Protección — autodefensa por niveles

Lo que exponen la mayoría de las brechas son pares correo-contraseña. Si reutiliza el mismo par, una fuga se convierte en inicios de sesión no autorizados en todas partes (credential stuffing).

Deje que el gestor genere una contraseña fuerte y única por servicio; memorice solo la frase de paso del gestor. Incluso el gestor integrado del navegador es eficaz.

Aunque filtre la contraseña, un segundo factor —app de autenticación o llave de hardware— bloquea casi todas las usurpaciones. Las apps (Google Authenticator, etc.) y FIDO2/passkeys son más seguras que los códigos SMS.

Actívela primero en las cuentas más importantes (correo, banca, redes). El correo es el «último bastión» que recibe los restablecimientos de todo lo demás: empiece por ahí.

La mayoría de los ataques explota vulnerabilidades conocidas. Actualizar automáticamente el sistema, el navegador y las apps mantiene tapados los agujeros conocidos.

Tras una brecha, el phishing se disfraza de aviso «cambie su contraseña». Nunca inicie sesión desde enlaces de correo o SMS: abra usted mismo el sitio o la app oficial.

Las urgencias («en 24 horas…») y confiar solo en el remitente visible son errores. Ante la duda, contacte con el soporte oficial de la empresa.

Have I Been Pwned le dice si su correo apareció en brechas pasadas. Para incidentes japoneses, busque en la base de datos de este sitio por empresa y tipo de dato.

Priorice cambiar la contraseña del servicio afectado y de todos donde la reutilizara.

Separar direcciones para inicios de sesión, recepción y registros desechables limita el alcance de cualquier fuga y facilita identificar qué servicio filtró.

«Ocultar mi correo» de iCloud o servicios de alias como SimpleLogin permiten registrar una dirección distinta por servicio.

FIDO2/passkeys resiste el phishing: es la forma más fuerte, al eliminar la contraseña. Actívelas dondequiera que se ofrezcan.

Para las cuentas más codiciadas (correo principal, redes, banca), registre como respaldo una llave de hardware tipo YubiKey: un cambio de móvil o una pérdida no le dejarán fuera.

Prefiera tarjetas virtuales (con límites y comercios restringidos), pago en tienda de conveniencia o cargo al operador antes que dar el número real en tiendas online.

Si se divulga una filtración de datos de tarjetas, contacte con el emisor para valorar la reemisión y active alertas de movimientos.

Tras activar la MFA, guarde los códigos de respaldo en un lugar seguro (gestor de contraseñas o papel en una caja fuerte). Un correo o teléfono de recuperación obsoletos impiden recuperarla cuenta cuando importa.

Los registros dormidos son inventario de futuras fugas. Borre lo que pueda; en los servicios de los que no pueda salir, cambie el correo a una dirección desechable.

No maximice todo: ajuste los controles a los activos a proteger (dinero, reputación, privacidad) y al adversario real (automatización indistinta frente a ataque dirigido). La Small Business Guide del NCSC ofrece un marco aplicable a particulares.

Un DNS filtrante como NextDNS o Quad9 bloquea por dispositivo las conexiones a dominios maliciosos y de phishing — y sirve para los aparatos de toda la familia.

Mantenga el correo principal y la banca en una dirección y un perfil de navegador (o dispositivo) dedicados, jamás usados para registros cotidianos. Si el lado cotidiano se contamina, el crítico queda fuera de alcance.

Con HTTPS generalizado, espiar en Wi-Fi público es menos riesgo que antes. Priorice no saltar las advertencias de certificado y no hacer operaciones financieras en redes públicas. La VPN sigue teniendo sentido para restricciones geográficas o cifrado del enlace.

3 copias, 2 soportes, 1 fuera de casa. Recuperarse de un ransomware o un borrado accidental es más rápido con copias propias que con seguros o proveedores.