Un empleado recibe un correo electrónico de su departamento de recursos humanos pidiéndole que confirme sus credenciales en un formulario. El enlace apunta a un dominio que se asemeja al portal interno, con una letra de diferencia. En 2024, la plataforma cybermalveillance.gouv.fr registró más de 420,000 solicitudes de asistencia, de las cuales aproximadamente un tercio estaban relacionadas con el phishing.
La seguridad de los datos en línea ya no se basa en principios vagos, sino en reflejos precisos ante ataques cada vez más dirigidos.
Ver también : Las 50 mejores motos de 50cc homologadas que debes descubrir en 2024
Phishing dirigido y filtraciones masivas: lo que los números recientes cambian
El barómetro de filtraciones de datos personales realizado en colaboración con la CNIL registra 8,613 violaciones notificadas entre septiembre de 2024 y septiembre de 2025, lo que representa un aumento del 45% en comparación con el período anterior. Los incidentes denominados “masivos”, que afectan a más de un millón de personas, se multiplican.
Ya no se habla de riesgos abstractos. Cuando una base de datos de un operador o de una mutua se filtra, son nombres, direcciones, números de seguridad social los que circulan en foros especializados. Cada filtración alimenta campañas de phishing personalizadas: el mensaje fraudulento contiene su verdadero nombre, su verdadera dirección, a veces un número de contrato. El filtro anti-spam clásico ya no es suficiente.
También recomendado : Descubre los mejores equipos para optimizar tus proyectos de arquitectura en línea
Frente a esta realidad, se pueden encontrar recursos técnicos actualizados en la sección de seguridad en Tech Mafia, que detalla los mecanismos de ataque comunes y las contramedidas adecuadas.
El reflejo que debe instalarse en todo equipo: verificar sistemáticamente el dominio del remitente antes de hacer clic en un enlace o abrir un archivo adjunto. No el nombre mostrado, sino la dirección técnica completa. En móvil, esto requiere mantener presionada la dirección, un gesto que pocas personas tienen.
Gestor de contraseñas: la única herramienta que perdura en el tiempo
Conocemos la regla: una contraseña única por servicio, larga y compleja. En la práctica, una persona gestiona entre cincuenta y cien cuentas en línea. Sin una herramienta dedicada, se recae en variantes de la misma contraseña, o se almacenan en un archivo de texto.
Un gestor de contraseñas (KeePass, Bitwarden, 1Password) genera y almacena credenciales aleatorias detrás de una única contraseña maestra. La contraseña maestra es la única cadena que hay que memorizar. El resto está cifrado localmente o en una bóveda sincronizada.
Criterios concretos para elegir un gestor
- Cifrado de extremo a extremo: el proveedor no debe poder leer sus contraseñas, incluso en caso de compromiso de sus servidores
- Compatibilidad multi-dispositivos: el gestor debe funcionar en su navegador de escritorio, su teléfono y su tableta sin fricciones
- Auditoría de seguridad publicada: priorice las soluciones cuyo código ha sido auditado por un tercero independiente, con un informe accesible
Las opiniones varían sobre la elección entre solución auto-alojada y solución en la nube. Para un uso personal, una solución en la nube auditada cubre la mayoría de las necesidades. Para una empresa que maneja datos sensibles, el auto-alojamiento ofrece un control total sobre la infraestructura.
Autenticación doble: dónde activarla en prioridad
Activar la autenticación doble (2FA) en todas partes de una vez es la mejor manera de no hacerlo en absoluto. Se comienza por las cuentas cuya compromisión tendría el impacto más grave.
Correo principal, banca en línea, espacio del empleador: estos tres accesos concentran la mayor parte del riesgo. Un atacante que controla su correo electrónico puede restablecer las contraseñas de todos sus otros servicios.
SMS, aplicación, clave física: qué elegir
El código por SMS sigue siendo vulnerable al SIM swapping (suplantación de tarjeta SIM). Una aplicación de autenticación como Google Authenticator o Authy genera códigos localmente, sin pasar por la red móvil. Para los perfiles más expuestos (dirigentes, administradores de sistemas), una clave física FIDO2 bloquea cualquier intento de phishing, incluso sofisticado, ya que verifica el dominio del sitio antes de activarse.
Concretamente, pasar de SMS a una aplicación toma menos de diez minutos por cuenta. La ganancia en protección es significativa.
Copias de seguridad y cifrado de datos sensibles
Cuando un ransomware cifra un disco duro, la pregunta no es si se puede pagar el rescate. La pregunta es: ¿tenemos una copia de seguridad reciente, desconectada de la red y probada?
La regla operativa se resume en tres puntos:
- Una copia local en un disco externo desconectado después de cada copia de seguridad, para resistir a un ransomware que cifra todo lo que está conectado
- Una copia remota (nube cifrada o servidor externo), para cubrir el riesgo de incendio, robo o fallo de hardware
- Una prueba de restauración al menos una vez por trimestre, porque una copia de seguridad que nunca se ha restaurado es una copia de seguridad que no existe
Cifrar los archivos sensibles antes de almacenarlos añade una capa de protección. Herramientas como VeraCrypt permiten crear un volumen cifrado en un disco externo en pocos minutos. Si el disco es robado, los datos permanecen ilegibles sin la clave.
Permisos y actualizaciones: dos ángulos descuidados en el día a día
Instalar una aplicación de linterna que solicita acceso a los contactos, al micrófono y a la geolocalización es una situación común. Cada permiso otorgado es una superficie de ataque potencial.
En Android como en iOS, ahora se pueden otorgar permisos temporales (solo durante el uso) o revocarlos aplicación por aplicación. Una limpieza trimestral de los permisos instalados toma quince minutos y reduce significativamente la exposición.
En cuanto a las actualizaciones, un dispositivo no actualizado es una puerta abierta. Los parches de seguridad cierran vulnerabilidades que se explotan activamente. Activar las actualizaciones automáticas en todos los dispositivos, incluido el enrutador doméstico, elimina el riesgo de olvido.
La protección de los datos en línea se basa menos en el conocimiento de las reglas que en su aplicación regular. Un gestor de contraseñas configurado, una autenticación doble activada en tres cuentas críticas, una copia de seguridad probada: estas tres acciones cubren la mayoría de los escenarios de ataque a los que realmente estamos expuestos.