Los consejos sobre privacidad están llenos de ideas que parecen plausibles pero son erróneas, y algunas lo son de formas que le cuestan dinero o seguridad a la gente. Algunas provienen de etiquetas engañosas, como el icono de un candado o una ventana “privada”. Otras surgen del marketing o de viejos consejos que alguna vez fueron sensatos.
Esta página analiza ocho de las creencias más comunes y ofrece lo que demuestran las pruebas en su lugar, incluyendo dónde tiene cada una un grano de verdad. No te dice qué herramienta comprar. Para decidir qué importa en tu caso, consulta el modelado de amenazas. Para conocer a qué es más probable que te enfrentes, consulta las amenazas comunes.
De un vistazo
| Lo que dice la gente | Lo que demuestran las pruebas |
|---|---|
| El modo de incógnito me hace anónimo | Evita que tu navegador guarde el historial en tu dispositivo. Los sitios web y los servicios que usan aún pueden verte |
| Una VPN me hace anónimo y seguro | Una VPN traslada la confianza de tu proveedor de internet a la empresa de la VPN |
| El candado significa que un sitio es seguro | Significa que la conexión está cifrada. Más de la mitad de los sitios de phishing tenían uno en 2019 |
| Las contraseñas seguras necesitan símbolos y cambios periódicos | El NIST señala ahora que la longitud es lo más importante, y que las reglas de complejidad y cambios forzados tienden a generar contraseñas predecibles |
| Los códigos por mensaje de texto no sirven para nada | Bloquearon todos los bots y el 96% del phishing masivo en el estudio de Google |
| Soy demasiado irrelevante para ser un objetivo | La mayoría de los ataques a cuentas son automatizados y no eligen a sus víctimas |
| El código abierto siempre es seguro | El código abierto puede ser subvertido, como mostró el caso xz, y el código cerrado no es más seguro por defecto |
| La privacidad ha muerto | El resultado aún depende de las reglas y de las decisiones que tomemos |
“El modo de incógnito me hace anónimo”
El modo de incógnito cumple una sola función: evita que tu navegador guarde tu historial, cookies, datos de sitios y entradas de formularios en tu dispositivo. Eso ayuda si compartes una computadora. No te oculta de los sitios web que visitas, de los servicios de publicidad y analítica que usan esos sitios, ni de tu red.
La brecha entre el nombre y el comportamiento real terminó en los tribunales. Una demanda colectiva presentada en 2020, Brown v. Google, alegó que Google continuó rastreando a las personas en el modo Incógnito a través de su tecnología publicitaria en sitios de terceros y dejó a los usuarios pensando que tenían más privacidad de la que realmente poseían. En 2024, Google aceptó llegar a un acuerdo. Se comprometió a eliminar o desvincular de identidad miles de millones de registros, mantener el bloqueo de cookies de terceros por defecto en Incógnito durante cinco años y cambiar su pantalla de advertencia para indicar que el modo Incógnito no altera cómo los sitios web y los servicios que utilizan (incluido Google) recopilan datos. El acuerdo no incluyó ningún pago. Google calificó la demanda como carente de fundamento y afirmó que nunca asoció los datos con individuos.
La etiqueta “privado” describe lo que se queda en tu dispositivo. No describe lo que otras partes pueden ver.
“Una VPN me hace anónimo y seguro”
Una red privada virtual (VPN) envía tu tráfico a través de un túnel cifrado hacia el servidor de una empresa. Tu proveedor de internet o el Wi-Fi de una cafetería ven que estás usando una VPN, pero no hacia dónde va tu tráfico. Los sitios web ven la dirección de la VPN en lugar de la tuya. Esas son ventajas reales en algunas situaciones, y la FTC señala el Wi-Fi público como una de ellas.
El inconveniente es que la empresa de la VPN ve ahora lo que antes veía tu proveedor de internet. En 2018, la Comisión Federal de Comercio de EE. UU. (FTC) advirtió que las aplicaciones VPN generalmente no hacen que los usuarios sean completamente anónimos, porque la aplicación traslada la confianza de tu red al proveedor de la VPN. Añadió que los sitios aún pueden saber que usas una VPN y pueden seguir rastreándote mediante cualquier dato que compartas con ellos directamente, como una dirección de correo electrónico introducida en un formulario. El consejo de la FTC fue investigar la aplicación, revisar sus permisos, confirmar que cifra tu tráfico y verificar si comparte información con terceros.
Tampoco puedes verificar por ti mismo la promesa de “sin registros” (no logs) de un proveedor, un punto que Privacy Guides enfatiza en su guía sobre VPNs. Una VPN tampoco evitará que introduzcas una contraseña en un sitio falso. Que una VPN valga la pena depende de la amenaza a la que te enfrentes, y “me hace anónimo” nunca es una buena razón.
“El candado significa que el sitio es seguro”
El candado muestra que la conexión entre tu navegador y el sitio está cifrada mediante HTTPS. No dice nada sobre quién gestiona el sitio ni sobre si son honestos.
Los estafadores de phishing entendieron esto hace años. El Anti-Phishing Working Group (APWG) informó que casi la mitad de los sitios de phishing usaban HTTPS en el tercer trimestre de 2018, y el 58% lo hacía para el primer trimestre de 2019. El grupo culpó a la malinterpretación pública de la etiqueta HTTPS y a las confusas pantallas de los navegadores, y el FBI emitió una advertencia pública en 2019. Los certificados que antes costaban dinero ahora son baratos o gratuitos, y los delincuentes también pueden irrumpir en sitios legítimos y alojar páginas de phishing allí.
No pudimos encontrar una cifra actual del APWG, pero nada sugiere que la proporción haya bajado. Lee el nombre de dominio en la barra de direcciones en lugar de confiar en el icono, y desconfía de cualquier enlace que pida una contraseña o código.
“Las contraseñas seguras necesitan símbolos y cambios periódicos”
Durante años, los servicios exigían una letra mayúscula, un número, un símbolo y una contraseña nueva cada 90 días. El organismo de estándares de EE. UU., el NIST, abandonó ese enfoque. Su guía SP 800-63B-4, finalizada en agosto de 2025, prohíbe las reglas obligatorias de composición, aconseja no forzar cambios periódicos a menos que se sospeche una vulneración, y establece un mínimo de 15 caracteres cuando la contraseña es el único paso de inicio de sesión (8 cuando es parte de un acceso multifactor). También pide a los servicios que acepten contraseñas de al menos 64 caracteres. El razonamiento es que las reglas de complejidad empujan a la gente hacia patrones predecibles, como poner en mayúscula la primera letra y añadir “1!” al final.
El NIST escribe reglas para servicios, no para ti, pero la lógica se traslada igual. Una contraseña larga es más difícil de adivinar que una corta con adornos. El mayor riesgo es la reutilización. En el estudio de Google sobre el secuestro de cuentas, la mayoría de los ataques procedían de bots automatizados que probaban contraseñas filtradas de otros sitios. Una contraseña diferente para cada sitio detiene eso, y la mayoría de las personas necesitan un gestor de contraseñas para conservarlas.
“Los códigos por mensaje de texto no sirven para nada, así que los omitiré”
Los códigos SMS tienen debilidades. Un estafador que se apodere de tu número de teléfono mediante un intercambio de SIM los recibe en tu lugar, y una página de inicio de sesión falsa convincente puede recopilarlos. Algunas personas concluyen que no valen nada.
Los datos de Google dicen lo contrario. En su estudio con la Universidad de Nueva York y la Universidad de California en San Diego, un código SMS enviado a un teléfono de recuperación bloqueó el 100% de los bots automatizados, el 96% de los ataques de phishing masivo y el 76% de los ataques dirigidos. Las solicitudes de confirmación en el dispositivo funcionaron mejor, con un 100%, 99% y 90%, y ningún usuario que dependiera únicamente de llaves de seguridad fue víctima de phishing dirigido. Los datos corresponden a cuentas de Google en 2019.
Por lo tanto, un código de texto es una gran mejora respecto a usar solo una contraseña, especialmente contra los ataques masivos a los que se enfrenta la mayoría de la gente. Si tu cuenta ofrece avisos en la aplicación o una llave de seguridad, esas opciones son más fuertes. La página de amenazas comunes explica el intercambio de SIM y cuándo importan las opciones más sólidas.
“No soy lo suficientemente importante como para ser un objetivo”
Esta creencia asume que los atacantes eligen a sus víctimas. La mayoría no lo hace. Google descubrió que la mayoría de los intentos de secuestro de cuentas procedían de bots automatizados que probaban contraseñas expuestas en otras brechas. Un bot no sabe ni le importa quién eres. Solo necesita que tu contraseña coincida.
Los vendedores de datos tampoco eligen. En una investigación publicada en septiembre de 2026, Dismislab encontró vendedores en Bangladés que ofrecían copias de documentos de identidad nacionales, registros de llamadas y ubicaciones de teléfonos, y a menudo un comprador solo necesitaba un número de teléfono móvil. Ser irrelevante ofrece poca protección cuando las herramientas funcionan a gran escala.
El grano de verdad es que los ataques verdaderamente dirigidos afectan principalmente a personas con enemigos, como periodistas, activistas y ejecutivos. Para todos los demás, el riesgo práctico es ser una cuenta fácil dentro de un grupo muy grande.
“El software de código abierto siempre es seguro”
El software de código abierto es código que cualquiera puede leer, y esa apertura puede facilitar la localización de fallos. Sin embargo, no garantiza que alguien lo haya revisado.
En marzo de 2024, se encontró una puerta trasera en las versiones 5.6.0 y 5.6.1 de xz Utils, una biblioteca de compresión incluida en muchos sistemas Linux. Se registró como CVE-2024-3094 y se le asignó una gravedad de 10 sobre 10. El atacante había pasado unos dos años contribuyendo al proyecto, se ganó el estado de mantenedor y luego ocultó código malicioso en los archivos de lanzamiento. Un ingeniero de Microsoft, Andres Freund, notó que los inicios de sesión por SSH eran más lentos de lo esperado y rastreó el problema antes de que el código llegara a la mayoría de las versiones estables. La Agencia de Ciberseguridad y Seguridad de Infraestructuras de EE. UU. (CISA) emitió una alerta.
El caso funciona en ambos sentidos. El desarrollo abierto permitió a un atacante subvertir un proyecto de confianza, y el escrutinio abierto detectó el ataque. El software de código cerrado tampoco es más seguro por defecto. Los usuarios externos no pueden leerlo, pero se puede auditar y los investigadores aún pueden encontrar fallos mediante ingeniería inversa, como señala Privacy Guides. El tipo de licencia no determina la seguridad. El historial de un producto, su mantenimiento y sus auditorías independientes sí lo hacen.
“La privacidad ha muerto, así que no tiene sentido”
La gente suele decir que es demasiado tarde porque todo se ha filtrado ya. El profesor de derecho Neil Richards sostiene lo contrario: la privacidad no ha muerto, sino que su futuro está por definirse, lo que significa que el resultado depende de reglas y elecciones que aún se están tomando. Los datos de Google citados anteriormente muestran que unos pocos pasos ordinarios detienen la mayoría de los ataques masivos, y los gobiernos continúan aprobando nuevas leyes de protección de datos. En por qué importa la privacidad se expone este argumento con más detalle.
Fuentes
- Google to Purge Stored Incognito Mode Records, GovTech (Tribune News Service), 2024.
- Google is finally deleting your Incognito mode browsing history, well, some of it, Laptop Mag, 2024.
- FTC Provides Tips on Using VPN Apps, Comisión Federal de Comercio de EE. UU., febrero de 2018.
- FTC warning users to do homework before using VPN apps, SC Media, 2018 (citando a la FTC).
- VPN (entrada de glosario), Privacy Guides, consultado en octubre de 2026.
- HTTPS Protocol Now Used in 58% of Phishing Websites, Trend Micro, 2019 (informando sobre datos del APWG).
- Latest APWG Phishing Statistics Show Evolving Attack Techniques, Proofpoint, 2019.
- SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management, Instituto Nacional de Estándares y Tecnología, 2025.
- NIST 800-63B Rev 4: What’s New in Password Security, Enzoic, 2025.
- New research: How effective is basic account hygiene at preventing hijacking, Google Security Blog, 2019.
- FTC Issues Guidance On Protecting Against SIM Swap Attacks, BleepingComputer, informando sobre las directrices de la FTC.
- NID in 17 minutes, location in 16: Report finds Bangladeshis’ personal data sold as commodity, bdnews24.com a través de The Financial Express, 2026 (informe sobre la investigación de Dismislab).
- SSH Backdoor from Compromised XZ Utils Library, InfoQ, 2024.
- Malicious maintainer introduces sophisticated backdoor in xz, CNCF TAG Security, 2024.
- Common Misconceptions, Privacy Guides, 2025.
- Is privacy dead?, entrevista con Neil Richards, Washington University en St. Louis, 2021.