Puntos Clave
- Los primeros 30 minutos son críticos: cambiar las contraseñas desde un dispositivo limpio y cerrar todas las sesiones activas reduce drásticamente el daño que un intruso puede causar en tus cuentas.
- Contraseñas únicas + verificación en dos pasos: esta combinación bloquea la gran mayoría de los ataques, incluso cuando tu clave ya ha sido filtrada en una brecha de datos.
- Protegerse cuesta menos de lo que imaginas: un gestor de contraseñas ronda los 20–40 € al año y una llave de seguridad física los 25–60 €, frente a los cientos de euros que puede costar un fraude.
- El robo de identidad aparece semanas después: tras un acceso no autorizado, conviene vigilar cuentas bancarias y movimientos durante al menos 90 días.
Señales claras de que tu cuenta ha sido comprometida
El pánico inicial es normal, pero antes de actuar necesitas confirmar qué está pasando. Los atacantes rara vez dejan huellas evidentes de inmediato; suelen operar en silencio durante días. Estas son las señales más fiables de que alguien más tiene las llaves de tu vida digital:
- Recibes un correo de restablecimiento de contraseña que no has solicitado, o un aviso de inicio de sesión desde un dispositivo o ciudad que no reconoces.
- Tu bandeja de salida contiene mensajes que no has escrito, o tus contactos te preguntan por enlaces extraños que les han llegado “de tu parte”.
- Encuentras cambios en tu configuración: un correo secundario distinto, un número de teléfono que no es el tuyo o reglas de filtrado que ocultan mensajes entrantes.
- Aparecen cargos pequeños de prueba en tu tarjeta, suscripciones que no has contratado o pedidos recientes en tiendas online que no has hecho.
- Tu navegador muestra sesiones iniciadas en servicios donde jurarías que no estabas conectado.
Si reconoces dos o más señales, asume lo peor: tus credenciales están en manos ajenas. No borres nada todavía, porque esos registros son tu prueba si necesitas denunciar o reclamar al banco. Lo que sí debes hacer de inmediato es dejar de usar la contraseña sospechosa en cualquier otro servicio donde la hayas reutilizado.
Plan de emergencia: qué hacer en los primeros 30 minutos
Cuando descubres el acceso no autorizado, el orden de las acciones importa tanto como las acciones mismas. Sigue esta secuencia y no te saltes pasos:
Paso 1: usa un dispositivo limpio.
- Si sospechas que tu ordenador o móvil puede tener malware, no cambies contraseñas desde ahí.
- Usa otro dispositivo de confianza o el navegador en modo privado de un equipo que consideres limpio.
- Si no tienes alternativa, reinicia el dispositivo sospechoso y pasa un análisis antivirus completo antes de tocar nada.
Paso 2: cambia la contraseña de la cuenta afectada.
- Crea una clave nueva, larga (mínimo 16 caracteres) y que no hayas usado jamás en ningún otro sitio.
- Si el servicio lo permite, cierra automáticamente todas las sesiones al guardar la nueva contraseña.
- Repite la operación en tu correo electrónico principal: es la llave maestra con la que se restablecen todas las demás cuentas.
Paso 3: expulsa al intruso.
- Entra en el apartado de seguridad y revisa los “dispositivos conectados” o “sesiones activas”.
- Cierra todas las sesiones que no reconozcas, o directamente todas menos la actual.
- Revisa las aplicaciones de terceros con acceso a tu cuenta y revoca las que no uses.
Paso 4: corrige los datos de recuperación.
- Comprueba que el correo alternativo y el teléfono de recuperación siguen siendo los tuyos; los atacantes los cambian para bloquearte la salida.
- Si ya los han modificado, contacta con el soporte del servicio cuanto antes y explica que la cuenta está comprometida.
Paso 5: activa la verificación en dos pasos.
- Hazlo en la cuenta afectada y, a continuación, en tu correo, tu banca online y tus redes sociales.
- Prioriza una aplicación de autenticación o una llave física frente al SMS, que es vulnerable al duplicado de SIM.
Contraseñas: el eslabón débil que puedes arreglar hoy
Casi todos los accesos no autorizados empiezan igual: una contraseña reutilizada que apareció en la filtración de algún servicio lejano. Los atacantes no “hackean” tu cuenta con técnicas de película; prueban automáticamente combinaciones filtradas hasta que una funciona. Reutilizar contraseñas es dejar la misma llave para todas tus puertas.
La solución práctica es un gestor de contraseñas. Por entre 20 y 40 € al año obtienes:
- Generación automática de claves únicas de 20 o más caracteres para cada servicio.
- Almacén cifrado con una única contraseña maestra que solo tú conoces.
- Rellenado automático en el navegador y el móvil, que además te protege del phishing: si la web es falsa, el gestor no rellenará nada porque la dirección no coincide.
- Alertas integradas cuando una de tus claves aparece en una brecha de datos conocida.
Si el gestor te parece un paso demasiado grande, aplica al menos la regla de las tres cuentas: correo principal, banca y red social más usada deben tener claves únicas, largas y distintas. Una frase de cuatro o cinco palabras sin relación entre sí (“lámpara-tortuga-ventana-42”) es más fuerte y más fácil de recordar que cualquier combinación de símbolos.
Además, adopta las passkeys donde estén disponibles. Son credenciales sin contraseña basadas en tu dispositivo (huella o reconocimiento facial) que no se pueden robar a distancia, y cada vez más servicios las admiten como opción principal.
Verificación en dos pasos y llaves de seguridad físicas
La verificación en dos pasos (2FA) añade una segunda prueba tras la contraseña. No todos los métodos ofrecen la misma protección:
- SMS: mejor que nada, pero vulnerable al SIM swapping, donde el atacante convence a tu operadora para duplicar tu tarjeta SIM y recibir tus códigos.
- Aplicación de autenticación: genera códigos en tu móvil sin depender de la red telefónica. Es el mínimo recomendable hoy.
- Llave de seguridad física: un pequeño dispositivo USB o NFC que cuesta entre 25 y 60 € y que debes tocar físicamente para autorizar el acceso. Es inmune al phishing y al robo remoto de credenciales.
La estrategia sensata es combinar métodos: la app de autenticación como principal y la llave física para tus cuentas más valiosas (correo principal y banca). Compra siempre dos llaves físicas, no una: si pierdes la única, puedes quedarte fuera de tus propias cuentas. Guarda la segunda en un cajón como respaldo.
Recuerda también descargar los códigos de recuperación que ofrecen casi todos los servicios. Son listas de códigos de un solo uso para cuando pierdes el móvil; guárdalos impresos o en tu gestor de contraseñas, nunca en una nota del escritorio.
Protege tus dispositivos: antivirus, actualizaciones y wifi
Las credenciales robadas no siempre vienen de una filtración lejana; a veces el malware las captura directamente desde tu equipo. Un mantenimiento básico reduce el riesgo de forma notable:
- Actualiza todo: sistema operativo, navegador y aplicaciones. La mayoría de los ataques explotan fallos que ya tienen parche publicado; actualizar es cerrar puertas conocidas.
- Mantén un antivirus activo: las suites actuales cuestan entre 30 y 60 € al año e incluyen protección contra keyloggers y análisis de la red doméstica.
- Cuida tu router: cambia la contraseña de administración que viene de fábrica, usa cifrado WPA3 (o WPA2 como mínimo) y una clave wifi distinta de la del resto de tus cuentas.
- Desconfía del wifi público: en aeropuertos y cafeterías, cualquier persona en la misma red puede intentar interceptar tráfico no cifrado. Usa una VPN de confianza (5–12 € al mes) o, mejor, los datos móviles de tu teléfono.
- Revisa las extensiones del navegador: algunas extensiones maliciosas leen todo lo que escribes, incluidas contraseñas. Elimina las que no uses o no reconozcas.
Un detalle físico que muchos olvidan: cubre la cámara del portátil cuando no la uses. Las tapas deslizantes cuestan menos de 10 € y eliminan de raíz el riesgo de vigilancia por malware de acceso remoto.
Vigilancia post-ataque: 90 días de alerta
Recuperar la cuenta no cierra el incidente. Los datos robados (nombre, dirección, teléfono, número de tarjeta) pueden usarse semanas después para suplantar tu identidad. Durante los tres meses siguientes:
- Revisa los movimientos bancarios cada dos o tres días y activa las notificaciones push de cada pago con tarjeta.
- Si tu tarjeta o sus datos estuvieron expuestos, apágala desde la app del banco y solicita una reemisión; hoy la mayoría de entidades lo permite en minutos.
- Alerta a tus contactos de que tu cuenta fue comprometida, para que ignoren y reporten cualquier mensaje extraño recibido “de tu parte”.
- Vigila la llegada de correos o SMS de servicios donde no tienes cuenta: suelen ser el primer síntoma de que alguien está abriendo perfiles con tus datos.
- Si detectas cargos fraudulentos o suplantación, denúncialo a las autoridades y reclama a tu banco por escrito; guardar los registros del paso anterior te servirá como prueba.
La regla de oro: cualquier movimiento que no reconozcas se reclama de inmediato, no “a ver si desaparece”. Los plazos de reclamación juegan a tu favor solo si actúas pronto.
Kit de seguridad digital: qué comprar y cuánto cuesta
| Producto | Para qué sirve | Precio orientativo |
|---|---|---|
| Gestor de contraseñas (suscripción anual) | Claves únicas en todos los servicios y alertas de filtraciones | 20–40 €/año |
| Pack de 2 llaves de seguridad físicas | Acceso sin contraseña inmune al phishing en cuentas críticas | 45–90 € |
| Suite antivirus con protección de identidad | Bloqueo de malware, keyloggers y análisis de la red doméstica | 30–60 €/año |
| Router con WPA3 o sistema wifi en malla | Cifrado moderno y mejor cobertura sin puntos débiles | 60–150 € |
| Tapas de privacidad para cámara web | Bloqueo físico frente a malware de acceso remoto | 5–10 € |
| VPN con política de no registros | Protección del tráfico en redes wifi públicas | 40–80 €/año |
No necesitas comprarlo todo a la vez. El orden de prioridad es claro: primero el gestor de contraseñas, después las llaves de seguridad para tu correo y tu banca, y por último el resto del kit. Con menos de 100 € de inversión inicial tendrás una protección superior a la de la inmensa mayoría de los usuarios.
Preguntas Frecuentes (FAQs)
Q: ¿Debo denunciar el hackeo aunque no haya perdido dinero?
Sí. La denuncia deja constancia oficial del acceso no autorizado y te protege si en las semanas siguientes aparecen cargos fraudulentos, contratos a tu nombre o mensajes delictivos enviados desde tus cuentas. Es un trámite gratuito que sirve como prueba ante bancos y servicios, y no requiere que cuantifiques pérdidas económicas.
Q: ¿Cuánto tiempo debo vigilar mis cuentas tras recuperar el acceso?
Como mínimo 90 días. Los datos robados se venden y revenden en mercados ilícitos, y la suplantación de identidad suele producirse semanas después del acceso inicial. Mantén las notificaciones de pago activadas, revisa movimientos cada pocos días y considera congelar o reemitir las tarjetas cuyos datos estuvieron expuestos.
Q: ¿Sirve de algo cambiar la contraseña si creo que el atacante ya tiene la nueva?
Sí, siempre que cambies la clave desde un dispositivo limpio y cierres todas las sesiones activas al guardarla. Si sospechas que tu equipo tiene malware, el cambio debe hacerse desde otro dispositivo y solo después de un análisis completo; de lo contrario, el nuevo teclado capturado repetirá el problema en minutos.
Q: ¿La verificación por SMS es suficiente o necesito algo mejor?
El SMS es mejor que nada, pero es el método más débil: los códigos pueden interceptarse con ataques de duplicado de SIM. Para tu correo principal y tu banca, usa una aplicación de autenticación o, idealmente, una llave de seguridad física de 25–60 €, que exige presencia física y no puede phisharse a distancia.
