Respuesta corta
Cuando inicias sesión, el sitio guarda una cookie de sesión en tu navegador para que no tengas que volver a entrar. El malware que roba cookies (infostealer) copia esas cookies y se las envía al atacante, que puede abrir tu cuenta sin tu contraseña ni tu código 2FA; Google explica que el robo de cookies ocurre después del inicio de sesión y por eso evita la verificación en dos pasos. La solución es un orden: limpia primero el dispositivo infectado, luego desde un dispositivo limpio cambia contraseñas, cierra todas las sesiones y revisa los datos de recuperación, las reglas de reenvío y las apps conectadas.
Cómo funciona el ataque
- Ejecutas un archivo que parece útil: un brief de «patrocinio», un truco para un juego, software pirata, un falso lector de PDF o una extensión del navegador.
- El malware lee las contraseñas guardadas y las cookies de sesión del navegador y las sube en segundos.
- El atacante carga las cookies en su propio navegador y ya está dentro: sin pedir contraseña ni código.
- Cambia el correo, el teléfono y la 2FA, o usa la cuenta en silencio. El Threat Analysis Group de Google informó de canales de YouTube secuestrados así para venderlos o emitir estafas con criptomonedas.
Señales de alerta
- Un aviso de inicio de sesión o una sesión que no reconoces, aunque muchas veces no llega ningún aviso, porque el atacante reutiliza una sesión que tú ya abriste.
- Cambios que no hiciste: nombre del canal, correo de recuperación, dispositivos vinculados, gasto en anuncios, publicaciones o mensajes.
- Varias cuentas fallando a la vez: señal de que contraseñas y cookies salieron de un mismo ordenador infectado.
- Instalaste hace poco un programa, un mod o una extensión fuera de una tienda oficial, o abriste un archivo comprimido enviado por una «marca».
Limpia en este orden
Cambiar las contraseñas en el ordenador infectado no sirve: el malware también puede capturar las nuevas.
- Deja de iniciar sesión en el dispositivo infectado. Analízalo con un antivirus actualizado y elimina extensiones desconocidas, o restablécelo si puedes.
- Desde un dispositivo limpio, protege primero la cuenta de correo: contraseña nueva, cierre de las demás sesiones y revisión del teléfono y correo de recuperación.
- Cambia las contraseñas de las demás cuentas afectadas y cierra sesión en todas partes: Cuenta de Google → Seguridad → Tus dispositivos; Microsoft → Cerrar sesión en todas partes; Centro de cuentas → Dónde iniciaste sesión.
- Elimina lo que el atacante pudo dejar: reglas de reenvío y filtros, apps conectadas, nuevos métodos 2FA y datos de recuperación.
- Activa una llave de acceso (passkey) o 2FA por app y guarda códigos de respaldo nuevos.
Por qué la verificación en dos pasos no lo frenó
La 2FA te comprueba en el momento de iniciar sesión. Una cookie robada demuestra que ese inicio ya ocurrió, así que el sitio no tiene motivo para volver a preguntar. Por eso Google desarrolla las Device Bound Session Credentials, que atan la sesión al dispositivo que la creó para que una cookie copiada sirva de muy poco en otro equipo. Hasta que estas protecciones lleguen a todas partes, la mejor defensa es sencilla: no ejecutes archivos que no pediste y revisa tus sesiones con regularidad; consulta cómo ver los dispositivos conectados.
Si no puedes volver a entrar
Si el atacante ya cambió el correo y el teléfono, usa la vía de recuperación de la propia plataforma: enlaces oficiales de recuperación, canal de YouTube hackeado o cuenta de Google hackeada. Nuestro servicio de recuperación de cuentas hackeadas trabaja solo por esos canales oficiales.
Preguntas frecuentes
¿Pueden entrar en mi cuenta sin mi contraseña ni mi código 2FA?
Sí. Si el malware roba la cookie de sesión de tu navegador, el atacante puede reutilizar una sesión que ya abriste; no se pide contraseña ni código hasta que esa sesión termina.
¿Cambiar la contraseña expulsa al hacker?
En la mayoría de plataformas cierra las demás sesiones, pero hazlo desde un dispositivo limpio y usa también «cerrar sesión en todas partes». En un ordenador infectado, la contraseña nueva también puede robarse.
¿Cómo sé si mi ordenador tiene malware que roba cookies?
La señal típica es que varias cuentas caen a la vez después de instalar software pirata, trucos de juegos o extensiones desconocidas. Analízalo con un antivirus actualizado; si tienes dudas, restablece el dispositivo.
¿Una llave de acceso detiene el robo de cookies?
La llave de acceso evita el phishing del inicio de sesión, pero una cookie robada después de entrar todavía puede usarse. Combínala con dispositivos limpios y cerrando las sesiones que no uses.
Fuentes: Google Threat Analysis Group — malware que roba cookies dirigido a creadores de YouTube, Google — combatir el robo de cookies con sesiones vinculadas al dispositivo, Ayuda de la Cuenta de Google — dispositivos con acceso a tu cuenta, Soporte de Microsoft — cerrar sesión en todas partes en tu cuenta Microsoft, Ayuda de YouTube — limpiar un canal hackeado