La superficie de ataque de un particular o de una pequeña organización ya no se limita al correo electrónico. Según Cybermalveillance.gouv.fr, las filtraciones de datos personales provocaron un fuerte aumento de las solicitudes de ayuda en 2025, y las técnicas de estafa combinan ahora SMS, llamadas telefónicas y autorizaciones bancarias en una misma secuencia. Proteger los dispositivos y los datos en línea exige ir más allá de una lista de consejos genéricos y abordar los vectores reales de compromiso.
Passkeys y autenticación multifactor: cómo cambia concretamente la resistencia al phishing
Las contraseñas, por largas y complejas que sean, siguen siendo vulnerables cuando un usuario las introduce en un sitio falso. Las passkeys se basan en un par de claves criptográficas vinculadas al servicio correspondiente: la clave privada nunca sale del dispositivo y no puede reutilizarse en un dominio fraudulento. La principal ventaja no es la comodidad, sino eliminar el riesgo de introducir las credenciales en un sitio clonado.
La CNIL adoptó el 20 de marzo de 2025 una recomendación sobre la autenticación multifactor. Esta recomendación confirma que la autenticación de dos factores sigue siendo una medida básica, pero no constituye una garantía absoluta. Una persona aún puede autorizar por sí misma una operación fraudulenta si la manipulan por teléfono.
Los artículos dirigidos al público general presentan la autenticación de dos factores como una casilla que hay que marcar. En la práctica, recomendamos priorizar las cuentas según su nivel de criticidad: primero, las cuentas bancarias, el correo electrónico principal y el almacenamiento en la nube; después, las redes sociales. En la sección de seguridad de Tech Mafia se detallan los métodos de activación para cada servicio y las diferencias entre TOTP, notificaciones push y passkeys.
Estafas multicanal: por qué una sola señal ya no basta para detectar el fraude
El clásico correo sospechoso con faltas de ortografía ha quedado atrás. Las observaciones de 2025 recogidas por Cybermalveillance.gouv.fr señalan un aumento de los ataques con falsos asesores bancarios y suplantación de números de teléfono. El escenario típico encadena varias etapas: un SMS de alerta, seguido de una llamada desde un número que parece ser el del banco y, después, una solicitud de autorización en la aplicación móvil.
Las filtraciones de datos contribuyen directamente a que estos ataques parezcan creíbles. Cuando un estafador conoce el nombre, la dirección y el número de cuenta de su objetivo, resulta difícil distinguir su discurso del de una llamada legítima. La única medida fiable: colgar y llamar al número oficial de la entidad, consultado en un extracto en papel o en su sitio web verificado, nunca a través del enlace o el número recibido.
Medidas concretas ante una solicitud sospechosa
- No autorices nunca una operación bancaria solicitada por alguien que se haya puesto en contacto contigo, sea cual sea el canal (SMS, llamada o mensaje instantáneo). Un asesor bancario legítimo no te pide que confirmes una transferencia en tiempo real por teléfono.
- Comprueba la URL del sitio al que te redirigen antes de introducir tus credenciales. Basta con modificar un carácter del nombre de dominio para crear un sitio fraudulento.
- Denuncia de inmediato cualquier intento en la plataforma Cybermalveillance.gouv.fr, aunque no haya causado daños. Las denuncias permiten bloquear los dominios maliciosos con mayor rapidez.
Actualizaciones y separación de usos: la superficie de ataque real de tus dispositivos
Un dispositivo cuyo sistema operativo ya no está actualizado queda expuesto a vulnerabilidades conocidas y documentadas públicamente. Los parches de seguridad no son mejoras estéticas: corrigen vulnerabilidades que los atacantes a veces explotan pocos días después de su publicación. Activar las actualizaciones automáticas en cada dispositivo sigue siendo la medida más eficaz en relación con el esfuerzo que requiere.
Separar los usos personales de los profesionales no es solo una recomendación de higiene digital. Conectar una memoria USB personal a un equipo de trabajo o utilizar la misma dirección de correo electrónico para un servicio administrativo y un foro de ocio crea puentes entre entornos con distintos niveles de seguridad. Si uno de ellos se ve comprometido, el atacante puede acceder al otro sin esfuerzo adicional.
Gestión de permisos y aplicaciones instaladas
Instalar aplicaciones únicamente desde las tiendas oficiales (App Store, Google Play) o desde los sitios web verificados de los desarrolladores reduce el riesgo de ejecutar software modificado. En un ordenador, utilizar una cuenta de usuario estándar (sin permisos de administrador) para las tareas cotidianas limita los daños que puede causar un programa malicioso: no podrá modificar los archivos del sistema ni instalarse en profundidad.
Cada aplicación instalada amplía la superficie de ataque. Desinstalar los programas que no se utilizan y revocar los permisos excesivos (acceso al micrófono, la ubicación o los contactos) reduce la exposición de forma directa. Tanto en Android como en iOS, los ajustes de privacidad permiten revisar estos accesos en unos minutos.
Copia de seguridad y cifrado de datos: la red de seguridad olvidada
El ransomware cifra los archivos y exige un pago. Sin una copia de seguridad reciente, la víctima debe elegir entre pagar (sin garantía de recuperar los datos) o aceptar la pérdida. Una copia de seguridad periódica en un soporte desconectado de la red (disco externo, almacenamiento sin conexión) anula la capacidad de presión del atacante.
La práctica habitual consiste en mantener al menos dos copias de los datos en soportes distintos, una de ellas físicamente separada del equipo de trabajo. Los servicios de almacenamiento en la nube sincronizados no sustituyen a esta copia de seguridad sin conexión: el ransomware puede propagarse a los archivos sincronizados antes de que se detecte.
El cifrado del disco (BitLocker en Windows, FileVault en macOS) protege los datos en caso de robo físico del dispositivo. Si roban un portátil en un tren y el disco no está cifrado, podrán acceder a todos los archivos, incluso si la sesión está protegida con contraseña.
La seguridad digital no es un estado permanente. Las técnicas de ataque evolucionan, las filtraciones de datos proporcionan a los estafadores información cada vez más precisa y cada nuevo dispositivo conectado añade un posible punto de entrada. Las medidas descritas aquí no requieren un presupuesto específico ni conocimientos avanzados, pero sí aplicarlas de forma sistemática, no solo conocerlas.
