La ciberseguridad se basa en un principio técnico sencillo: cada cuenta en línea, cada dispositivo conectado y cada intercambio de datos constituye una posible superficie de ataque. Proteger los datos en línea consiste en reducir metódicamente esa superficie mediante hábitos concretos que cualquiera puede aplicar, sin necesidad de conocimientos informáticos.
Phishing y sitios web falsos: la amenaza que esquiva las protecciones tradicionales
El informe de Cybermalveillance.gouv.fr publicado en marzo de 2026 sitúa el phishing en el primer puesto de las amenazas denunciadas, con un aumento de las solicitudes de asistencia respecto a 2024. Los métodos van mucho más allá del simple correo sospechoso.
Los falsos mensajes de entrega ilustran bien esta evolución. Un SMS anuncia que un paquete está retenido, dirige a un sitio web que imita a una empresa de transporte conocida y, a continuación, solicita el pago de unos euros. El verdadero objetivo es recopilar datos bancarios o credenciales de acceso.
Un sitio fraudulento bien diseñado también puede transmitir en tiempo real las credenciales introducidas y, después, solicitar un código de un solo uso. Ni siquiera la autenticación en dos pasos por SMS detiene este tipo de ataque si el sitio intermediario reenvía la información al servicio legítimo. Los recursos dedicados a la seguridad en Geekfinity explican estos mecanismos de interceptación y las medidas para contrarrestarlos.
El hábito que conviene adoptar: no hacer nunca clic en un enlace recibido por mensaje para acceder a un servicio bancario, una empresa de transporte o una administración pública. Escribir directamente la dirección del sitio en el navegador elimina el riesgo de que nos redirijan a una copia fraudulenta.
Autenticación en dos pasos: por qué los SMS ya no bastan
La autenticación en dos pasos (o 2FA) añade una verificación adicional después de la contraseña. El principio es sólido, pero no todos los factores ofrecen el mismo nivel de seguridad.
La ANSSI recomienda no utilizar los SMS como segundo factor. Hay dos motivos técnicos que lo explican. En primer lugar, un SMS puede ser interceptado mediante un ataque conocido como SIM swapping, en el que un atacante consigue que el operador le proporcione una copia de la tarjeta SIM. En segundo lugar, como se ha mencionado antes, un sitio falso puede solicitar el código recibido por SMS y reenviarlo al servicio legítimo en tiempo real.
Las alternativas más robustas se clasifican según su nivel de resistencia:
- Las aplicaciones de autenticación (como Google Authenticator, Authy o Microsoft Authenticator) generan códigos localmente en el teléfono, sin transmitirlos por la red móvil. Bloquean el SIM swapping, pero siguen siendo vulnerables si el usuario introduce el código en un sitio falso.
- Las llaves de seguridad FIDO (llaves USB físicas como YubiKey) verifican automáticamente el dominio del sitio antes de validar el inicio de sesión. Un sitio falso no recibe nada.
- Las passkeys, integradas en los sistemas de Apple, Google y Microsoft, funcionan con el mismo principio criptográfico que las llaves FIDO. Verifican el dominio del sitio y resisten el phishing sin necesidad de hardware adicional.
Activar la autenticación en dos pasos sigue siendo una mejora importante de seguridad, incluso por SMS. El siguiente paso es pasarse a una aplicación de autenticación o a las passkeys.
Contraseñas y gestores específicos: la base técnica
Reutilizar una contraseña en varias cuentas convierte una filtración de datos de un servicio poco importante en una puerta de entrada al correo electrónico, la cuenta bancaria o las redes sociales. Este mecanismo, conocido como credential stuffing, aprovecha que la mayoría de los usuarios reutiliza sus credenciales.
La solución práctica es utilizar un gestor de contraseñas. Este tipo de programa genera una contraseña única y larga para cada servicio, la guarda en una bóveda cifrada y la introduce automáticamente al iniciar sesión. El usuario solo tiene que recordar una contraseña maestra.
Algunos criterios para elegir un gestor fiable:
- Cifrado de extremo a extremo, que garantiza que ni siquiera el proveedor del programa pueda leer las contraseñas almacenadas
- Sincronización entre dispositivos (ordenador, teléfono y tableta) para evitar volver a recurrir a la comodidad de usar una sola contraseña
- Compatibilidad con passkeys, que permite centralizar con el tiempo todos los accesos en una sola herramienta
- Una auditoría de seguridad independiente publicada, que demuestra la transparencia y solidez del producto
Falsos servicios de asistencia técnica y estafas telefónicas: un vector de ataque infravalorado
Cybermalveillance.gouv.fr describe el falso servicio de asistencia técnica como una amenaza en sí misma. El escenario típico: aparece una ventana en la pantalla con un mensaje de alerta que imita a Windows o macOS e invita a llamar a un número de teléfono. A continuación, la persona que atiende, haciéndose pasar por técnico, solicita acceso remoto al ordenador.
Una vez conectado, puede instalar un programa de control remoto, extraer archivos o pedir un pago por una intervención ficticia. Ningún proveedor de sistemas operativos se pone en contacto con sus usuarios de esta manera.
Qué hacer ante este tipo de pantalla: cerrar el navegador (si es necesario, forzar el cierre desde el administrador de tareas), no llamar nunca al número que aparece y no conceder acceso remoto a nadie que no lo haya solicitado previamente. Si el navegador no se cierra, reiniciar el dispositivo suele bastar en la gran mayoría de los casos.
Actualizaciones y copias de seguridad: dos hábitos que no conviene descuidar
Las actualizaciones de seguridad corrigen vulnerabilidades que los atacantes aprovechan activamente. Retrasar una actualización unas semanas puede bastar para dejar una puerta abierta. Activar las actualizaciones automáticas en todos los dispositivos (teléfono, ordenador, tableta y dispositivos conectados) elimina este riesgo sin esfuerzo.
Las copias de seguridad protegen frente a otro escenario: el ransomware, que cifra los archivos y exige un pago. Una copia de seguridad reciente almacenada en un soporte desconectado de la red (disco duro externo o memoria USB) permite restaurar los datos sin ceder al chantaje. La regla práctica: hacer una copia de seguridad al menos una vez al mes en un soporte físico desconectado.
Estos dos hábitos —actualizar y hacer copias de seguridad— no impiden que se produzca un ataque. Sin embargo, limitan sus consecuencias a una molestia temporal, en lugar de provocar la pérdida definitiva de datos o del acceso.
