Proteger tu correo electrónico: la cuenta que más atacan

Por qué tu cuenta de correo es la cuenta más importante que tienes

Tu dirección de correo está vinculada a prácticamente todas las demás cuentas en línea que tienes. ¿Restablecer la contraseña de tu banco? Llega a tu correo. ¿Recuperar tu cuenta de redes sociales? Al correo. ¿Desbloquear tu almacenamiento en la nube? Al correo.

Esto significa que quien controla tu correo controla todo lo demás. Un delincuente que logre acceder a tu bandeja de entrada puede restablecer la contraseña de cada cuenta vinculada a esa dirección, dejándote fuera mientras se apropia de tu identidad digital.

Sin embargo, la mayoría de la gente trata su cuenta de correo con el mismo nivel de seguridad que su cuenta de pedidos de pizza. Eso tiene que cambiar.

Usa una contraseña fuerte y única

La contraseña de tu correo debe ser:

• De al menos 16 caracteres: cuanto más larga, mejor
• Única: no usada en ningún otro sitio, jamás
• Generada aleatoriamente: no basada en palabras, nombres o fechas

Usa un gestor de contraseñas para generarla y guardarla. Si puedes recordar la contraseña de tu correo, probablemente no sea lo bastante fuerte.

Nunca escribas la contraseña de tu correo en ningún sitio o ventana que no empiece por la URL oficial de tu proveedor de correo. Las páginas de phishing están diseñadas para parecer idénticas a las páginas de inicio de sesión de Gmail, Outlook o Yahoo.

Activa la autenticación de dos factores, ahora mismo

La autenticación de dos factores (2FA) no es negociable para el correo. Aunque alguien robe tu contraseña, no podrá acceder a tu cuenta sin el segundo factor.

Configúrala hoy:

1. Ve a los ajustes de seguridad de tu proveedor de correo
2. Busca "Verificación en dos pasos" o "Autenticación de dos factores"
3. Actívala y elige el método de tu segundo factor

Las aplicaciones de autenticación (Google Authenticator, Authy o las integradas en la mayoría de los gestores de contraseñas) son mucho más seguras que los códigos por SMS. La 2FA por SMS puede vencerse mediante el SIM swapping: un ataque de ingeniería social en el que un delincuente convence a tu operadora para que transfiera tu número de teléfono a su tarjeta SIM.

Si tu proveedor admite llaves de seguridad de hardware (como una YubiKey), es la opción más fuerte disponible y completamente inmune al phishing.

Reconoce los ataques basados en el correo

El correo es el mecanismo de distribución n.º 1 de los ciberataques. Las amenazas más comunes:

Phishing: correos que suplantan a organizaciones de confianza (bancos, Google, Amazon, tu empresa) para engañarte y que hagas clic en enlaces maliciosos o introduzcas credenciales. Las señales de alarma incluyen lenguaje urgente, direcciones de remitente ligeramente incorrectas y enlaces que llevan a dominios inesperados.

Spear phishing: ataques personalizados que usan tu nombre, tu cargo u otros detalles para parecer legítimos. Son más difíciles de detectar.

Archivos adjuntos maliciosos: PDF, documentos de Word y archivos ZIP que instalan malware al abrirse. Trata los archivos adjuntos inesperados con recelo, incluso los de contactos conocidos: su cuenta puede estar comprometida.

Compromiso del correo corporativo (BEC): los atacantes suplantan a directivos o proveedores para engañar a los empleados y que transfieran dinero o compartan datos sensibles.

La regla: ante la duda, no hagas clic. Si un correo te pide que hagas algo urgente, verifícalo por un canal aparte: llama a la persona o navega directamente al sitio web.

Revisa las opciones de recuperación de la cuenta

Los atacantes que no pueden forzar tu contraseña por fuerza bruta a menudo apuntan a la recuperación de la cuenta. Revisa tus ajustes de recuperación:

• Dirección de correo de recuperación: ¿está también protegida con una contraseña fuerte y 2FA?
• Número de teléfono de recuperación: vulnerable al SIM swapping. Considera eliminarlo si tienes otras opciones de recuperación.
• Preguntas de seguridad: si tu proveedor todavía las usa, establece respuestas sin sentido guardadas en tu gestor de contraseñas. El apellido de soltera de tu madre es buscable en Google; "Xk9!purple#train" no.
• Dispositivos de confianza: revisa y elimina cualquier dispositivo que ya no tengas o no reconozcas

Ten cuidado con lo que guardas en el correo

Tu bandeja de entrada suele ser un tesoro accidental de información sensible:

• Correos de restablecimiento de contraseña que contienen credenciales temporales
• Copias escaneadas de documentos de identidad
• Extractos financieros y documentos fiscales
• Contratos legales e información empresarial confidencial

Practica la higiene de la bandeja de entrada: borra los correos que contengan credenciales sensibles después de usarlos. Mueve los documentos importantes a un almacenamiento cifrado en lugar de dejarlos buscables en tu bandeja de entrada. Un atacante que acceda a tu correo lo registrará a fondo.

Monitoriza tu cuenta en busca de accesos no autorizados

Tanto Gmail como Outlook te muestran la actividad de inicio de sesión reciente. Compruébala:

• Gmail: desplázate hasta la parte inferior de tu bandeja de entrada y haz clic en "Detalles" para ver los accesos recientes
• Outlook: ve a Cuenta > Seguridad > Mi actividad de inicio de sesión

Busca inicios de sesión desde ubicaciones o dispositivos desconocidos. Si ves algo sospechoso, cambia tu contraseña de inmediato y cierra todas las demás sesiones.

Activa las notificaciones de nuevos inicios de sesión desde dispositivos no reconocidos: la mayoría de los grandes proveedores lo ofrecen como opción de alerta de seguridad.

Considera un proveedor de correo centrado en la privacidad

Para la máxima privacidad, considera cambiar de Gmail u Outlook a un proveedor que ofrezca protecciones más fuertes:

• ProtonMail (proton.me): con sede en Suiza, cifrado de conocimiento cero para los correos almacenados, de código abierto
• Tutanota: con sede en Alemania, correo y calendario cifrados de extremo a extremo
• Fastmail: con sede en Australia, políticas de privacidad sólidas (no es E2EE, pero es de buena reputación)

Ten en cuenta que el correo cifrado de extremo a extremo solo protege los mensajes cuando tanto el remitente como el destinatario usan el mismo proveedor o intercambian claves PGP; la mayor parte del correo aún se entrega vía SMTP estándar entre proveedores.

Mantén actualizados tu aplicación de correo y tu navegador

Las vulnerabilidades en los clientes de correo y los navegadores pueden explotarse para ejecutar contenido malicioso desde correos especialmente diseñados. Mantén todo el software actualizado y activa las actualizaciones automáticas siempre que sea posible.

Evita leer el correo en navegadores muy antiguos o en aplicaciones móviles que no se hayan actualizado: los parches de seguridad se publican con regularidad por una buena razón.

Tu cuenta de correo es la llave maestra de tu vida digital. Trata su seguridad en consecuencia: una contraseña fuerte y única, 2FA con aplicación de autenticación y una revisión periódica de los registros de acceso te protegerán frente a la gran mayoría de las amenazas.