de inteligencia artificial han dejado de ser simples herramientas de consulta. Para muchos usuarios almacenan conversaciones personales, contexto profesional, documentos de trabajo, automatizaciones y conexiones con otros servicios. OpenAI cita expresamente perfiles como periodistas, cargos públicos, disidentes políticos, investigadores y usuarios especialmente preocupados por su seguridad digital como colectivos para los que esta protección puede resultar especialmente relevante. El cambio más importante es la sustitución del acceso tradicional por contraseña. Con Advanced Account Security activado, ChatGPT utiliza claves de acceso o llaves físicas de seguridad compatibles, y desactiva vías consideradas más débiles, como el inicio de sesión con contraseña, los códigos enviados por correo electrónico o SMS y la recuperación de cuenta basada únicamente en email. En la práctica, el sistema busca reducir los riesgos asociados al phishing, al robo de credenciales y a la reutilización de contraseñas filtradas. Las passkeys, según la FIDO Alliance, sustituyen la contraseña por credenciales criptográficas vinculadas al dispositivo del usuario y desbloqueadas mediante biometría, PIN o patrón, lo que reduce la utilidad de páginas falsas diseñadas para capturar claves. La nueva configuración también endurece la recuperación de la cuenta. OpenAI exige métodos más robustos, como passkeys de respaldo, llaves de seguridad y claves de recuperación. Esta protección tiene una contrapartida relevante: si el usuario pierde todos sus métodos de acceso y sus claves de recuperación, podría perder definitivamente el acceso a la cuenta. La propia compañía advierte de que su soporte no puede restablecer la contraseña ni desactivar esta protección por las vías ordinarias cuando AAS está activado. Otra de las novedades es la reducción del tiempo de exposición ante sesiones comprometidas. Con AAS activado, las sesiones son más cortas, por lo que el usuario tendrá que autenticarse con más frecuencia. Además, se activan notificaciones de inicio de sesión y controles para revisar y cerrar sesiones activas en distintos dispositivos. La función se aplica tanto a ChatGPT como a Codex cuando ambos servicios se utilizan con el mismo inicio de sesión. Según la documentación oficial, está disponible de forma global para cuentas personales elegibles, aunque no para usuarios de ChatGPT Enterprise, cuentas gestionadas por empresa o dominios corporativos administrados. OpenAI también ha señalado que, mientras Advanced Account Security esté activado, las conversaciones de esas cuentas no se utilizarán para entrenar sus modelos. Este punto añade una dimensión de privacidad a una herramienta presentada principalmente como mecanismo de protección frente al secuestro de cuentas.

Desde el punto de vista operativo, la medida apunta a una tendencia clara: las cuentas de IA empiezan a tratarse como activos críticos. Para periodistas, directivos, despachos profesionales, investigadores, responsables de seguridad o perfiles con acceso a información sensible, el riesgo no reside solo en perder una contraseña, sino en que un tercero acceda al historial de conversaciones, documentos, consultas, borradores o flujos de trabajo vinculados a la cuenta.

El lanzamiento también encaja con las recomendaciones generales de ciberseguridad sobre protección de credenciales. INCIBE recuerda que el phishing busca obtener información confidencial, como contraseñas o datos personales, mediante correos o mensajes fraudulentos que suplantan a entidades legítimas. La activación de AAS se realiza desde Configuración > Seguridad > Advanced Account Security en ChatGPT web. OpenAI recomienda añadir al menos dos métodos seguros de inicio de sesión y guardar correctamente las claves de recuperación antes de completar el proceso. Tras la configuración inicial, el usuario queda desconectado de todos sus dispositivos y debe volver a iniciar sesión con una passkey o llave de seguridad.