Ciberseguridad para principiantes: protégete en una tarde
El 29 de octubre de 2026 salieron unos 6300 millones de dólares de los hot wallets de Binance en pocas horas, el mayor robo de cripto registrado. Según la primera versión del exchange, nadie rompió la blockchain: los atacantes tomaron el portátil de trabajo de un ingeniero y desde ahí llegaron al servicio que envía los retiros. Los grandes hackeos empiezan por las personas y sus dispositivos, y los pequeños también. La buena noticia: la protección básica frena casi todos los ataques contra gente normal y cabe en una tarde. Este es el orden.
Curso gratis sobre este temaCiberseguridad desde cero: curso gratisEmpezar el curso →
Paso 1: entiende por qué eres un objetivo
La mayoría de los ataques son masivos, no personales. Se filtra la base de datos de una web, los bots prueban esos pares de correo y contraseña en todas partes, y donde la contraseña coincide, entran. Los atacantes usan tres puertas: tu cuenta (contraseña adivinada o robada, código SMS interceptado), tu dispositivo (malware, robo, móvil sin bloqueo) y tú (te convencen de dar un código o instalar un programa).
"No tengo nada que robar" es un mito: una cuenta robada se usa para pedir dinero a tus amigos en tu nombre. Empieza por las tres llaves de todo: tu correo, tu número de teléfono y tu dispositivo principal. Lección: Cómo un portátil costó 6300 millones
Paso 2: una contraseña distinta por sitio, y gana la longitud
Cuando se filtra un sitio, los bots prueban la misma contraseña en el correo, el banco y el exchange. Se llama credential stuffing, y una contraseña repetida abre todas las puertas. "Dan2004!" parece compleja, pero los bots prueban primero nombres y años. Seis palabras al azar de una lista de 7776 dan unas 2·10²³ combinaciones: fácil de recordar, imposible de adivinar. Elige las palabras con un generador, no con tu cabeza.
El NIST, el instituto de normas de EE. UU., dice que la longitud gana a la "complejidad", que una contraseña que protege sola debe tener al menos 15 caracteres y que no hace falta cambiarlas periódicamente salvo que haya señales de filtración. Revisa tu correo en Have I Been Pwned: si aparece en una filtración, cambia esa contraseña en todos los sitios donde la repetías. Lección: Contraseñas que nadie adivina
Paso 3: deja que un gestor las recuerde
No puedes recordar 100 contraseñas distintas, ni lo necesitas. Un gestor de contraseñas guarda una contraseña aleatoria de más de 20 caracteres para cada sitio en una bóveda cifrada, y tú recuerdas una sola frase maestra larga. Hay opciones integradas, como Contraseñas de Apple y el Gestor de contraseñas de Google, y otras independientes, como Bitwarden, 1Password y Proton Pass.
Extra: detecta el phishing. El gestor vincula cada contraseña a la dirección exacta, así que en un sitio clonado se queda callado. Si no te ofrece la contraseña en un sitio "conocido", para y revisa la dirección. Pasa primero las del correo, el banco y el exchange, y el resto en tu próximo inicio de sesión. Lección: Gestor de contraseñas: recordar solo una
Paso 4: activa la 2FA, mejor una passkey
En un estudio de Google de 2019, contra ataques dirigidos el código SMS frenó el 76% de los intentos, la confirmación en el dispositivo el 90% y una llave de seguridad el 100%. El SMS es el escalón más débil: en enero de 2024 unos estafadores convencieron a un operador de pasar el número de la SEC de EE. UU. a su SIM y secuestraron su cuenta de X. Una app de autenticación es mejor. Una passkey es lo mejor: está vinculada a la dirección exacta del sitio y en una copia falsa simplemente no funciona. Guarda los códigos de respaldo en papel, en casa. Lección: 2FA: del SMS a las passkeys
Paso 5: blinda tu correo y tu número
Casi todos los enlaces de "¿Olvidaste tu contraseña?" llegan a tu correo, así que quien lo controla entra casi en cualquier sitio. Haz una revisión de 10 minutos: contraseña única más passkey o app de autenticación, correo y teléfono de recuperación tuyos, ninguna regla de reenvío o filtro que no hayas creado, y cierra sesión en los dispositivos desconocidos.
Protege tu número del SIM swapping: pide a tu operador un PIN de portabilidad o un bloqueo de cambios de SIM (suele llamarse Number Lock o SIM Protection) y pon un PIN a la propia SIM. Si te quedas sin señal sin motivo, llama al operador desde otro teléfono enseguida. Lección: Correo y número: las llaves maestras
Paso 6: actualiza, no "recordar mañana"
Microsoft corrigió un fallo de Windows el 14 de marzo de 2017. El 12 de mayo el ransomware WannaCry usó ese mismo fallo para infectar más de 200 000 ordenadores en 150 países. Ese mismo año Equifax perdió los datos de 147 millones de personas por un fallo que ya tenía parche. Activa las actualizaciones automáticas en el móvil, el portátil, el navegador y las apps del banco, y no guardes apps de dinero en un dispositivo que ya no recibe actualizaciones de seguridad. Lección: Actualizaciones: el superpoder aburrido
Paso 7: protege tu móvil del robo
El esquema más feo: un ladrón ve cómo tecleas tu código de desbloqueo, luego roba el móvil y restablece tus cuentas. Usa seis cifras o más (cuatro son solo 10 000 combinaciones), tapa la pantalla al teclear y activa la Protección de dispositivo robado en iPhone o la protección antirrobo en Android. Oculta las vistas previas de mensajes en la pantalla bloqueada para que no se vean los códigos e instala apps solo desde App Store y Google Play. Lección: El móvil: bloqueo, robo y apps
Paso 8: detecta el phishing y el soporte falso
Lee la dirección de derecha a izquierda hasta la primera "/": en binance.com.login-check.io el dueño es login-check.io. Mejor aún, un solo hábito: nunca sigas enlaces de correos o mensajes hacia donde inicias sesión o pagas; abre tú la app o tu marcador. Lección: Phishing: cómo no picar
El soporte real nunca te pide un código, tu contraseña ni tu frase semilla, nunca te pide instalar apps de acceso remoto como AnyDesk y nunca te dice que pases dinero "a una cuenta protegida". Si oyes una de estas cosas, cuelga. Lección: Soporte falso
Paso 9: ten un plan si te hackean
El orden gana a la velocidad. Usa un dispositivo limpio, bloquea la cuenta afectada (en un exchange, desde los ajustes de seguridad o el soporte de la app), cambia la contraseña del correo y cierra sesión en todas partes. Ignora a los "expertos en recuperar cripto" que aparecen cuando lo publicas: el FBI ha advertido de estos esquemas con pago por adelantado. Denuncia ante el exchange y la policía: a veces se pueden congelar los fondos robados. Lección: Tu plan si te hackean
Preguntas frecuentes
¿Por dónde empieza un principiante en ciberseguridad?
Por tus propias cuentas: una contraseña única por sitio en un gestor de contraseñas, 2FA (una passkey si se puede) en el correo, el banco y el exchange, y actualizaciones automáticas. Eso cierra las puertas que usan la mayoría de los ataques y lleva más o menos una tarde.
¿Cuál es el consejo de ciberseguridad más importante?
Protege primero tu correo. Desde él se restablecen las contraseñas de todo lo demás, así que dale una contraseña única, una passkey o app de autenticación, y revisa que no haya reglas de reenvío que no creaste.
¿Es segura la verificación en dos pasos por SMS?
Es mucho mejor que nada, pero es la opción más débil: pueden robarte el número con un SIM swapping y los códigos llegan al estafador. Usa una app de autenticación o una passkey siempre que el servicio lo permita.
Curso gratis sobre este temaCiberseguridad desde cero: curso gratisEmpezar el curso →