¿Intentaron hackear a periodistas en X? Expertos difieren sobre el objetivo de las solicitudes de contraseña
Varios periodistas y comunicadores mexicanos recibieron el 1 de septiembre solicitudes de restablecimiento de contraseña en X que no habían realizado.
Los avisos fueron reportados por periodistas que cubren política, seguridad y asuntos públicos, entre ellos Leticia Robles de la Rosa, Ricardo Ravelo, Luis Chaparro, Jorge García Orozco, Itzel Cruz Alanís y Eliud Tapia. El comunicador Chumel Torres también informó sobre anomalías en su cuenta.
El fenómeno, sin embargo, no se limitó a periodistas. Otros usuarios de X sin relación conocida con la cobertura política o de seguridad también señalaron haber recibido solicitudes de cambio de contraseña que nunca hicieron.
X atribuyó preliminarmente el problema a intentos de acceso relacionados con la disponibilidad de su función de pagos XMoney. Mridul Singhai, integrante del equipo de ingeniería de producto de la plataforma, señaló que los atacantes parecían creer que esa función podía facilitar el acceso no autorizado a cuentas. La empresa afirmó que investigaba el incidente y que, hasta ese momento, no había encontrado evidencia de una vulneración.
La diferencia entre una intrusión informática y un intento de intimidación es relevante: recibir una solicitud de restablecimiento no significa, por sí mismo, que alguien haya entrado a la cuenta o robado las credenciales.
¿Qué ocurrió con las cuentas de periodistas en X?
El 1 de septiembre comenzaron a multiplicarse los reportes de usuarios que recibieron notificaciones para restablecer su contraseña sin haber iniciado ese proceso.
De Mauleón fue uno de los primeros en hacerlo público y señaló que había recibido al menos siete avisos.
Después aparecieron reportes de otros periodistas y comunicadores. La coincidencia generó preocupación porque varios de los perfiles afectados tienen presencia pública y cubren temas políticos, de seguridad o asuntos gubernamentales.
Pero hay un elemento que impide concluir que todos los casos formaron parte de una misma operación: también hubo usuarios ajenos al periodismo que recibieron notificaciones similares.
Por eso, el alcance real del incidente y la relación entre los distintos reportes todavía requieren una investigación técnica.
¿Fue un ciberataque contra periodistas?
No está confirmado.
Esta es precisamente la principal diferencia entre las interpretaciones de los especialistas consultados.
David Taboada, presidente del Consejo de Seguridad de la Información y Ciberseguridad AC (CONSEJOSI), considera que el procedimiento observado no corresponde a un ataque sofisticado.
Según explicó a Proceso, una persona podría intentar acceder a una cuenta utilizando un nombre de usuario público y probando contraseñas al azar. Al hacerlo, puede provocar que la plataforma envíe una notificación de restablecimiento.
Para Taboada, se trata de una técnica básica.
“Es la forma más burda de poder tener acceso a una cuenta de manera no autorizada”.
Sin embargo, el especialista considera que la intención pudo no haber sido necesariamente tomar el control de las cuentas.
¿Las solicitudes de contraseña pudieron ser una forma de intimidación?
La hipótesis de Taboada es que el objetivo pudo ser generar temor y dejar claro al usuario que alguien estaba intentando entrar a su cuenta.
“Hay una posibilidad que yo percibo, y es que el objetivo no era lograr el acceso, porque evidentemente no es fácil. El objetivo era intimidar”.
Desde esta perspectiva, el mensaje implícito sería que alguien está observando la actividad del periodista y que tiene la capacidad de provocar una reacción.
Taboada incluso considera que el responsable pudo ser una persona sin conocimientos avanzados de informática.
“Mi hipótesis es que esto no lo hizo un hacker, lo pudo hacer cualquier persona de la calle que tiene una cuenta de X”.
El especialista sostiene que un actor con mayores recursos tecnológicos tendría otras posibilidades para intentar comprometer una cuenta.
Por ello, distingue entre la eficacia técnica y el efecto psicológico:
“Fue burdo, como ataque es muy burdo. Como hostigamiento yo creo que es efectivo”.
¿Por qué un intento sencillo puede resultar intimidante?
Porque una notificación inesperada de cambio de contraseña puede hacer que el propietario de una cuenta piense que alguien conoce su usuario y está intentando ingresar.
Para un periodista, además, una alerta de este tipo puede interpretarse dentro de un contexto más amplio de amenazas o presión.
Taboada considera que hacer público el incidente cumple una segunda función: dejar constancia de que existió un intento de acceso, especialmente si posteriormente aparecen amenazas más graves.
Sin embargo, también advierte que esa reacción puede ser precisamente lo que buscaba quien realizó los intentos.
“Los que reaccionaron validaron al atacante en el sentido de que demostraron que sí les caló”.
Esta conclusión es una hipótesis del especialista, no una determinación forense sobre el origen de los avisos.
¿Qué otra explicación existe para las solicitudes masivas?
Mario Micucci, investigador de seguridad informática para América Latina de ESET, plantea una lectura diferente.
Para este especialista, los reportes pueden corresponder a un fenómeno conocido en el ámbito de la ciberdelincuencia: el credential harvesting, o recolección masiva de credenciales.
En este tipo de operaciones, los delincuentes pueden automatizar intentos contra un gran número de cuentas con la expectativa de conseguir información que posteriormente pueda ser explotada con fines económicos.
Desde esta perspectiva, que varios periodistas hayan recibido las mismas alertas no demuestra necesariamente que fueran seleccionados por su actividad profesional.
Micucci explicó que estos procesos pueden ocurrir de manera masiva y buscar información como credenciales de usuario o datos financieros.
¿Entonces los periodistas fueron seleccionados deliberadamente?
No existen elementos suficientes para afirmarlo.
Micucci reconoció que la coincidencia entre varios comunicadores podría llamar la atención, pero consideró necesario analizar los procedimientos técnicos utilizados para determinar si hubo un patrón.
“Hasta no tener un análisis de eso, no podemos asegurar que se trata de un grupo cibercriminal determinado o una campaña dirigida”.
Esta postura coincide parcialmente con la explicación inicial de X: la plataforma tampoco había reportado, al momento de los avisos, evidencia de una vulneración de sus sistemas.
Por ahora, existen tres posibilidades que no necesariamente se excluyen:
- Una serie de intentos automatizados contra numerosas cuentas.
- Intentos individuales de acceso realizados por personas que conocían los nombres de usuario.
- Una combinación de actividad automatizada y acciones dirigidas contra determinados perfiles.
Determinar cuál ocurrió requiere evidencia técnica que no ha sido presentada públicamente.
¿X fue hackeado o las cuentas fueron vulneradas?
Hasta el momento descrito en los reportes, no hay evidencia pública de que X haya sido vulnerado ni de que las cuentas de los periodistas hayan sido tomadas.
Mridul Singhai, del equipo de ingeniería de producto de X, indicó que la compañía investigaba los intentos y que no había encontrado evidencia de una vulneración.
La propia existencia de una solicitud de restablecimiento tampoco significa que el atacante haya obtenido la contraseña.
Una solicitud puede ser provocada desde el exterior sin que el usuario pierda el control de su cuenta.
Por eso, es importante distinguir entre:
- Intento de acceso: alguien trata de iniciar sesión.
- Solicitud de restablecimiento: se activa un proceso para cambiar la contraseña.
- Compromiso de cuenta: un tercero consigue ingresar.
- Robo de credenciales: el atacante obtiene información que permite acceder posteriormente.
Son situaciones diferentes y requieren pruebas distintas.
¿El contexto político aumenta la preocupación entre periodistas?
Sí, aunque el contexto por sí solo no demuestra quién estuvo detrás de los intentos.
Los reportes ocurrieron en un momento de tensión alrededor de la relación entre el poder público y algunos medios y periodistas.
El texto de Proceso relaciona el episodio con nuevos lineamientos sobre derechos de las audiencias y con la exposición pública de una denominada “lista negra” de personas y medios señalados por el gobierno como presuntos “originadores” de una red de ataques contra la llamada 4T.
Ese entorno explica por qué las alertas generaron una preocupación mayor entre algunos comunicadores.
Pero una coincidencia temporal no basta para atribuir los intentos a una autoridad, organización política o grupo determinado.
¿Qué dicen los expertos sobre el origen de los ataques?
Las dos principales interpretaciones pueden resumirse así:
| Tipo de actividad | Intento básico de acceso | Ciberdelincuencia automatizada |
| Posible objetivo | Intimidar u hostigar | Obtener credenciales o información |
| ¿Fue dirigido contra periodistas? | Lo considera posible | No hay evidencia suficiente |
| ¿Fue un ataque sofisticado? | No | No necesariamente |
| Evidencia forense propia | No presentada | No presentada |
La diferencia fundamental está en la intención que cada especialista atribuye al comportamiento observado.
Taboada parte del contexto mexicano y considera que el efecto psicológico pudo ser el objetivo principal. Micucci parte de patrones globales de ciberdelincuencia y advierte que los mismos avisos pueden aparecer durante campañas masivas de recolección de credenciales.
¿Qué se puede concluir por ahora?
La evidencia disponible permite afirmar que varios periodistas y otros usuarios recibieron solicitudes de restablecimiento de contraseña que no habían realizado, y que X investigó el problema sin encontrar, hasta ese momento, evidencia de una vulneración.
Lo que no puede afirmarse todavía es que exista una campaña coordinada contra la prensa mexicana, que detrás de los intentos haya un grupo específico o que una autoridad esté involucrada.
La hipótesis de hostigamiento planteada por Taboada es relevante por el contexto y por el posible efecto psicológico de las alertas. La explicación de Micucci también resulta compatible con un patrón de ciberdelincuencia masiva. Ninguna de las dos lecturas cuenta, hasta ahora, con evidencia forense pública suficiente para descartar la otra.
En un contexto de amenazas y presión sobre periodistas, estos episodios adquieren una importancia adicional: incluso cuando un intento no consigue vulnerar una cuenta, puede generar temor y afectar la percepción de seguridad de quienes ejercen el periodismo.
Por eso, además de determinar quién provocó las solicitudes, será importante establecer si existió un patrón técnico común y si alguno de los intentos llegó a comprometer efectivamente las cuentas afectadas.
Sigue nuestro canal de WhatsApp
Recibe las noticias más importantes del día. Da click aquí
Te recomendamos
Un sitio de 
Grupo Healy © Copyright Impresora y Editorial S.A. de C.V. Todos los derechos reservados