InicioDestacados
DestacadosExplicativos

La ola de cuentas hackeadas en X esta semana en Ecuador: el señuelo de Spotify

Ecuador Chequea
Por Ecuador Chequea
X Ecuador

En los últimos días, al menos cuatro cuentas de X con sede en Ecuador —algunas verificadas y con miles de seguidores— comenzaron a enviar, sin que sus dueños lo supieran, un mensaje directo casi idéntico: pedían el voto para ser «coanfitrión» de un supuesto evento de pódcast organizado por Spotify en colaboración con Google. El mensaje incluye un enlace a un dominio ajeno a ambas plataformas. No se trata de un concurso real: es un esquema de phishing que se propaga de cuenta en cuenta, aprovechando la confianza entre contactos.

Por: Yalilé Loaiza, Karen Mantilla, Nathalie Tomalá

Qué dice el mensaje

El texto —difundido en X y recopilado por la plataforma Usuarios Digitales a partir de capturas de pantalla de usuarios ecuatorianos— sigue casi siempre la misma estructura:

«¡Hola! Espero que estés muy bien. Estoy postulándome para ser copresentador(a) de un evento de pódcast organizado por Spotify en colaboración con Google en toda Europa, y me enorgullece ser uno de los pocos participantes que representan a [país]. Te agradecería muchísimo si pudieras apoyarme votando por mí a través del siguiente enlace. ¡Cada voto cuenta!»

Solo cambian el país que supuestamente representa el remitente —España, Ecuador u otros— y el enlace adjunto. Entre los casos identificados esta semana en cuentas ecuatorianas figuran las de Fidel Egas (empresario y principal accionista de Banco Pichincha), Marcela Estrella Bucheli y Esteban Najas Raad (ambas con más de 10.000 seguidores), además de otra cuenta menor que difundió el mismo texto representando a España. Ninguno de los dominios usados pertenece a Spotify ni a Google, y tampoco existe un concurso ni un proceso de selección de «coanfitriones» organizado por ambas empresas.

¿Qué es el phishing?

El phishing es una técnica de engaño en la que alguien se hace pasar por una persona, empresa o plataforma de confianza para conseguir que la víctima entregue datos sensibles —usuario, contraseña, número de tarjeta— o realice una acción que le dé al atacante acceso a una cuenta o a un dispositivo. El nombre viene de «fishing» (pescar): se lanza un anzuelo —en este caso, la posibilidad de «ayudar» a alguien conocido votando por él— y se espera que la víctima muerda haciendo clic. No requiere que el atacante rompa ninguna barrera técnica de la plataforma; le basta con que la persona, confiada, entregue la llave por su propia mano. Por eso este tipo de fraude se sostiene sobre todo en la ingeniería social —el uso de la confianza, la urgencia o la solidaridad— y no en una vulnerabilidad de software.

Qué muestra el análisis de los dominios usados

Los enlaces detectados en los casos ecuatorianos remiten a subdominios de orzn.app, y en versiones anteriores de la misma campaña (documentadas en otros países) se han usado subdominios de liveblog365.com. Ninguno de los dos guarda relación con Spotify ni con Google, y ambos comparten un patrón típico de infraestructura de phishing:

  • contestly.orzn.app, el enlace enviado desde las cuentas ecuatorianas, se registró apenas un par de días antes de ser usado en esta campaña. Aloja una página que imita visualmente una votación oficial bajo el título «THE PEOPLE’S PICK: POD SPOTIFY» y opera detrás de la red de Cloudflare, que oculta el servidor real del atacante. La estructura del dominio —un nombre corto y «de marca» (contestly, algo así como «concursito») sobre una plataforma de despliegue de aplicaciones (orzn.app)— es el mismo recurso que usan quienes montan páginas falsas de forma rápida y barata: no hace falta comprar un dominio propio ni pasar controles de identidad, y el subdominio puede desecharse y sustituirse por otro en minutos si es bloqueado.
  • liveblog365.com tiene un historial documentado de años como plataforma reutilizada para phishing: registros públicos de escaneo de seguridad muestran subdominios de liveblog365.com usados para suplantar a un banco colombiano (Tuya) y para enviar correos falsos haciéndose pasar por Microsoft, en campañas completamente distintas entre sí y anteriores a esta. Eso indica que no es un dominio creado específicamente para el señuelo de Spotify y Google, sino infraestructura genérica que distintos grupos de estafadores reutilizan para alojar cualquier página fraudulenta que necesiten en un momento dado.

El patrón coincide con lo que documentó Maldita.es en mayo de 2026, cuando el enlace usado era un subdominio de vercel.app (una plataforma legítima de despliegue web) en lugar de orzn.app: los atacantes no dependen de un dominio fijo, sino de servicios que permiten crear subdominios gratuitos o casi gratuitos de forma instantánea, y los rotan constantemente para evadir los bloqueos de seguridad de X, de los navegadores y de los antivirus.

Cómo funciona el engaño

El mecanismo no depende de una falla técnica de X, sino de ingeniería social encadenada, y puede tomar dos caminos distintos una vez que la víctima hace clic:

  1. Una cuenta ya comprometida envía el mensaje. El remitente es alguien conocido o con cierta reputación (periodista, empresario, cuenta verificada), lo que reduce la sospecha de quien lo recibe.
  2. El enlace lleva a una página fraudulenta, que puede operar de dos formas:
    • Clonación del login de X. La página copia visualmente la pantalla de inicio de sesión. Al escribir usuario y contraseña ahí, esos datos no llegan a X sino directamente al atacante, que los usa para entrar a la cuenta real.
    • Autorización de una aplicación conectada (OAuth). En esta variante, la página no pide la contraseña, sino que redirige a la propia página de X para «aprobar» una aplicación de terceros —por ejemplo, una app de «votación»—. Si la persona hace clic en «autorizar», X le entrega a esa aplicación un permiso (token) para actuar en su nombre: publicar, enviar mensajes directos o leer su información, según lo que la aplicación haya solicitado. El atacante nunca necesita la contraseña ni un código de verificación en dos pasos, porque X trata esa autorización como una conexión legítima que la propia persona concedió.
  3. Los atacantes toman el control de la cuenta —ya sea con la contraseña robada o con el token de una aplicación autorizada—, cambian los datos de recuperación cuando pueden y repiten el envío del mismo mensaje a los contactos de la víctima, expandiendo la cadena.
  4. El ciclo se repite con cada cuenta comprometida, lo que explica por qué el mensaje aparece de forma casi simultánea desde perfiles que no tienen relación entre sí, más allá de estar conectados en la red social.

La reutilización de contraseñas entre distintos servicios y la ausencia de un segundo factor de autenticación (2FA) —o el uso de un 2FA débil, como el SMS— facilitan la primera vía. La segunda vía, la de las aplicaciones conectadas, es más difícil de detectar porque no depende de la contraseña ni del 2FA: por eso X recomienda revisar periódicamente qué aplicaciones de terceros están conectadas a la cuenta y revocar el acceso a cualquiera que no se reconozca, incluso si nunca se compartió la contraseña.

No es un caso aislado: la misma campaña circula en varios países desde 2026

El señuelo de «votación para Spotify y Google» no nació en Ecuador ni se limita al país. El medio de verificación español Maldita.es documentó ya en mayo de 2026 el mismo mensaje, enviado desde la cuenta hackeada de un periodista de Atresmedia, con un enlace que tampoco coincidía con la URL oficial de Spotify. Medios como El Debate (España) recogieron poco después el mismo texto, con la variante de que el remitente decía representar a España. Especialistas en ciberseguridad describieron esta modalidad —mensajes que apelan a la solidaridad entre contactos para robar cuentas mediante una falsa votación— como una tendencia activa desde entonces. El patrón se ha repetido con distintos dominios —que los atacantes rotan constantemente para evadir bloqueos— pero con una estructura de mensaje prácticamente invariable.

En Ecuador, el fenómeno de cuentas de X comprometidas no es nuevo: en junio de 2026 la propia cuenta institucional de la Asamblea Nacional fue hackeada y usada para publicar contenido ajeno a la institución. Lo particular de la ola detectada esta semana es que combina ese tipo de vulneración de cuentas con un señuelo específico —la falsa votación de Spotify y Google— que ya circulaba en otras regiones desde meses atrás.

Casos de hackeo en Ecuador

Para entender cómo se identifican este tipo de ataques, Ecuador Chequea consultó a Alfredo Velasco, director de Usuarios Digitales, organización que emitió una alerta sobre el hackeo de la cuenta de la abogada Martínez y que ha estado monitoreando otros casos similares en X.

Velasco explicó que la organización realiza un monitoreo constante de alertas, con especial atención a cuentas de activistas de derechos humanos y de figuras vinculadas a temas políticos. Fue justamente ese seguimiento el que permitió detectar comportamientos anómalos en la cuenta de la abogada antes de que su cuenta fuera comprometida por completo.

Entre los elementos que la organización identifica como señales de alerta están los retweets que el usuario no reconoce haber dado, publicaciones eliminadas sin su conocimiento, o mensajes directos que terceros aseguran haber recibido pero que no aparecen en la bandeja del supuesto remitente. A esto se suman alertas más técnicas, como notificaciones de inicios de sesión desde conexiones ubicadas en distintos países, incluso fuera del continente, lo que constituye una de las señales más claras de que una cuenta ha sido comprometida.

Según Velasco, todo apunta a que este tipo de hackeos —que no son exclusivos de Ecuador, sino que forman parte de un fenómeno global— se originan a partir de aplicaciones externas a las que los usuarios han otorgado permisos y que habrían sido comprometidas. Una vez logrado el acceso, las cuentas afectadas son utilizadas para enviar mensajes directos que promocionan supuestos concursos fraudulentos relacionados con criptomonedas.

Velasco señaló que se trata de casos indistintos y no de una campaña dirigida contra actores políticos específicos. Como ejemplo, mencionó el caso de Julio Neira, quien reportó un acceso no autorizado a su cuenta el 23 de junio, así como el de un usuario del Banco Pichincha, cuya cuenta también fue hackeada para el envío de mensajes similares. Incluso la propia cuenta de Velasco fue afectada meses atrás, cuando se envió sin su autorización un mensaje directo promocionando un supuesto concurso fraudulento de Google y Spotify.

Según Velasco, todos los casos detectados hasta ahora se han concentrado exclusivamente en X, lo que refuerza la hipótesis de que el origen del problema está en una aplicación externa vinculada a esa plataforma y no en un ataque dirigido a través de otras redes sociales.

Finalmente, Velasco aclaró que el nivel de afectación depende de los permisos otorgados por el usuario a la aplicación comprometida: si el acceso es total, los atacantes pueden modificar los datos de la cuenta e incluso los métodos de acceso; si los permisos son más limitados, únicamente pueden publicar contenido a nombre del usuario afectado.

Entonces… ¿cómo está la ciberseguridad?

Sobre los riesgos y mecanismos detrás de este tipo de ataques, Ecuador Chequea consultó a Diana Maldonado, experta en ciberseguridad, quien explicó que los peligros en redes sociales como X no son exclusivos de esta plataforma, sino comunes a la mayoría de redes sociales: robo de información, clonación de cuentas y suplantación de identidad para cometer estafas.

Maldonado distinguió entre dos modalidades distintas que suelen confundirse. Por un lado está la clonación, que consiste en crear una cuenta nueva con la imagen, el nombre y los datos de otra persona, generalmente para estafar, ganar seguidores o dañar su reputación. Por otro lado está la infiltración o toma de control de una cuenta real, que ocurre cuando un atacante obtiene las credenciales legítimas del usuario —correo y contraseña— y las utiliza para operar la cuenta original sin autorización de su dueño.

Según explicó, este segundo escenario suele originarse en filtraciones masivas de datos que circulan en internet, como las que en su momento afectaron a entidades como la CNT o el Registro Civil. Los ciberdelincuentes prueban esas combinaciones de correo y contraseña filtradas en distintas plataformas, aprovechando que muchos usuarios repiten las mismas credenciales en todas sus redes sociales.

Un método que se está viendo en este tipo de hackeos es el uso de keyloggers, programas que registran todas las pulsaciones del teclado y permiten a un atacante capturar usuarios y contraseñas sin que la víctima lo note. Según Maldonado, una señal clara de que un equipo está infectado con este tipo de malware es que, tras cambiar la contraseña de la cuenta comprometida, esta vuelve a fallar poco después: el keylogger captura también el nuevo cambio, lo que le permite al atacante volver a tomar control de la cuenta una y otra vez. Frente a esto, advirtió que ni un antivirus puede eliminar un keylogger, por lo que la única solución real es formatear por completo el equipo infectado. Si el problema persiste incluso al intentar el cambio de contraseña desde otro dispositivo, como un celular o una tablet, significa que la infección se extendió más allá del equipo original, y todos los dispositivos afectados deben formatearse antes de poder recuperar el control real de la cuenta. A esto se suma otra técnica: el robo de cookies del navegador, que permite acceder a una cuenta sin siquiera conocer la contraseña, e incluso recuperar el acceso después de que la víctima la haya cambiado.

Entre las señales que pueden alertar sobre una cuenta comprometida, mencionó cambios en el estilo de redacción de las publicaciones, errores ortográficos o de sintaxis atípicos en una persona que normalmente no los comete, así como variaciones inusuales en el tono o el tipo de contenido que la cuenta suele compartir. Advirtió, sin embargo, que detectar estas anomalías es difícil porque los usuarios no suelen estar pendientes de ese tipo de cambios, por lo que recomendó una especie de vigilancia comunitaria en la que otros usuarios alerten a la persona afectada si notan algo extraño.

Una vez recuperado el acceso a una cuenta comprometida, recomendó reportar el incidente a la plataforma, avisar a los contactos cercanos para que ignoren mensajes sospechosos enviados durante ese período, y activar de inmediato la autenticación de doble factor, ya sea por correo, SMS o mediante dispositivos físicos como las Yubikey, tanto en redes sociales como en aplicaciones de mensajería.

Maldonado también advirtió sobre aplicaciones aparentemente inofensivas —linternas, cambiadores de fondo de pantalla, filtros estéticos— que en realidad están diseñadas para extraer información del usuario. Señaló como alerta clara que una aplicación solicite permisos que no corresponden a su función real, como acceso a la cámara, el micrófono o las fotos, y recomendó eliminar del teléfono cualquier aplicación que ya no se use.

Como consejos generales, insistió en evitar publicar información personal innecesaria, no reutilizar contraseñas entre plataformas, cambiar las contraseñas de inmediato ante cualquier filtración de datos conocida, e informarse sobre cómo ocurren este tipo de ataques. Recomendó también revisar de forma consciente y periódica las configuraciones de seguridad y privacidad del teléfono, desactivando permisos permanentes como la ubicación o el micrófono cuando no sean estrictamente necesarios, así como las opciones de recolección de datos para publicidad. Señaló, además, que buena parte del problema radica en que las propias plataformas no siempre garantizan medidas de seguridad robustas, citando como ejemplo la eliminación del cifrado de extremo a extremo en los mensajes de Instagram por parte de Meta.

Recomendaciones

  • No hacer clic en enlaces recibidos por mensaje directo que pidan «un voto» o «un favor», así el remitente sea una cuenta conocida. Conviene confirmar por otro canal (llamada, WhatsApp) si esa persona envió realmente el mensaje.
  • Escribir siempre x.com o twitter.com directamente en el navegador en lugar de acceder desde un enlace recibido.
  • Activar la verificación en dos pasos con una aplicación autenticadora (no por SMS) y revisar periódicamente las sesiones activas y las aplicaciones conectadas a la cuenta.
  • Revisar y eliminar aplicaciones externas que ya no se usan, y desconfiar de apps que piden permisos que no corresponden a su función.
  • Si ya se hizo clic o hay sospecha de que la cuenta fue comprometida: cambiar la contraseña desde un dispositivo seguro, cerrar todas las sesiones activas, activar el 2FA, avisar a los contactos y reportar la cuenta y el mensaje a X. Si el problema persiste tras el cambio de contraseña, considerar que el dispositivo podría estar infectado y requerir formateo.

Fuentes

Post Views: 18
Artículo anterior
Quito pone a prueba el acuerdo de las universidades por la seguridad
Ecuador Chequea
Ecuador Chequea
Primer medio de verificación de datos en Ecuador. Único verificador ecuatoriano certificado por la International Fact-Checking Network. Miembro de LatamChequea. Colaborador de Meta para verificaciones en redes sociales.

artículos relacionados

Mantente conectado

26,000FansMe gusta
10,000SeguidoresSeguir
44,028SeguidoresSeguir

chequea

Cargar más