Protección de cuentas

La mayoría de los apoderamientos de cuentas no son astutos. Una contraseña se filtra de un sitio o se escribe en una página falsa, y alguien (o un programa) la prueba en todos los demás lugares. Proteger una cuenta significa principalmente hacer que ese primer paso falle y asegurarse de que un segundo paso detenga al atacante si el primero no lo logra.

Tres hábitos cubren la mayor parte del riesgo: una contraseña diferente para cada cuenta, una segunda verificación (o una llave de acceso en lugar de la contraseña) y un cuidado especial para tu cuenta de correo electrónico, porque el correo puede restablecer casi todo lo demás. Planifica dedicarle una tarde. Los dos primeros pasos de la lista de acciones a continuación son los más importantes.

Esta página cubre las cuentas personales. No cubre la protección de los sistemas de una empresa, ni es un plan para alguien que se enfrente a un adversario a nivel estatal, quien requiere un enfoque diferente (consulta el modelado de amenazas).

Qué significa la seguridad de las cuentas en la práctica

Toma un caso ficticio pero muy común. En 2019 te unes a un foro de aficionados pequeño usando tu dirección de correo electrónico y la misma contraseña que usas para tu correo. En 2024 sufren una brecha de seguridad en el foro y se vende su lista de usuarios. A continuación, un software prueba automáticamente cada par de correo electrónico y contraseña filtrado en sitios populares. Nadie te eligió a ti en particular; lo hizo un programa automatizado.

Esto se conoce como credential stuffing (relleno de credenciales), y el equipo de seguridad de Microsoft señala la reutilización de contraseñas como el factor que permite que funcione (Microsoft, 2019). Si el programa logra acceder a tu correo electrónico, puede usar la opción “¿olvidó su contraseña?” para alcanzar el resto. El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) lista exactamente eso: un delincuente dentro de tu correo electrónico puede restablecer las contraseñas de tus otras cuentas, leer información privada y suplantar tu identidad (NCSC).

Así pues, proteger una cuenta abarca tres tareas: hacer que la contraseña no tenga valor para cualquiera que la haya encontrado en otro lugar; añadir una segunda verificación que una contraseña filtrada no pueda satisfacer; y asegurarse de que la ruta de recuperación (tu correo electrónico, tu número de teléfono, tus códigos de respaldo) no se pueda utilizar en tu contra.

Cómo se apoderan de las cuentas

Cuatro vías representan la mayor parte de los problemas a los que se enfrenta la gente común:

• Contraseñas reutilizadas: El caso descrito arriba. No requiere destreza y se ejecuta de forma automática.
• Phishing: Un mensaje te dirige a una página de inicio de sesión falsa que recopila tu contraseña y, si lo escribes, también tu código de un solo uso. Las directrices del NIST señalan que el registro de pulsaciones de teclas (keystroke logging), el phishing y la ingeniería social funcionan igual de bien contra contraseñas largas y complejas que contra las cortas (NIST SP 800-63B-4, apéndice A). El informe sobre brechas de datos de Verizon de 2026 señala que las personas caen en señuelos móviles (mensajes de texto, llamadas) con más frecuencia que en el phishing por correo electrónico (Verizon, 2026).
• Apoderamiento del número de teléfono: En un intercambio de SIM (SIM swap), un estafador le dice a tu compañía de telefonía móvil que perdiste tu teléfono y pide que transfieran tu número a una tarjeta SIM que él posee (FTC, 2019). Tus mensajes de texto y llamadas, incluidos los códigos de inicio de sesión, le llegan ahora a él. Google advierte que los códigos enviados por texto o llamada pueden ser vulnerables a ataques basados en el número de teléfono (Ayuda de la cuenta de Google). No hemos encontrado un recuento global fiable sobre los intercambios de SIM, por lo que no podemos precisar su probabilidad. Requiere engañar o sobornar a un empleado de tu operador, lo que lo hace más raro que los ataques de reutilización de contraseñas que funcionan solos, pero es una vía real.
• La ruta de recuperación: Si un atacante puede restablecer tu contraseña a través de una cuenta de correo electrónico débil o mediante preguntas de seguridad con respuestas adivinables, la contraseña segura no habrá servido de nada. El NCSC también señala que a veces los delincuentes configuran una regla de reenvío en una cuenta de correo hackeada para recibir copias de tus mensajes y restablecer otras contraseñas (NCSC).

Un dato de contexto: el informe de Verizon de 2026 reveló, por primera vez en su historia, que la explotación de fallos de software (31% de las brechas) superó a las credenciales robadas como la principal vía de entrada a las organizaciones. Este dato contabiliza brechas en empresas, no cuentas personales, por lo que no refleja exactamente tus probabilidades individuales, pero sirve como recordatorio de que los dispositivos sin parchear también representan una puerta de entrada.

Cómo funciona cada protección

Contraseñas largas y únicas, y un gestor de contraseñas

Las directrices actuales del NIST consideran la longitud como el factor principal de la solidez de una contraseña. Señalan que las reglas de composición (obligación de incluir mayúsculas, dígitos o símbolos) empujan a las personas a elegir patrones predecibles como Password1!. Para una contraseña que es el único factor de inicio de sesión, el NIST exige a los servicios requerir al menos 15 caracteres, aceptar al menos 64, verificar las contraseñas nuevas contra listas de filtraciones y permitir el uso de gestores de contraseñas y la opción de pegar (NIST SP 800-63B-4).

Un gestor de contraseñas genera y almacena una contraseña diferente para cada sitio, por lo que una filtración se queda solo en una filtración. El NCSC describe dos tipos: el gestor integrado en tu navegador o teléfono, y una aplicación de terceros. Su consejo es usar el integrado si la comodidad es lo más importante, y uno de terceros de buena reputación si deseas funciones adicionales, usas muchos tipos de dispositivos o no quieres depender de un solo proveedor (NCSC, 2025). La contrapartida es la concentración: ahora dependes de una sola contraseña maestra y una sola cuenta. El NCSC añade que alguien que acceda a tu computadora portátil desbloqueada puede alcanzar tus contraseñas guardadas, por lo que debes bloquear tus dispositivos y proteger la cuenta del gestor con un segundo paso.

Una segunda verificación

Un segundo paso significa que una contraseña robada por sí sola no es suficiente. Los tipos difieren bastante en lo que detienen (a fecha de octubre de 2026):

Las entradas “No” provienen del NIST, que indica que los métodos en los que escribes o apruebas un valor no son resistentes al phishing porque el valor no está vinculado al sitio real. El NIST también clasifica los códigos enviados a través de la red telefónica como un método “restringido”, lo que significa que los servicios deberían ofrecer una alternativa. La columna del intercambio de SIM refleja nuestro análisis sobre cómo opera cada método: una aplicación de autenticación o una notificación push no dependen de tu número de teléfono, y Google señala que sus notificaciones ayudan a proteger contra intercambios de SIM. Un segundo paso sólido también falla si el servicio permite a alguien omitirlo con un mensaje de texto, por lo que debes comprobar qué permiten tus opciones de recuperación.

La agencia de ciberseguridad de EE. UU. (CISA) califica el estándar FIDO/WebAuthn (la tecnología detrás de las llaves de acceso y las llaves de seguridad) como la forma más sólida de autenticación multifactor (CISA, 2022).

Llaves de acceso (passkeys)

Una llave de acceso reemplaza a la contraseña. Tu dispositivo crea un par de claves criptográficas para cada sitio: el sitio conserva la clave pública, tu dispositivo conserva la clave privada y tú apruebas el inicio de sesión de la misma manera que desbloqueas tu teléfono (huella dactilar, rostro o PIN). La clave privada nunca sale de tu dispositivo en un formato que alguien pueda leer, y solo responde a la dirección del sitio real, por lo que una página falsa no obtiene nada. Una brecha en el sitio no filtra nada que se pueda reutilizar (FIDO Alliance, 2026; NCSC, 2025).

Las llaves de acceso se pueden sincronizar entre tus dispositivos a través de un proveedor (Apple, Google, Microsoft o un gestor de contraseñas) o permanecer en un solo dispositivo, como una llave de seguridad física. La FIDO Alliance, que promueve las llaves de acceso, afirma que la sincronización se cifra de extremo a extremo, y también que las llaves vinculadas al dispositivo en hardware ofrecen la máxima garantía. El inconveniente práctico es que una llave de acceso sincronizada solo es tan segura como la cuenta que la sincroniza. Protege esa cuenta igual que tu correo electrónico.

A fecha de abril de 2026, el NCSC recomienda las llaves de acceso como la primera opción para los usuarios siempre que un servicio las ofrezca, tras informar que son al menos tan seguras como la contraseña más fuerte combinada con un segundo paso. Cuando un servicio no las admite, aconseja usar un gestor de contraseñas junto con la verificación en dos pasos (NCSC, 2026). El NCSC había retenido este consejo un año antes debido a problemas de implementación, por lo que cabe esperar algunos inconvenientes menores al cambiar entre dispositivos o plataformas.

Rutas de recuperación

Los códigos de respaldo son la red de seguridad habitual si pierdes tu teléfono. Google, por ejemplo, te permite imprimir o descargar un conjunto de códigos y guardarlos en un lugar seguro (Ayuda de la cuenta de Google). El NIST exige a los servicios no utilizar preguntas basadas en conocimientos (“nombre de la primera mascota”) para las contraseñas, porque las respuestas son adivinables o fáciles de encontrar; si un servicio te las impone, trata las respuestas como contraseñas adicionales y no respondas con la verdad. El NCSC también recomienda hacer copias de seguridad de tus opciones de recuperación, por ejemplo con claves de recuperación o contactos de confianza.

Frente a qué protege esto y frente a qué no

Realizados en conjunto, estos pasos detienen el ataque más común contra la gente ordinaria: los intentos automatizados usando una contraseña filtrada. Microsoft informó en 2019 que la autenticación multifactor bloquea más del 99,9% de los ataques de apoderamiento de cuentas en sus servicios en la nube. Toma esa cifra como la medición de un proveedor sobre su propio tráfico. Mide más de 300 millones de inicios de sesión fraudulentos al día, en su mayoría ejecutados por bots, por lo que el número refleja más los ataques automatizados que el hecho de que alguien se enfoque directamente en ti.

No detienen:

• Una página de phishing en tiempo real que recopile tu código y lo use de inmediato, a menos que utilices una llave de acceso o una llave de seguridad.
• Malware en tu teléfono o computadora, que puede leer lo que escribes o lo que está guardado.
• Alguien con tu dispositivo desbloqueado o con la contraseña maestra de tu gestor.
• Un operador de telefonía o agente de soporte a quien engañen para restablecer el acceso al atacante.
• Estafas en las que entregas dinero o códigos voluntariamente, como alguien que llama afirmando ser de tu banco o de tu proveedor. Google declara que nunca te llamará para verificar un código.

Una brecha en un servicio que utilices aún puede exponer tu nombre, correo electrónico y otros datos. Usar contraseñas únicas limita el daño a ese único servicio.

Mitos comunes

“Debería cambiar mis contraseñas cada pocos meses.” El NIST indica que los servicios no deben forzar cambios periódicos, y deben exigir uno solo cuando haya pruebas de vulneración. Los cambios forzados y frecuentes suelen generar variaciones predecibles.

“Las contraseñas con símbolos y mayúsculas son más seguras.” La longitud importa más. Las directrices del NIST señalan que las reglas de composición llevan a las personas a patrones que los atacantes ya pueden adivinar. Una frase de contraseña de varias palabras aleatorias, de al menos 15 caracteres, supera a Tr0ub4dor&3.

“Los códigos por mensaje de texto no sirven para nada.” Sí sirven. Detienen la mayoría de los ataques automatizados, y desactivarlos mientras esperas por algo mejor te deja en una posición peor. Actualiza cuando exista una opción más sólida; no descartes lo que ya tienes.

“Poner todas las contraseñas en un solo lugar es arriesgado.” Es una concentración del riesgo, pero la alternativa para la mayoría de las personas es la reutilización, lo cual es peor. La postura del NCSC es que los gestores de contraseñas son mucho más seguros que la memoria, las notas adhesivas o las contraseñas reutilizadas, siempre que elijas uno de buena reputación y lo protejas adecuadamente.

Qué hacer, en orden

1. Protege tu cuenta de correo electrónico primero (unos 15 minutos). Asígnale una contraseña larga que ninguna otra cuenta utilice y añade un segundo paso. Si alguna vez has reutilizado esa contraseña, cámbiala hoy mismo. El correo electrónico es la llave para todos tus demás restablecimientos.
2. Pasa tus contraseñas importantes a un gestor de contraseñas (alrededor de una hora). Comienza por el correo electrónico, la banca y pagos, tu operador de telefonía, tu cuenta de Apple, Google o Microsoft, y tus redes sociales. Deja que el gestor las genere y haz que la contraseña maestra sea una frase de contraseña de varias palabras aleatorias, de al menos 15 caracteres. El gestor integrado en tu teléfono o navegador es un buen punto de partida.
3. Activa un segundo paso, usando el tipo más sólido que ofrezca cada servicio. Prefiere una llave de acceso o llave de seguridad, luego una aplicación de autenticación o notificación de aprobación, y finalmente códigos por texto. En una cuenta de Google, a fecha de octubre de 2026, ve a la página de Seguridad e inicio de sesión de tu cuenta y elige Verificación en 2 pasos. Guarda los códigos de respaldo en un lugar distinto al teléfono que recibe los códigos.
4. Crea llaves de acceso donde los servicios las ofrezcan. Conserva un segundo dispositivo o una llave de seguridad como alternativa de respaldo, y protege la cuenta que las sincroniza.
5. Protege tu número de teléfono. Añade un PIN o código de acceso a la cuenta de tu operador de telefonía, tal como aconseja la FTC. Siempre que puedas elegir, usa una llave de acceso, aplicación o notificación push en lugar de códigos por texto. Nunca le leas un código de inicio de sesión a alguien que te contacte.
6. Comprueba y mantén todo al día. Busca tus direcciones de correo electrónico en Have I Been Pwned, un servicio gratuito de consulta de brechas gestionado por el investigador de seguridad Troy Hunt desde 2013. Cambia cualquier contraseña que aparezca y la de cualquier otra cuenta que la comparta. Activa las actualizaciones automáticas en tus dispositivos y vuelve a revisar tu correo y número de teléfono de recuperación una vez al año.

Si crees que se han apoderado de una cuenta

El consejo del NCSC, en orden:

1. Utiliza el proceso de recuperación de cuentas del proveedor.
2. Si es una cuenta de correo electrónico, revisa sus filtros y reglas de reenvío en busca de algo que no hayas añadido tú.
3. Cambia la contraseña, y cámbiala en cualquier otra cuenta que la comparta.
4. Cierra la sesión de la cuenta en todos los dispositivos y aplicaciones.
5. Configura un segundo paso.
6. Actualiza tus aplicaciones y dispositivos, avisa a tus contactos para que desconfíen de los mensajes recientes y revisa los extractos bancarios.

Si se ha movido dinero, llama a tu banco usando el número que figura en tu tarjeta o en su sitio web oficial. Esta página ofrece información general y no constituye asesoramiento financiero ni legal. Reporta el fraude al servicio nacional correspondiente (el NCSC remite a los usuarios del Reino Unido a Report Fraud; en EE. UU., la FTC remite a las víctimas a IdentityTheft.gov).

Fuentes

• Authenticator and Verifier Requirements y Strength of Passwords (apéndice A), NIST SP 800-63B-4, NIST, 2025: autenticadores, contraseñas
• Use a strong and separate password for your email, NCSC, 2018 (revisado en 2021): enlace
• Hacked accounts, NCSC, consultado en octubre de 2026: enlace
• NCSC: Leave passwords in the past - passkeys are the future, NCSC, 2026: enlace
• Trusting the tech: using password managers and passkeys to help you stay secure online, NCSC, 2025: enlace
• Turn on 2-Step Verification, Ayuda de la cuenta de Google, Google, consultado en octubre de 2026: enlace
• Passkeys, FIDO Alliance, 2026: enlace
• One simple action you can take to prevent 99.9 percent of attacks on your accounts, Blog de seguridad de Microsoft, Microsoft, 2019: enlace
• Implementing Phishing-Resistant MFA, CISA, 2022: enlace
• SIM swap scams: how to protect yourself, FTC, 2019: enlace
• 2026 Data Breach Investigations Report, Verizon, 2026: enlace
• Who, What & Why, Have I Been Pwned, consultado en octubre de 2026: enlace

Páginas relacionadas

• Modelado de amenazas
• Privacidad y seguridad digital