La mayoría de las personas se enfrentan a la misma pequeña lista de amenazas digitales: contraseñas robadas en la filtración de un tercero, estafas, empresas que recopilan y revenden datos, y registros sobre ti que se filtran desde bases de datos que no controlas. Algunas otras son más raras pero más graves, como que una pareja espíe tu teléfono o que un atacante te haya elegido a ti específicamente.
Esta página describe cada una, indica a quién afecta, qué tan común es y qué cuesta cuando algo sale mal. Úsala junto con el modelado de amenazas. El modelo pregunta cuáles de estas se aplican a ti, y esta página aporta las pruebas para responder.
Las cifras provienen de las instituciones y entidades que las publican, las cuales tienden a enfocarse en Estados Unidos y en empresas que venden productos de seguridad. Cuando las usamos lo indicamos, y cuando no pudimos encontrar números globales también lo señalamos.
De un vistazo
| Amenaza | A quién afecta | Qué tan común | Peor escenario |
|---|---|---|---|
| Ataques automatizados a cuentas (contraseñas robadas, phishing masivo) | Casi cualquier persona en línea | Muy común | Cuentas perdidas, dinero robado |
| Estafas y suplantación de identidad | Casi cualquier persona | Muy común | Grandes pérdidas financieras |
| Apoderamiento del número de teléfono (SIM swap) | Personas cuyo número protege sus cuentas | Poco común | Apoderamiento de cuentas, cuentas bancarias vaciadas |
| Espionaje por parte de alguien cercano | Personas en relaciones de control o abuso | Difícil de medir | Pérdida de seguridad física |
| Ataques dirigidos | Periodistas, activistas, ejecutivos, personas en conflictos graves | Raro | Fuentes expuestas, riesgos de seguridad física |
| Rastreo por empresas y corredores de datos | Casi todo el mundo | Casi universal | Perfilado, exposición de lugares sensibles |
| Registros filtrados o vendidos | Casi todo el mundo | Común | Fraude de identidad, estafas personalizadas |
| Vigilancia masiva | Depende de tu país | Varía | Pérdida de comunicaciones privadas |
La columna “qué tan común” es nuestra lectura de las pruebas a continuación. No es una probabilidad calculada de forma exacta para ti.
Ataques automatizados a tus cuentas
La mayoría de los apoderamientos de cuentas no son personales. En un estudio de un año de duración realizado con la Universidad de Nueva York y la Universidad de California en San Diego, Google descubrió que la mayoría de los intentos de secuestrar cuentas procedían de bots automatizados que utilizaban contraseñas expuestas en filtraciones de otros sitios. El phishing y los ataques dirigidos estuvieron presentes, pero fueron menos comunes. Los bots prueban los mismos pares de correo electrónico y contraseña robados en todas partes, una técnica llamada credential stuffing (relleno de credenciales). Funciona porque la gente reutiliza las contraseñas. En la encuesta de NordPass de 2025, el 62% de los estadounidenses dijo que a menudo o siempre reutiliza una contraseña. NordPass vende gestores de contraseñas, por lo que se debe tomar esa cifra como indicativa.
El mismo patrón aparece en las brechas de seguridad de las empresas. El Informe de Investigaciones de Brechas de Datos 2025 de Verizon reveló que las credenciales robadas fueron la vía de entrada más común, representando el 22% de las brechas, por delante del phishing con el 16%. Una acción humana como hacer clic, un error o el uso indebido de credenciales desempeñó un papel en aproximadamente el 60%. Esas son brechas de organizaciones, no de cuentas personales, pero muestran el mismo punto débil.
El phishing es la otra ruta cotidiana. Un mensaje o sitio web imita a uno de tu confianza para lograr que entregues una contraseña o un código. Fue el tipo de delito más denunciado ante el Centro de Denuncias de Delitos en Internet (IC3) del FBI en 2025, con 191.561 denuncias.
Los datos de Google también muestran cuánto ayuda un segundo paso básico contra los ataques masivos. Un código SMS enviado a un teléfono de recuperación bloqueó todos los bots automatizados y el 96% del phishing masivo. Las solicitudes de confirmación en el dispositivo bloquearon el 100% y el 99%. Una contraseña única para cada sitio detiene el credential stuffing, porque una contraseña filtrada no abre nada más. Ese es nuestro razonamiento, no el del estudio.
Estafas
El fraude, y no el hacking, representa la mayor parte del dinero perdido en línea. El IC3 registró 1.008.597 denuncias en 2025, con pérdidas reportadas de unos 20.900 millones de dólares, un 26% más que en 2024. Atribuye unos 17.700 millones de dólares de esa cifra al fraude cibernético, aproximadamente el 85% según nuestros cálculos. El phishing atrajo la mayor cantidad de denuncias, pero el fraude de inversión causó las mayores pérdidas, con unos 8.600 millones de dólares, seguido por el compromiso del correo electrónico empresarial con unos 3.000 millones de dólares.
La Comisión Federal de Comercio de EE. UU. (FTC) ve un panorama similar. Reportó 15.900 millones de dólares en pérdidas por fraude en 2025, siendo las estafas de suplantadores el tipo más reportado y las estafas de inversión las más costosas. Las dos agencias cuentan de manera diferente, así que no se deben sumar sus cifras. Ambas son cifras de EE. UU. elaboradas a partir de informes que las personas decidieron presentar. Un funcionario de la FTC declaró ante el Congreso que las pérdidas reportadas son solo una fracción del total real.
No pudimos encontrar un total global comparable. Existen cifras regionales. El Banco de Bangladés contabilizó 81.423 casos de fraude en servicios financieros móviles, cheques y tarjetas en 2025, con pérdidas de 926,01 millones de takas, la mayor parte en servicios financieros móviles.
Las estafas se conectan con la privacidad de una manera directa. Alguien que llama y conoce tu nombre, tu banco o tus compras recientes suena creíble. Un informe del Daily Observer sobre el fraude con contraseñas de un solo uso (OTP) en Bangladés señala que los estafadores suelen empezar recopilando alguna información personal sobre su objetivo. El dinero generalmente se obtiene persuadiendo a alguien, no rompiendo un sistema. Ninguna configuración del dispositivo puede detener eso por sí sola.
Apoderamiento del número de teléfono
Un intercambio de SIM (SIM swap) ocurre cuando un estafador convence a tu proveedor de telefonía móvil para trasladar tu número a una tarjeta SIM que él controla. A partir de ese momento recibe tus llamadas y códigos de texto, lo que le permite restablecer contraseñas y aprobar inicios de sesión que dependen de tu número. La FTC lo enumera como una forma de eludir la verificación por mensaje de texto y apoderarse de cuentas bancarias, de correo electrónico y de redes sociales.
Es más raro que el phishing, pero cada caso puede ser muy costoso. El IC3 del FBI recibió 1.611 denuncias de intercambio de SIM en 2021, con pérdidas superiores a los 68 millones de dólares. En 2023, la Comisión Federal de Comunicaciones de EE. UU. (FCC) aprobó normas que exigen a las compañías telefónicas autenticar a los clientes antes de trasladar un número a un nuevo dispositivo o proveedor. No pudimos encontrar una visión general global sobre cómo los operadores en otros lugares verifican estas solicitudes. El punto práctico es que un número de teléfono que custodia tus cuentas solo es tan seguro como las comprobaciones de identidad de tu operador.
Alguien cercano a ti
No todas las amenazas vienen de un desconocido. El stalkerware es un software que permite a alguien vigilar en secreto el teléfono de otra persona. La Coalition Against Stalkerware fue fundada en 2019 por empresas de seguridad, organizaciones contra la violencia doméstica y la Electronic Frontier Foundation (EFF). Define el stalkerware como un software que permite a un usuario remoto vigilar un dispositivo sin el consentimiento del propietario y sin un aviso claro y persistente, de forma que puede facilitar la vigilancia, el acoso, el abuso o el acecho por parte de la pareja.
Los investigadores lo describen como parte del abuso doméstico, no simplemente como otro tipo de malware, lo que significa que los consejos habituales sobre malware no se aplican automáticamente. Por esa razón, el primer paso en esta situación es la seguridad personal, no el software. Si crees que alguien está vigilando tu dispositivo y podrías estar en peligro, la Coalición recomienda ponerte en contacto con una organización local de asistencia a víctimas o con las fuerzas del orden para tomar medidas de seguridad. Esta es información general, no asesoramiento profesional.
La EFF también señala una versión más silenciosa de la misma amenaza: las personas de confianza pueden exponerte accidentalmente al ser descuidadas con su propia seguridad.
No pudimos encontrar una cifra fiable de cuántas personas están afectadas, por lo que la tabla indica “difícil de medir” en lugar de hacer una suposición.
Ataques dirigidos
Un ataque dirigido va enfocado hacia ti en lugar de hacia todo el mundo. El atacante investiga sobre ti, escribe un mensaje convincente y puede utilizar detalles recopilados de filtraciones. El estudio de Google calificó los ataques dirigidos como más perniciosos que los bots o el phishing masivo, y sus números muestran por qué. Un código SMS detuvo el 76% de los ataques dirigidos, en comparación con el 96% a 100% de los masivos. Las solicitudes de confirmación en el dispositivo detuvieron el 90%. Ningún usuario que dependiera únicamente de llaves de seguridad fue víctima de phishing dirigido durante el estudio. Esos datos corresponden a cuentas de Google en 2019, así que tómalo como un patrón, no como una garantía.
La mayoría de la gente nunca se enfrentará a uno. Quienes atraen la atención tienen más probabilidades de sufrirlos, como periodistas, activistas y ejecutivos, al igual que las personas en un conflicto grave con alguien determinado. Si ese es tu caso, una lista de comprobación estándar es solo un punto de partida, no la meta.
Empresas, corredores de datos y registros filtrados
Las empresas recopilan datos sobre ti por defecto y algunas los revenden. La FTC ha alegado que tres corredores de datos vendieron datos de ubicación recopilados a través de aplicaciones telefónicas que revelaban visitas a lugares como clínicas de salud y centros de culto. Señaló que esta práctica exponía a las personas al estigma, la discriminación y la violencia. En un caso independiente contra otro corredor, Kochava, la FTC dijo que las personas a menudo no son conscientes de que sus datos de ubicación se compran y se venden, y no tienen control sobre ello.
Un mensaje o correo electrónico que almacenas con un proveedor permanece en sus servidores. El proveedor, o cualquiera que irrumpa en ellos, puede leerlo a menos que esté cifrado de extremo a extremo. Incluso en ese caso, el proveedor suele poder ver los metadatos, como con quién te comunicas y cuándo.
Los registros en manos de terceros también se filtran o se venden. El IC3 recibió 67.456 denuncias de brechas de datos personales en 2025, el cuarto tipo más común por volumen. En septiembre de 2026, investigadores bangladesíes de Dismislab informaron haber comprado copias de documentos de identidad nacionales, registros de llamadas y la ubicación de teléfonos a vendedores que se anunciaban en Facebook y Telegram, y los datos resultaron ser auténticos. Una copia de un documento de identidad costó 500 takas en una prueba y llegó en 17 minutos. Sumon Ahmed Sabir, un ejecutivo tecnológico citado en el informe, dijo que esos datos pueden usarse para suplantar la identidad de personas y abrir cuentas a su nombre.
Tienes poco control sobre las bases de datos que poseen otras personas. Por eso son importantes las normas de privacidad, un asunto que aborda la página Por qué importa la privacidad.
Gobiernos y vigilancia masiva
Algunos gobiernos, y las empresas que trabajan con ellos, vigilan las comunicaciones y los movimientos a gran escala. El artículo 12 de la Declaración Universal de Derechos Humanos establece que nadie debe sufrir injerencias arbitrarias en su privacidad o correspondencia, pero la ley y la práctica varían enormemente según el país. El caso documentado más conocido es el programa de registros telefónicos de la Agencia de Seguridad Nacional (NSA) de EE. UU., revelado por Edward Snowden en 2013. La ACLU señala que las autoridades admitieron más tarde que la NSA había recopilado durante años registros de prácticamente todas las llamadas telefónicas de los estadounidenses.
Si esta amenaza te afecta o no depende en gran medida de dónde vivas y a qué te dediques. No profundizamos más aquí porque la respuesta adecuada depende de tu país.
Lo que esta página deja fuera
Esta página no cubre la censura, los ataques a la cadena de suministro de software, el ransomware contra organizaciones, el robo o pérdida de un dispositivo, ni las amenazas a los niños en línea. Cada uno de estos temas afecta gravemente a algunos lectores y necesita su propia página.
Fuentes
- Your Security Plan, Electronic Frontier Foundation, última revisión en octubre de 2023.
- New research: How effective is basic account hygiene at preventing hijacking, Google Security Blog, 2019.
- 2025 Data Breach Investigations Report, Verizon, 2025.
- Stop reusing passwords, NordPass, 2025.
- 2025 Internet Crime Report, FBI Internet Crime Complaint Center, 2026.
- Cybercrime losses break the $20 billion mark, Help Net Security, 2026.
- FBI releases annual internet crime complaint report, HCC, 2026.
- 2025 Losses to Cybercrime Exceeded $20 Billion, HIPAA Journal, 2026.
- Americans lost a record $15.9 billion to scams in 2025, FTC says, Detroit Free Press a través de AOL, 2026.
- Consumer Fraud Losses Quintupled Since 2020, FTC Says, PYMNTS, 2026.
- Fraudsters gobble up Tk 926m in 2025, The Financial Express, 2026 (citando datos del Banco de Bangladés).
- OTP fraudsters increasingly adopt sophisticated tactics, The Daily Observer, 31 de agosto de 2026.
- FTC Issues Guidance On Protecting Against SIM Swap Attacks, BleepingComputer, informando sobre las directrices de la FTC.
- SIM swapping is a real scam, and the FCC is cracking down, VERIFY, 2023.
- FCC adopts new rules for wireless providers to rein in SIM swapping, The Record, 2023.
- Coalition Against Stalkerware: Organizations working against domestic violence join forces with IT security companies, nota de prensa de Malwarebytes, 2019.
- The National Network to End Domestic Violence joins launch of Coalition Against Stalkerware, NNEDV, 2019.
- What is Stalkerware and What Can You Do to Stay Safe?, Bitdefender, 2025 (citando la definición de la Coalición).
- Stalkerware: when abuse follows you to your devices, M3AAWG, descripción del seminario web.
- US: FTC acts to limit sale of location data by data brokers, Posteo, 2024.
- FTC Suing Data Broker for Selling Off Location Data of US Citizens, Tech.co, 2022.
- NID in 17 minutes, location in 16: Report finds Bangladeshis’ personal data sold as commodity, bdnews24.com a través de The Financial Express, 2026 (informe sobre la investigación de Dismislab).
- Declaración Universal de Derechos Humanos, Naciones Unidas, 1948.
- Common Threats, Privacy Guides, 2025 (el resumen de la ACLU sobre el programa de registros de la NSA tal como se cita allí).