Black October: proteja sus cuentas mientras la IA dispara los ciberataques

A lo largo de octubre de 2026, una serie de fallos de seguridad graves — pronto apodados Black October — mostró cómo son los ciberataques cuando los atacantes apuntan la inteligencia artificial al problema. Investigadores usaron IA para encontrar un fallo crítico de décadas en PHP (el código tras una gran parte de los sitios web del mundo); una versión envenenada de una herramienta de IA popular (LiteLLM) robó credenciales de desarrolladores; unas claves débiles en una autoridad de certificación (eMudhra) debilitaron el candado que prueba que un sitio es auténtico; y un fallo de gravedad máxima golpeó a GitLab. Los líderes de seguridad advirtieron de un «tsunami de vulnerabilidades» por venir, y un proveedor dijo que los intentos de explotación pasaron de miles a millones en las horas posteriores a la divulgación.

La incómoda conclusión de los expertos: la IA ahora encuentra y convierte en arma los fallos más rápido de lo que el mundo puede parchearlos. Usted no puede arreglar las tuberías de internet. Pero casi todos los ataques que llegan a la gente corriente terminan igual — alguien inicia sesión en su cuenta. Esa parte sí la puede controlar, y esta guía le muestra cómo.

Por qué le afecta aunque no tenga un sitio web

No necesita operar un servidor para sufrir las consecuencias. Cuando los atacantes irrumpen en los servicios que usted usa, el botín son las credenciales — correos, contraseñas, tokens de sesión, claves de API. Se introducen en herramientas automatizadas que las prueban en todas partes, lanzan phishing convincente a gran escala y secuestran cuentas para alcanzar su dinero, sus contactos y sus activos digitales. Las defensas de abajo asumen un atacante rápido, automatizado y paciente — porque ahora lo es.

Haga esto primero: cambie a un inicio de sesión resistente al phishing

La mayor mejora que puede hacer es pasar sus cuentas más importantes a passkeys (llaves de acceso) o a una llave de seguridad física. Ambas usan un estándar llamado FIDO2 ligado al sitio web real, así que una página de acceso falsa — por perfecta que parezca — sencillamente no puede capturar nada útil. Es la única protección que aguanta frente al phishing fabricado por IA.

• Las passkeys vienen integradas en teléfonos, portátiles y navegadores modernos, y sustituyen por completo a la contraseña en una lista creciente de servicios. Actívelas siempre que se ofrezcan.
• Las llaves físicas (como una YubiKey) son pequeños dispositivos que toca o conecta. Son el estándar de oro para cuentas de alto valor. Compre dos — una principal y una de respaldo —, registre ambas en cada cuenta crítica para que perder una nunca le deje fuera, y proteja cada una con un PIN.

Consulte nuestro directorio de herramientas de doble factor y passkeys para elegir. Empiece por la cuenta que puede restablecer todas las demás: su correo.

Blinde las llaves de su reino, en orden

Recorra sus cuentas empezando por el peor caso:

1. Correo principal — quien lo controla puede restablecer casi todo lo demás. Dele una frase de contraseña única y el método de acceso más fuerte disponible.
2. Banca y aplicaciones de pago.
3. Cripto, corretaje y otras cuentas de activos.
4. Su gestor de contraseñas, y luego todo lo demás poco a poco.

Use un gestor de contraseñas para que cada cuenta tenga una contraseña larga y única que nunca tenga que recordar. Si un servicio solo ofrece códigos por SMS, es mejor que nada — pero prefiera una aplicación de autenticación o una llave, porque los SMS pueden robarse mediante ataques de intercambio de SIM. Para el paso a paso completo, vea la verificación en dos pasos y las contraseñas seguras.

Cambie lo que quizá ya esté expuesto

Eventos como Black October vuelcan credenciales al mercado criminal, donde alimentan el relleno de credenciales — intentos automatizados de reutilizar su contraseña filtrada en cientos de sitios. Adelántese:

• Compruebe su correo en haveibeenpwned.com para ver qué filtraciones le incluyen.
• Cambie la contraseña en todo sitio donde la reutilizó, empezando por el correo y las finanzas.
• Sustituya cualquier contraseña que haya usado en más de un lugar.
• En cada cuenta importante, revise las sesiones activas y las aplicaciones conectadas, y cierre sesión o elimine todo lo que no reconozca.
• Guarde sus códigos de respaldo en un lugar seguro y aparte, para que añadir una llave o perder el teléfono nunca le deje fuera.

Proteja sus activos en línea

Si tiene criptomonedas u otros activos digitales, trátelos como un nivel aparte, de mayor riesgo:

• Mueva las tenencias a largo plazo a una cartera de hardware (almacenamiento en frío); deje en los exchanges solo el dinero para gastar.
• Proteja las cuentas de exchange con una llave física, y active las listas de direcciones de retiro permitidas y los retrasos de retiro donde se ofrezcan.
• Use un correo dedicado para cuentas financieras y de cripto que nunca publique.
• Nunca introduzca su frase de recuperación en ningún sitio en línea — ningún servicio legítimo ni «agente de soporte» se la pedirá.

Si gestiona un sitio web o escribe código

Black October fue, en esencia, una historia de desarrolladores. Si mantiene cualquier infraestructura:

• Parchee ya: actualice PHP, Node.js, GitLab y demás software base a las versiones corregidas, y suscríbase a los avisos de seguridad.
• Renueve los secretos: dé por quemadas las claves de API, tokens y credenciales expuestas — regenérelas, y reconstruya cualquier entorno que pudiera haber descargado un paquete comprometido.
• Endurezca su cadena de suministro: fije las versiones de dependencias, verifique firmas y sumas de comprobación, y desconfíe de versiones recién publicadas de paquetes críticos.
• Imponga un inicio de sesión resistente al phishing en sus cuentas de control de código, nube y registros de paquetes — así entraron los atacantes de LiteLLM.

No puede parchear el mundo — pero puede ser un objetivo difícil

Los expertos tienen razón en que el próximo tramo será ruidoso, y ningún individuo puede arreglar los cimientos de internet. Pero los ataques que de verdad vacían cuentas siguen dependiendo de un inicio de sesión débil. Un fin de semana dedicado a añadir passkeys o llaves físicas, limpiar contraseñas reutilizadas y abandonar los códigos SMS le pone fuera del alcance de los ataques automatizados e impulsados por IA que definirán los próximos meses. Hágalo ahora, mientras hay calma — y envíe esta página a alguien a quien odiaría ver hackeado.