En 2024, el número de violaciones de datos personales notificadas a la CNIL ha aumentado significativamente en comparación con el año anterior. El número de violaciones que afectan a más de un millón de personas se ha duplicado en el mismo período. La plataforma Cybermalveillance.gouv.fr ha recibido más de 400,000 solicitudes de asistencia, de las cuales el 94 % provienen de particulares. Estas cifras dibujan un contexto en el que la protección digital individual ya no es un tema reservado para empresas o administraciones.
Phishing y soporte técnico falso: anatomía de los ataques que apuntan a particulares
El phishing representa por sí solo más de un tercio de los informes en Cybermalveillance.gouv.fr. El mecanismo se ha mantenido estable durante varios años: un correo electrónico o un SMS imita una entidad de confianza (banco, servicio de entrega, administración fiscal) para incitar a la víctima a proporcionar sus credenciales o datos bancarios. Lo que evoluciona es la calidad de los señuelos. Los mensajes contienen cada vez menos errores ortográficos, y las páginas de destino reproducen fielmente las interfaces oficiales.
El soporte técnico falso se encuentra entre las tres principales amenazas que enfrentan los particulares en Francia. El escenario típico: una ventana aparece en la pantalla, simulando una alerta del sistema, y un número de teléfono invita a contactar a un supuesto técnico. Este último solicita acceso remoto a la computadora, luego factura una intervención ficticia o instala un software malicioso.
Estos dos tipos de ataques explotan el mismo palanca: la confianza visual. Un logo oficial, un diseño cuidado o un tono alarmista son suficientes para eludir la vigilancia. Reconocer este mecanismo constituye la primera línea de defensa, mucho antes que cualquier herramienta de software. Recursos como los propuestos en cyberspass.fr permiten familiarizarse con estos esquemas de ataque y identificarlos mejor en el día a día.
Gestor de contraseñas y doble autenticación: los puntos de fricción concretos
La mayoría de las guías recomiendan utilizar contraseñas largas, complejas y diferentes para cada servicio. El consejo es correcto. El problema es que es inaplicable sin una herramienta dedicada. Un usuario promedio gestiona varias decenas de cuentas en línea. Memorizar tantas combinaciones únicas es un verdadero desafío mnésico.
Un gestor de contraseñas (KeePass, Bitwarden, o el integrado en el navegador) almacena y genera estas combinaciones. Una sola contraseña maestra protege todo el cofre. La ganancia en seguridad es significativa, siempre que esta contraseña maestra sea robusta y nunca se reutilice en otro lugar.
La doble autenticación (2FA) añade una capa adicional. Incluso si una contraseña se ve comprometida, el acceso a la cuenta requiere un segundo factor: código temporal a través de una aplicación, llave física USB o notificación en el teléfono. La adopción por parte de los particulares sigue siendo limitada debido a interfaces de activación que a veces están ocultas en los ajustes. Algunos servicios solo ofrecen 2FA a través de SMS, un canal vulnerable a la interceptación (SIM swapping).
- Priorizar una aplicación de autenticación (tipo FreeOTP, Google Authenticator) en lugar de SMS para la recepción de códigos temporales.
- Activar la 2FA como prioridad en el correo principal, ya que sirve como punto de recuperación para casi todas las demás cuentas.
- Verificar que el gestor de contraseñas esté protegido por la doble autenticación, para evitar que una sola falla comprometa todo.
Actualizaciones de software y copias de seguridad: dos ángulos muertos recurrentes
Las actualizaciones no solo sirven para añadir funcionalidades. Corrigen vulnerabilidades de seguridad identificadas, a veces ya explotadas por atacantes. Posponer una actualización equivale a dejar abierta una puerta documentada públicamente. Los sistemas operativos, navegadores y aplicaciones móviles publican parches a intervalos regulares, y cada día de retraso amplía la ventana de exposición.
Activar las actualizaciones automáticas en todos los dispositivos (computadora, teléfono, tableta, objetos conectados) reduce este riesgo sin esfuerzo. Para los programas que no ofrecen esta opción, un control mensual es suficiente en la mayoría de los casos.
La copia de seguridad de datos sigue siendo el otro ángulo muerto. En caso de ransomware, robo o fallo de hardware, los archivos no respaldados se pierden. Una copia de seguridad regular en un soporte externo no conectado permanentemente limita considerablemente el impacto de un incidente. El principio “3-2-1” (tres copias, dos soportes diferentes, una copia fuera del sitio) ofrece un marco simple de recordar.
Datos personales en redes sociales: el eslabón que las herramientas no cubren
Ningún antivirus protege contra una información publicada voluntariamente. Fecha de nacimiento, nombre de la mascota, lugar de vacaciones en tiempo real: estos elementos, compartidos en redes sociales, a menudo sirven como respuestas a preguntas de seguridad o facilitan ataques de ingeniería social dirigidos.
Reducir la exposición pasa por algunos ajustes concretos:
- Restringir la visibilidad del perfil a los contactos confirmados en lugar de al público.
- Eliminar la información personal que pueda ser utilizada como pistas para contraseñas (fecha de nacimiento, apellido de soltera, ciudad natal).
- Desactivar la geolocalización automática de las publicaciones, que informa en tiempo real sobre los desplazamientos.
- Auditar las aplicaciones de terceros conectadas a la cuenta y revocar las que ya no se utilizan.
Estos ajustes solo requieren unos minutos por plataforma. El riesgo principal no es técnico sino conductual: publicar menos, o publicar con retraso, modifica radicalmente la superficie de ataque ofrecida a un actor malicioso.
La ciberseguridad en el día a día se basa menos en la acumulación de herramientas que en un puñado de prácticas aplicadas con constancia. Un gestor de contraseñas, la doble autenticación en cuentas críticas, actualizaciones automáticas y copias de seguridad regulares cubren la gran mayoría de los riesgos a los que se enfrenta un particular. El resto es cuestión de atención a lo que se hace clic, a lo que se publica y a lo que se pospone para mañana.