5 hábitos de ciberseguridad que cualquiera puede aplicar
Contenido del artículo
Una contraseña distinta para cada sitioActiva el segundo factorMantén todo actualizadoAprende a oler el phishingHaz copias de seguridadPor dónde empezarResumen
- Usa una contraseña distinta en cada sitio. Un programa llamado gestor de contraseñas las recuerda por ti.
- Pide una segunda prueba al iniciar sesión, un código de una aplicación o una llave física, empezando por tu correo.
- Actualiza tus equipos, desconfía de los mensajes que te apuran y guarda una copia de lo importante que no esté siempre conectada.
Ciberseguridad suena a hackers y a empresas grandes, pero la mayoría de los ataques no rompen nada sofisticado: aprovechan un descuido cotidiano. Y muchas veces no atacan a la máquina, sino a la persona.
La buena noticia es que no necesitas volverte experto ni vivir con paranoia. Con unos pocos hábitos dejas de ser un blanco fácil, que al final es de lo que se trata: los ataques masivos buscan a quien tenga la puerta abierta, no a quien puso un cerrojo básico.
Una contraseña distinta para cada sitio
La razón se ve clara apenas la piensas: si usas la misma clave en varios lugares y uno de esos sitios sufre una filtración, quien tenga esa clave la va a probar en todos los demás. No necesita adivinarla, ya la tiene. Así, un solo sitio débil puede comprometer tu correo, tu banco y tus redes de una sola vez.
Una contraseña única por sitio suena imposible de recordar, y lo es. Por eso existe el gestor de contraseñas: un programa que inventa una clave larga y distinta para cada cuenta y las guarda cifradas, de modo que solo memorizas una, la del gestor. Conviene que esa sea una frase larga, fácil de recordar para ti y difícil de adivinar para otros. Empezar a usar un gestor es, probablemente, lo que más sube tu seguridad con menos esfuerzo.
Para empezar, tres opciones de código abierto con versión gratuita:
Bitwarden
Gratis para uso personal, sin límite de contraseñas ni de dispositivos. Funciona en el navegador, el celular y el computador, y también guarda passkeys.
KeePassXC
Guarda todo en un archivo cifrado en tu computador, sin servidores de por medio. Tú decides dónde queda ese archivo y cómo lo respaldas.
Proton Pass
Cifrado de extremo a extremo y passkeys incluidas en el plan gratuito. El autenticador integrado solo viene en el plan de pago.
No es una lista completa, y hay buenos gestores de pago. Los logos pertenecen a sus dueños y se muestran solo para identificar cada producto.
Si no vas a instalar nada, el gestor que trae tu navegador o tu teléfono es mejor que repetir la misma clave.
Activa el segundo factor
Una contraseña es una sola barrera, y las barreras solas se caen. El segundo factor agrega una prueba extra al iniciar sesión: un código que cambia cada pocos segundos en una aplicación, o una llave física. Si alguien roba solo tu contraseña, sin ese segundo paso no entra.
Conviene más una aplicación de autenticación que recibir el código por mensaje de texto. Los SMS se pueden desviar si alguien logra pasar tu número a otra tarjeta SIM; la aplicación vive en tu teléfono y es mucho más difícil de robar a distancia. Aun así, un SMS es mejor que no tener segundo factor. Y cuando actives uno, guarda los códigos de recuperación que te entregan, porque son lo que te devuelve el acceso si pierdes el teléfono.
Hay un límite que conviene conocer: un engaño de phishing en tiempo real puede pedirte también el código y usarlo al instante. Solo las llaves físicas y las llaves de acceso (passkeys) resisten ese truco.
Para generar los códigos, estas son tres opciones:
2FAS
Aplicación de código abierto para iOS y Android. Permite guardar una copia de tus códigos en la nube o de forma manual.
Ente Auth
Gratis y de código abierto, con copias de seguridad cifradas de extremo a extremo. Funciona en el celular, el computador y la web.
YubiKey
Llave física que se conecta por USB o por NFC. Es la opción que mejor resiste el phishing, pero se compra y no todos los sitios la aceptan.
En Android también existe Aegis, gratis y de código abierto. Los logos pertenecen a sus dueños y se muestran solo para identificar cada producto.
Mantén todo actualizado
Esas actualizaciones que aplazas “para después” no traen solo funciones nuevas. Muchas tapan un fallo de seguridad que ya se descubrió. Un fallo de seguridad no es magia: muchas veces es un error de programación, de la misma familia de los fallos lógicos que explico en otro artículo, que alguien aprendió a aprovechar.
Cuando el fabricante publica la corrección, el fallo queda descrito públicamente, y quien quiera aprovecharlo sabe qué buscar y en quién. Posponer una actualización de seguridad es dejar abierta una puerta que ya está documentada. Activa las actualizaciones automáticas donde puedas, y no dejes el teléfono ni el computador varias versiones atrás.
Aprende a oler el phishing
El phishing es el arte de engañarte para que entregues tú mismo lo que un atacante no podría robar de otra forma: tu contraseña, un código, un pago. Llega como un correo o un mensaje que parece de tu banco, de una empresa conocida o hasta de alguien que conoces, y muy a menudo trae un mismo ingrediente: la urgencia. “Tu cuenta será bloqueada”, “confirma tus datos ahora”, “reclama tu premio antes de que expire”.
Así se ve uno, con las señales marcadas. El banco y el dominio son inventados.
Estimado cliente2
Detectamos actividad inusual. Si no verificas tus datos en las próximas 24 horas, bloquearemos tu cuenta.3
Verificar mi cuenta4
Deberás escribir tu usuario, tu clave y el código que te llegará.5
- Remitente. El nombre visible dice "Banco Ejemplo", pero la dirección real es otra. Mira la dirección completa y compárala con la que conoces.
- Saludo genérico. "Estimado cliente" puede indicar un envío masivo. Que traiga tu nombre no lo vuelve confiable, porque algunos engaños también lo usan.
- Urgencia. "En 24 horas" busca que no pienses. Haz una pausa y verifica por otro camino.
- Enlace. Si al pasar el cursor, o al mantener pulsado en el celular, el destino no coincide con la entidad, no lo abras. Escribe tú la dirección o usa la aplicación oficial.
- Petición de datos. Una clave o un código por correo es mala señal. Llama al número oficial, por ejemplo el impreso en tu tarjeta.
Los ataques que engañan a la persona funcionan porque no nos damos ese segundo de pausa, y dártelo corta muchos de ellos.
Haz copias de seguridad
Los cuatro hábitos anteriores buscan evitar el problema. Este es distinto: es tu red por si algo sale mal de todos modos. Un teléfono que se pierde, un disco que muere o un ransomware (un ataque que cifra tus archivos y pide rescate por ellos) dejan de ser una catástrofe si tienes una copia de lo importante en otro lugar.
Ojo con lo que cuenta como copia. Una carpeta que se sincroniza con la nube no es una copia de seguridad: si borras algo o si un ransomware cifra tus archivos, el cambio se sincroniza también. Un disco externo que vive conectado puede cifrarse igual. Sirve una copia con versiones anteriores o una que esté desconectada la mayor parte del tiempo. Y una copia que nunca has probado restaurar es una suposición, no una copia.
Por dónde empezar
Ninguno de estos hábitos te vuelve invulnerable, y esa no es la meta. La meta es más modesta: dejar de ser el blanco fácil. La mayoría de los ataques masivos van por volumen, buscando puertas abiertas, y frente a estos cinco cerrojos básicos pasan de largo hacia alguien más descuidado. Los ataques dirigidos son otra historia, pero esos son raros para una persona común.
Si tuvieras que empezar por uno solo, empieza por dos: el gestor de contraseñas y el segundo factor en tu correo. Son los que más te protegen. Con cinco minutos puedes instalar el gestor, activar el segundo factor en el correo y guardar los códigos de recuperación.