Voy a contarte el número que me hizo escribir este artículo. Entre octubre de 2025 y enero de 2026, un solo grupo de hackers robó más de 610,000 cuentas de Roblox — 357 de ellas "de élite", con años de progreso y objetos que ya no se pueden conseguir de ninguna otra forma. Ganaron alrededor de 225,000 dólares vendiendo el acceso. Y en 2024, Kaspersky había registrado ya 1.6 millones de ataques relacionados con archivos falsos de Roblox, con picos de más de 179,000 intentos en un solo mes.
Ese es el tamaño real del problema. Y no es un problema de "hackers súper avanzados". Es, casi siempre, un link.
El anzuelo no es dinero. Es el juego mismo
Aquí está la razón por la que esto engancha tanto a los niños, y por la que ningún sermón de "no des tu contraseña" basta por sí solo: el cebo nunca es dinero real. Es Robux gratis. Es V-Bucks gratis. Es una skin exclusiva "solo por hoy". Ningún niño de diez años piensa "esto es un fraude financiero" — piensa "esto es gratis y lo quiero ahora". Los criminales lo saben, y por eso el mensaje siempre apunta a la moneda del juego, nunca al banco de los papás.
El mecanismo, en la mayoría de los casos documentados, es este:
- Tu hijo ve un video, un mensaje o un anuncio prometiendo Robux o V-Bucks gratis a cambio de "iniciar sesión" en una página.
- La página imita, con muchísimo detalle, el diseño real de Roblox, Fortnite o Epic Games — logo, colores, tipografía, hasta el mensaje de "sesión segura".
- Tu hijo escribe su usuario y contraseña ahí.
- Esa contraseña llega directo al atacante, en segundos, sin que nada en pantalla lo delate.
- Si tu hijo usa la misma contraseña en otras cuentas —y la mayoría de los niños sí— el atacante la prueba ahí también. Eso se llama relleno de credenciales, y es la forma más común en que un robo de cuenta de videojuego termina abriendo algo mucho más sensible, como un correo o una cuenta familiar.
También existe una segunda vía, más silenciosa: herramientas descargables que prometen "mejorar" el juego —trucos, generadores, mods— y que en realidad son malware diseñado para robar contraseñas guardadas directamente del dispositivo. Ese fue, de hecho, el método principal detrás del robo de las 610,000 cuentas: los atacantes distribuyeron software espía disfrazado de herramientas de mejora para el juego.
Por qué Roblox y Fortnite son el blanco favorito
No es casualidad que estas plataformas concentren tanto ataque. Una cuenta de Roblox o Fortnite puede tener años de progreso, objetos de edición limitada que ya no existen en ningún otro lado, y saldos de Robux o V-Bucks que valen dinero real en el mercado negro de reventa de cuentas. Para un criminal, una cuenta así vale más que una contraseña de correo cualquiera — y para un niño, perder esa cuenta se siente como perder años de esfuerzo, no solo "una contraseña".
Lo que sí funciona (y no es complicado)
Contraseñas distintas por cuenta importante. No hace falta memorizar veinte contraseñas diferentes — con un gestor de contraseñas (el que viene integrado en el navegador o el teléfono ya sirve) basta. Lo que sí importa es que la contraseña del juego no sea la misma que la del correo de tu hijo, ni la tuya.
Verificación en dos pasos, donde exista. Tanto Roblox como las cuentas de Epic Games (Fortnite) ofrecen verificación en dos pasos — un código adicional que llega a tu correo o teléfono cada vez que alguien intenta entrar desde un dispositivo nuevo. Actívala tú mismo la primera vez, junto con tu hijo. Es la barrera individual más efectiva contra este tipo de robo: aunque el atacante tenga la contraseña, no puede entrar sin el código.
La regla de una sola frase. "Nada es gratis si te pide tu contraseña primero." Enséñasela a tu hijo como una regla fija, no como una sospecha puntual. Robux gratis, V-Bucks gratis, skins gratis — todo lo que pide iniciar sesión en una página que no es la oficial del juego, es phishing. Sin excepción.
Verifica la URL, no el diseño. Los sitios falsos copian el diseño a la perfección — eso ya no es una señal confiable. Lo que sí lo es: revisar la dirección exacta. Solo roblox.com y epicgames.com (para Fortnite) son reales. Cualquier variación — con guiones, palabras extra, terminaciones distintas — es falsa.
Lo que ninguna de estas medidas hace
Ninguna contraseña fuerte, ni la verificación en dos pasos, evita que tu hijo dé clic en el link en primer lugar. La tecnología cierra la puerta después del error; la conversación es lo único que previene el error. Por eso ambas cosas —configuración técnica y conversación— tienen que ir juntas, no una en lugar de la otra.
Señales de que ya pasó
Mensajes de "inicio de sesión desde nuevo dispositivo" que tu hijo no reconoce. Objetos, skins o Robux/V-Bucks que desaparecieron de la cuenta sin explicación. Amigos dentro del juego reportando mensajes raros enviados "desde" la cuenta de tu hijo — señal clásica de que la cuenta ya fue tomada y se está usando para enviar el mismo phishing a más niños. Y, la más simple de todas: no poder entrar con la contraseña de siempre.
Si ves cualquiera de estas señales, el primer paso es cambiar la contraseña desde el sitio oficial (no desde ningún link que haya llegado por mensaje) y activar la verificación en dos pasos de inmediato, aunque no la tuvieras antes.
Lo que puedes hacer hoy
Siéntate diez minutos con tu hijo y activa juntos la verificación en dos pasos en su cuenta de Roblox o de Epic Games — la que más use. Después, dile la frase: "nada es gratis si te pide tu contraseña primero". Esa combinación — un ajuste técnico más una regla clara — es lo que de verdad cierra la puerta que 610,000 familias dejaron abierta el año pasado.
Fuentes verificadas: Malwarebytes — Hackers stole hundreds of thousands of Roblox accounts, abril 2026 · Kaspersky LatAm — 1.6 millones de ciberataques dirigidos a jugadores de Roblox. Consultado el 24 de julio de 2026.
