El teléfono que vendió sigue conectado a sus cuentas

El teléfono de hace dos años lleva mucho tiempo en manos de otra persona. Se vendió, se regaló o se cambió, y primero se restableció a los ajustes de fábrica. La mayoría de la gente considera que ahí termina el asunto.

Google no lo hace así. Su página de ayuda enumera las razones por las que es posible que no reconozca un dispositivo en su cuenta, y una de ellas es esta: «Ha restablecido recientemente su dispositivo a la configuración de fábrica. Es posible que el dispositivo siga apareciendo». El restablecimiento borra el contenido del teléfono. No borra la entrada de su cuenta. El acceso puede perdurar más allá de la vida útil del hardware, y lo mismo ocurre con un número de móvil antiguo.

La mayoría de las personas tienen más entradas en estas listas de las que esperan. Teléfonos antiguos, un ordenador portátil de un antiguo empleador, un televisor en el que se inició sesión una sola vez durante una noche. Cada entrada es un dispositivo que aún puede acceder a la cuenta.

Una nueva contraseña no cierra la sesión en todos los dispositivos

Se suele dar por sentado que al cambiar una contraseña se desconecta a todos los demás usuarios. En algunos servicios sí ocurre así, en otros no, y la mayoría de los proveedores no se pronuncian al respecto. Las sesiones activas son el punto débil en este caso. Una cookie de sesión robada permite a un atacante acceder sin necesidad de la contraseña ni del segundo factor de autenticación.

Google es el que ofrece mayor claridad al respecto. Si cambia su contraseña allí, se le dará de baja en todas partes, con tres excepciones: los dispositivos que utiliza para verificar su identidad al iniciar sesión, algunos dispositivos con aplicaciones de terceros a los que haya concedido acceso a su cuenta y los dispositivos domésticos útiles a los que haya concedido acceso a su cuenta. Un altavoz inteligente se incluye en este último grupo.

Amazon también explica este efecto, pero solo en la versión en inglés de sus páginas de ayuda: «Al cambiar su contraseña, se cerrará la sesión en las aplicaciones y sitios web de Amazon en cualquier dispositivo que no sea un Kindle». Los Kindles permanecen conectados.

Netflix lo presenta como una casilla de selección. Su centro de ayuda indica: «Le recomendamos que mantenga marcada la casilla “Cerrar sesión en todos los dispositivos”». Si desmarca esa casilla, cambiará la contraseña mientras todas las sesiones siguen activas.

Microsoft, Apple e Instagram no mencionan nada al respecto en sus páginas de ayuda oficiales. Apple mantiene ambas cuestiones separadas. En su guía para una cuenta que pueda haber sido pirateada, la contraseña es el primer paso, y la eliminación de dispositivos desconocidos se produce cuatro pasos más adelante como una tarea independiente. Recientemente nos hemos topado con la misma limitación en el caso de las contraseñas de aplicaciones, que no se ven afectadas en absoluto por un cambio de contraseña.

Por lo tanto, no puede confiar únicamente en un cambio de contraseña. De todos modos, deberá revisar la lista de dispositivos.

Dónde se ocultan las listas de dispositivos

Cada servicio las oculta en un lugar distinto, y varios de ellos mantienen más de una lista. La descripción general que figura a continuación le llevará directamente hasta ellas. Dos de ellos ofrecen un botón que permite dar de baja todos los dispositivos. En los otros cinco, debe dar de baja cada dispositivo por separado.

Lo que las listas no le dicen

Una lista vacía o breve no prueba nada. Netflix afirma abiertamente que pueden faltar dispositivos. Todo lo que no haya estado activo en los últimos 90 días no aparece en absoluto, al igual que los dispositivos utilizados únicamente para los juegos de Netflix o solo para acceder a Tudum. Un dispositivo puede tardar hasta 48 horas en aparecer por primera vez.

Microsoft indica el mismo retraso de hasta 24 horas para su propia lista, y se tarda el mismo tiempo en que surta efecto el cierre de sesión. La Xbox queda exenta de ello y permanece conectada.

Apple tiene su propia trampa. Si elimina un dispositivo que sigue conectado a su cuenta, este vuelve a aparecer. La página de ayuda lo explica así: «Si sigue conectado a su cuenta de Apple en el dispositivo, es posible que vuelva a aparecer en la pantalla de su cuenta de Apple la próxima vez que el dispositivo se conecte a Internet». Un teléfono que haya vendido solo desaparecerá definitivamente una vez que cierre sesión en iCloud, «Contenido y compras», iMessage, FaceTime y Game Center en dicho dispositivo, o bien lo borre por completo.

Las marcas de tiempo tampoco son tan fiables como parecen. Google señala que la hora mostrada puede deberse a una sincronización en segundo plano, en lugar de a que alguien estuviera utilizando realmente el dispositivo. Una entrada de esta mañana no significa que alguien haya tenido ese teléfono en sus manos esta mañana.

WhatsApp se limpia por sí solo, mediante dos temporizadores distintos

WhatsApp gestiona los dispositivos vinculados mejor que el resto, ya que el servicio se encarga de la limpieza por usted. Sin embargo, existen dos temporizadores independientes, y a menudo se confunden. Si su teléfono principal permanece inactivo durante más de 14 días, se cerrará la sesión en todos los dispositivos vinculados. Si un solo dispositivo vinculado permanece inactivo, ese dispositivo se desconecta al cabo de 30 días. De todos modos, WhatsApp no permite tener más de cuatro dispositivos vinculados a la vez.

Esto convierte a WhatsApp en la excepción. En ninguno de los demás servicios caduca nada por sí solo, o al menos nada de lo que ellos documenten.

10 minutos, una sola pasada

Revise una por una las siete direcciones que aparecen en el resumen. Cierre la sesión en cada entrada que no pueda identificar de inmediato. Cerrar sesión por error en uno de sus propios dispositivos le obligará a volver a iniciar sesión. Pasarse por alto uno que no sea suyo le costará más.

Tenga en cuenta tres cosas mientras lo hace. Varias filas con el mismo nombre de dispositivo pueden corresponder a un solo dispositivo o a varios, y Google aconseja cerrar la sesión en todos ellos en caso de duda. Con Apple, también debe cerrar la sesión en el propio dispositivo; de lo contrario, la entrada volverá a aparecer. Y en el caso de Microsoft y Netflix, el cierre de sesión no surte efecto hasta pasadas varias horas, por lo que, si vuelve a comprobarlo inmediatamente después, seguirá apareciendo el estado anterior.

Si aparece un dispositivo que no le dice absolutamente nada, cerrar sesión es solo el primer paso. A continuación, cambie la contraseña y compruebe su configuración de autenticación de dos factores.