Le hackearon la cuenta de Roblox a mi hijo de 9 años
Un tutorial le pidió copiar datos de la consola del navegador. Le robaron la sesión, accedieron desde Alemania y le vaciaron los Robux. Qué pasó y cómo evitarlo
La semana pasada le hackearon la cuenta de Roblox a mi hijo. Tiene 9 años. No fue un hacker con capucha en un sótano. Fue un tutorial que le pedía copiar y pegar algo en la consola del navegador.
Esto es lo que pasó, paso a paso. Y lo que aprendimos.
Roc programa en Roblox Studio
Mi hijo Roc lleva meses programando juegos en Roblox Studio. Va mirando tutoriales, prueba cosas, se atasca, busca otro tutorial y sigue. Es autodidacta con nueve años. Me parece increíble.
Normalmente estoy muy encima de lo que hace online. Pero no me preocupaba demasiado porque lo que hace es programar — crear cosas, no consumir contenido pasivo. No imaginé que llegaría al nivel de abrir la consola del navegador y ejecutar instrucciones que no entendía.
Lo que pasó: el tutorial que robaba cookies
Uno de los tutoriales que encontró enseñaba a copiar juegos ya publicados en Roblox. Le daba una serie de pasos que tenía que hacer en el navegador. En uno de esos pasos, le pedían abrir la consola del navegador — la herramienta de desarrollo que se abre con F12 — y copiar todo el contenido de una sección concreta.
Lo que Roc no sabía — y lo que yo no le había explicado — es que esa sección contenía la cookie de sesión de su cuenta. Al copiarla y pegarla donde le indicaban, le dio a esa página acceso completo a su cuenta de Roblox. Sin contraseña. Sin verificación. Solo con la cookie.
La página le devolvió los assets del juego que quería copiar. A Roc le pareció que había funcionado.
La alerta: acceso a la cuenta de Roblox desde Alemania
Unos días después, recibí una notificación en mi cuenta parental de Roblox: alguien había iniciado sesión desde Alemania.
Revisé el historial de accesos. Había varios inicios de sesión desde ubicaciones que no eran las nuestras. Inmediatamente hice tres cosas:
- Cerré todas las sesiones abiertas desde la configuración de seguridad de Roblox.
- Cambié la contraseña de la cuenta de Roc.
- Activé la autenticación en dos pasos con una app de autenticación (Google Authenticator), no solo por email.
Después me senté a investigar. Revisé el historial del navegador del ordenador de Roc de los últimos tres días. Encontré el tutorial. Vi los pasos. Y entendí exactamente qué había pasado.
Robux robados: los 3 euros que desaparecieron
Roc tenía 3 euros en Robux en su cuenta. No es mucho, pero era suyo.
Quien accedió a su cuenta entró en varias experiencias de Roblox que permiten donar Robux a otros usuarios. Hizo donaciones a cuentas desconocidas hasta dejar el saldo a cero.
Las transacciones marcadas en rojo son las fraudulentas. Las dos de abajo (Shark Banana y Skip) son compras reales que Roc hizo semanas antes. La diferencia es obvia: las fraudulentas son todas “Purchased Purchase” o donaciones a usuarios que Roc no conoce, desde ubicaciones que no son las nuestras.
Contactamos con el soporte técnico de Roblox. Les enviamos las transacciones fraudulentas y expusimos el caso.
Roblox respondió en menos de una semana. Confirmaron que la cuenta estaba asegurada y nos indicaron los pasos para iniciar el proceso de restauración de los Robux perdidos. Están investigando.
Actualización: Roblox devolvió los Robux
El 15 de abril, Roblox nos envió un correo confirmando que habían recuperado los Robux que le robaron a Roc. Los 3 euros están de vuelta en su cuenta. Todo el proceso — desde que reportamos el caso hasta la recuperación — tardó unas dos semanas.
Merece la pena contarlo porque mucha gente no reporta. Piensa que “son solo 3 euros” o que “Roblox no va a hacer nada.” Hicieron exactamente lo que tenían que hacer: investigaron, identificaron las transacciones fraudulentas y devolvieron el saldo. La plataforma responde cuando le das las pruebas.
La red flag que no le enseñé: la consola del navegador
Esta es la parte que más me costó asumir. Yo soy la persona que supervisa lo que Roc hace online. Estoy encima. Controlo. Pero no le había explicado una cosa concreta:
Nunca copies y pegues nada en la consola del navegador a menos que sepas exactamente qué hace. Si alguien te lo pide, es porque quiere sacar información de tu cuenta.
No se me ocurrió que hiciera falta. Roc tiene nueve años. No esperaba que supiera abrir la consola del navegador. Pero la abrió. Porque el tutorial se lo pidió. Y él confía en los tutoriales que le enseñan a programar.
Ese es el problema. Los peques confían. Y los scammers lo saben.
Qué es el robo de cookies (para padres que no son técnicos)
Cuando tu hijo inicia sesión en Roblox, el navegador guarda un dato llamado cookie de sesión. Es como un pase de entrada que dice: “este usuario ya se ha identificado, no le pidas la contraseña otra vez.”
Si alguien consigue copiar esa cookie, puede pegarla en su propio navegador. Y el servidor de Roblox creerá que es tu hijo. No necesitan la contraseña. No necesitan pasar ninguna verificación. Solo necesitan esa cookie.
Es como si alguien clonara la llave de tu casa. No fuerzan la puerta. Entran como si vivieran allí.
Los tutoriales que piden “abrir la consola y copiar datos” están diseñados para robar exactamente eso. Lo disfrazan de herramienta, de truco, de hack para conseguir cosas gratis. Pero lo que hacen es robar la sesión.
Cómo proteger la cuenta de Roblox de tu hijo: 5 pasos
1. Explícale qué es la consola del navegador. No hace falta que entienda el código. Solo necesita saber una regla: si algo te pide abrir la consola (F12) y pegar texto, para. Pregúntame antes.
2. Activa la verificación en dos pasos. No la de email — la de una app de autenticación como Google Authenticator o Microsoft Authenticator. Si alguien roba la cookie, no podrá hacer cambios críticos sin el segundo factor.
3. Activa el PIN parental en Roblox. Un PIN de cuatro dígitos que impide cambios en la configuración de la cuenta sin tu aprobación.
4. Revisa el historial del navegador de vez en cuando. No para espiar. Para detectar tutoriales que piden cosas que tu hijo no debería hacer. Si ves referencias a “consola,” “F12,” “inspect,” “copiar cookies” — hay que hablar.
5. No le eches la culpa. Roc no hizo nada malo. Estaba aprendiendo a programar. Siguió un tutorial como sigue todos los demás. La diferencia es que este era malicioso. El problema no es que tu hijo confíe en lo que lee. El problema es que hay contenido diseñado para explotar esa confianza.
El robo de cookies es solo uno de los riesgos de seguridad online que pueden encontrar los peques. Si tu hijo juega a Steal a Brainrot u otros juegos de Roblox, en este otro post revisamos punto por punto los riesgos dentro del juego: estafas entre jugadores, chat con desconocidos y compras con Robux.
Preguntas frecuentes
¿Cómo le hackearon la cuenta de Roblox a mi hijo? El método más común no es adivinar la contraseña. Es el robo de cookies de sesión. Si alguien convence a tu hijo de abrir la consola del navegador (F12) y copiar ciertos datos, puede obtener la cookie que mantiene la sesión abierta. Con esa cookie, acceden a la cuenta desde cualquier parte del mundo sin necesitar la contraseña.
¿Qué es una cookie de sesión y por qué es peligrosa? Una cookie de sesión es un dato que tu navegador guarda para recordar que has iniciado sesión en un sitio. Si alguien copia esa cookie, puede pegarla en su navegador y el sitio creerá que es tu hijo. Es como clonar la llave de tu casa: no necesitan forzar la cerradura.
¿Qué hago si hackean la cuenta de Roblox de mi hijo? Tres pasos inmediatos: 1) Cierra todas las sesiones abiertas desde la configuración de seguridad de Roblox. 2) Cambia la contraseña. 3) Activa la autenticación en dos pasos con una app como Google Authenticator o Microsoft Authenticator. Después, revisa el historial de transacciones y contacta con el soporte de Roblox si hay movimientos fraudulentos.
¿Puede Roblox devolver los Robux robados? Sí. En nuestro caso, Roblox investigó las transacciones fraudulentas y nos devolvió los Robux robados en unas dos semanas. Les enviamos las donaciones sospechosas a usuarios desconocidos desde ubicaciones que no eran las nuestras, y actuaron. No hay garantía al 100%, pero merece la pena reportarlo con pruebas claras.
¿Cómo protejo la cuenta de Roblox de mi hijo? Activa la verificación en dos pasos con una app de autenticación (no por email, que también puede ser comprometido). Activa el PIN parental. Y sobre todo: explícale a tu hijo que nunca debe copiar y pegar nada en la consola del navegador. Si un tutorial se lo pide, es una red flag.