Seguridad personal e higiene digital: qué es, cómo funciona y cómo se aplica

Es la decimotercera lección de la Tanda 11 de /aprende. No importa cuánto sepas de pentesting, de Active Directory o de explotación web: si tu propia higiene digital es un desastre, eres un blanco fácil. Los profesionales de ciberseguridad que descuidan su seguridad personal son como los médicos que fuman: conocen el riesgo y lo ignoran.

Esta lección no va de atacar. Va de protegerte a ti mismo, a tu identidad digital, a tus datos y a tu reputación. Cubriremos gestores de contraseñas, autenticación de dos factores, detección de phishing, cifrado de disco, backups, navegación privada y verificación de filtraciones. Todo práctico, con herramientas concretas y configuraciones que puedes aplicar hoy.

La seguridad personal es responsabilidad de cada uno. Las técnicas que aprenderás aquí son defensivas y legales. Úsalas para protegerte a ti y para enseñar a otros.

Qué riesgos existen#

La mayoría de compromisos de cuentas personales no requieren exploits sofisticados. Los atacantes explotan los hábitos más básicos: contraseñas reutilizadas, falta de segundo factor, clics impulsivos en emails falsos y dispositivos sin cifrar.

Un informe de Verizon DBIR 2024 confirma que el 68 por ciento de las brechas involucran el factor humano: phishing, credenciales robadas o errores. No hace falta un zero-day cuando el usuario reutiliza la misma contraseña en 47 servicios y no tiene 2FA en ninguno.

Las amenazas principales para un usuario individual son las siguientes. El credential stuffing, donde un atacante prueba combinaciones de email y contraseña filtradas de una brecha contra otros servicios. El phishing, donde un email o mensaje imita a un servicio legítimo para robar credenciales. El robo de dispositivos sin cifrado, donde cualquiera con acceso físico a un portátil o teléfono sin cifrado puede extraer todos los datos. Y la vigilancia en redes públicas, donde un atacante en la misma red WiFi puede interceptar tráfico no cifrado.

Por qué es importante#

La higiene digital no es opcional ni exclusiva de profesionales de seguridad. Todos estamos expuestos. Si tu cuenta de correo se compromete, el atacante puede resetear contraseñas de todos los servicios vinculados: banca, redes sociales, almacenamiento en la nube. Una cuenta comprometida es la puerta de entrada a toda tu vida digital.

Para un profesional de ciberseguridad la situación es aún más delicada. Un pentester cuya máquina de trabajo se compromete puede filtrar datos de clientes, informes de auditoría y accesos a infraestructuras. La reputación y la carrera están en juego.

Componentes principales de la higiene digital#

La seguridad personal se construye con capas. Ninguna medida individual es suficiente; la combinación de todas crea una defensa sólida.

Gestores de contraseñas#

Un gestor de contraseñas genera, almacena y rellena contraseñas únicas y complejas para cada servicio. Solo necesitas recordar una contraseña maestra fuerte.

Bitwarden#

Bitwarden es open source, multiplataforma y tiene un plan gratuito completo. El vault se cifra con AES-256 en el lado del cliente antes de salir de tu dispositivo.

# Instalar el CLI de Bitwarden en Linux
sudo snap install bw

# Iniciar sesión
bw login [email protected]

# Generar una contraseña fuerte
bw generate -ulns --length 24
# Resultado: xK9#mP2$vL7@nQ4&wR6!jT8

# Exportar el vault (backup cifrado)
bw export --format encrypted_json --output backup.json

KeePassXC#

KeePassXC es la alternativa offline. La base de datos se almacena en un archivo local cifrado con AES-256 o ChaCha20. Ideal si no confías en servicios en la nube.

# Crear una base de datos nueva desde CLI (Linux)
keepassxc-cli create ~/passwords.kdbx

# Añadir una entrada
keepassxc-cli add ~/passwords.kdbx -u usuario -g -l 24 "Nombre del servicio"

La contraseña maestra debe tener al menos 16 caracteres, combinar palabras aleatorias (passphrase) y no usarse en ningún otro lugar. Un ejemplo de passphrase fuerte: "caballo-tornado-microscopio-94-brújula".

Autenticación de dos factores (2FA)#

El segundo factor añade una capa que el atacante no puede obtener solo con la contraseña.

TOTP vs SMS vs FIDO2#

El SMS es mejor que nada, pero es el método más débil. Un atacante puede convencer a tu operador de transferir tu número (SIM swapping) o interceptar el mensaje vía vulnerabilidades SS7.

TOTP (Time-based One-Time Password) con apps como Aegis (Android), Raivo (iOS) o el propio Bitwarden es significativamente más seguro. El código se genera localmente, no viaja por la red.

Configurar TOTP:
1. En el servicio, ir a Seguridad > Autenticación en dos pasos
2. Escanear el código QR con Aegis / Raivo
3. Guardar los códigos de respaldo en el gestor de contraseñas
4. Verificar que funciona antes de cerrar la configuración

Las llaves FIDO2 (YubiKey 5, Google Titan, SoloKeys) son la opción más robusta. La autenticación está ligada criptográficamente al dominio del sitio, lo que hace que el phishing sea inútil: incluso si introduces tu contraseña en un sitio falso, la llave no responderá porque el dominio no coincide.

Detección de phishing#

El phishing sigue siendo el vector de ataque más exitoso contra usuarios. Aprender a detectarlo es una habilidad fundamental.

Señales de un email de phishing#

• El remitente no coincide con el dominio legítimo. Ejemplo: [email protected] en lugar de [email protected].
• URLs con dominios similares pero diferentes: paypall.com, g00gle.com, amaz0n-verify.com.
• Urgencia artificial: "Tu cuenta será suspendida en 24 horas".
• Errores gramaticales o de formato inconsistentes con comunicaciones legítimas.
• Adjuntos inesperados, especialmente .zip, .docm, .xlsm, .iso.

Verificación manual#

Antes de hacer clic en un enlace de un email:
1. Pasar el ratón sobre el enlace SIN hacer clic para ver la URL real
2. Verificar que el dominio sea el correcto (no un dominio similar)
3. Si tienes dudas, abrir el navegador y escribir la URL manualmente
4. Nunca descargar adjuntos de remitentes desconocidos
5. En caso de duda, contactar al remitente por otro canal

Privacidad y navegación segura#

La navegación diaria deja rastros que empresas y atacantes pueden explotar. Algunas medidas básicas reducen significativamente la exposición.

Usar un navegador con protecciones integradas como Firefox con la configuración de privacidad estricta. Instalar uBlock Origin para bloquear anuncios maliciosos (malvertising) y rastreadores.

Configurar DNS sobre HTTPS (DoH) para evitar que tu ISP o un atacante en red vea tus consultas DNS.

DNS privados recomendados:
- Cloudflare: 1.1.1.1 (DoH: https://cloudflare-dns.com/dns-query)
- Quad9: 9.9.9.9 (DoH: https://dns.quad9.net/dns-query)
- Mullvad: 194.242.2.2 (DoH: https://dns.mullvad.net/dns-query)

Cifrado de disco#

Si te roban el portátil o el disco duro, el cifrado completo de disco es la única barrera entre el ladrón y tus datos.

# Verificar estado de BitLocker en Windows (PowerShell)
Get-BitLockerVolume -MountPoint C:

# Verificar estado de LUKS en Linux
sudo cryptsetup luksDump /dev/sda2

# Verificar FileVault en macOS
fdesetup status

El cifrado debe estar habilitado en todos los dispositivos: portátil de trabajo, portátil personal, disco externo de backups y teléfono móvil (iOS lo activa por defecto con passcode; Android lo activa por defecto en versiones recientes).

Backups: la regla 3-2-1#

La regla 3-2-1 es el estándar de oro para proteger tus datos contra ransomware, fallos de hardware y errores humanos.

Regla 3-2-1:
- 3 copias de cada dato importante
- 2 en medios diferentes (disco local + disco externo)
- 1 fuera del sitio (nube cifrada o ubicación física diferente)

# Backup incremental con rsync (Linux / macOS)
rsync -avz --delete ~/Documents /media/backup/Documents

# Verificar integridad del backup
diff -rq ~/Documents /media/backup/Documents

Para backups en la nube, usar servicios con cifrado de extremo a extremo como Cryptomator (capa de cifrado sobre cualquier nube) o servicios como Tresorit.

Redes WiFi públicas y VPN#

Las redes WiFi públicas (aeropuertos, cafeterías, hoteles) son entornos hostiles. Un atacante en la misma red puede interceptar tráfico, montar ataques de man-in-the-middle o crear puntos de acceso falsos (evil twin).

La solución mínima es usar una VPN que cifre todo el tráfico entre tu dispositivo y el servidor VPN. Opciones recomendadas: Mullvad (no requiere email, pago anónimo), ProtonVPN (plan gratuito aceptable), WireGuard (protocolo, no servicio: puedes montar tu propio servidor).

# Conectar a Mullvad con WireGuard en Linux
wg-quick up mullvad-es1

# Verificar que la IP pública ha cambiado
curl -s https://am.i.mullvad.net/json | python3 -m json.tool

Regla general: si no puedes usar VPN, limítate a sitios HTTPS y no accedas a banca ni a servicios sensibles.

Verificar filtraciones con HaveIBeenPwned#

HaveIBeenPwned (HIBP) es un servicio gratuito que recopila datos de brechas públicas y permite verificar si tu email o contraseña han sido filtrados.

# Verificar un email (API v3, sin API key para búsquedas básicas)
curl -s "https://haveibeenpwned.com/api/v3/breachedaccount/[email protected]" \
  -H "hibp-api-key: TU_API_KEY" -H "user-agent: whoami-labs-check"

# Verificar si una contraseña ha sido filtrada (k-anonymity, seguro)
# Solo se envían los primeros 5 caracteres del hash SHA-1
echo -n "tucontraseña" | sha1sum | cut -c1-5
# Buscar el prefijo en https://api.pwnedpasswords.com/range/PREFIJO

Si HIBP indica que tu email está en una brecha, cambia la contraseña de ese servicio inmediatamente y activa 2FA. Si la contraseña filtrada la usabas en otros sitios (reutilización), cámbialas todas.

Qué consigues con esto#

Implementar estas medidas transforma tu postura de seguridad personal de vulnerable a resiliente.

Buenas prácticas#

Actualizaciones automáticas#

Habilitar las actualizaciones automáticas en el sistema operativo, el navegador y las aplicaciones críticas. Los parches de seguridad se publican para vulnerabilidades que ya están siendo explotadas.

# Verificar actualizaciones pendientes en Linux (Debian/Ubuntu)
sudo apt update && sudo apt list --upgradable

# En Windows (PowerShell)
Get-WindowsUpdate

Separar cuentas personales y profesionales#

No usar el mismo email ni las mismas contraseñas para servicios personales y de trabajo. Si una cuenta personal se compromete, el impacto debe quedar contenido.

Revisar permisos de aplicaciones#

Revisar periódicamente qué aplicaciones tienen acceso a tu cuenta de Google, Microsoft, GitHub y redes sociales. Revocar acceso a las que ya no usas.

Cifrar comunicaciones sensibles#

Para comunicaciones sensibles, usar Signal (mensajería con cifrado E2E) o GPG para email. No enviar contraseñas, tokens ni datos sensibles por canales no cifrados.

Tener un plan de respuesta personal#

Saber qué hacer si te roban el teléfono: localizar, bloquear remotamente, cambiar contraseñas críticas (email, banco), notificar al banco. Tener una lista de pasos guardada en un lugar accesible.

Errores comunes#

• Reutilizar la misma contraseña en múltiples servicios. Una brecha en uno los compromete todos.
• Confiar en el SMS como segundo factor. SIM swapping lo invalida.
• No cifrar el disco del portátil. Un robo expone todos los datos almacenados.
• Ignorar las alertas de HaveIBeenPwned. Si tu email aparece en una brecha, actúa.
• Usar redes WiFi públicas sin VPN para acceder a servicios sensibles.
• No hacer backups o hacerlos solo en el mismo disco. Un ransomware los destruye junto con los datos originales.
• Guardar los códigos de respaldo de 2FA en un documento sin cifrar en el escritorio.

Preguntas frecuentes#

Qué gestor de contraseñas es más seguro#

Bitwarden y KeePassXC son los más recomendados por la comunidad de seguridad. Ambos son open source y han sido auditados. Bitwarden es más cómodo (sincronización en la nube); KeePassXC es más conservador (archivo local). Elige el que vayas a usar realmente: el mejor gestor es el que usas.

Las llaves FIDO2 son caras#

Una YubiKey cuesta entre 25 y 55 USD según el modelo. Considerando que protege todas tus cuentas contra phishing, es una inversión mínima comparada con el coste de un compromiso. Se recomienda tener dos llaves: una principal y una de respaldo guardada en un lugar seguro.

Puedo confiar en HaveIBeenPwned#

Sí. HIBP fue creado por Troy Hunt, un referente en seguridad. La API de contraseñas usa k-anonymity: solo se envían los primeros 5 caracteres del hash SHA-1, por lo que tu contraseña completa nunca sale de tu dispositivo.

Necesito una VPN todo el tiempo#

No necesariamente. En tu red doméstica de confianza, una VPN añade latencia sin beneficio claro de seguridad (el tráfico HTTPS ya está cifrado). En redes públicas o no confiables, sí es imprescindible.

Cómo creo una passphrase fuerte#

Usa el método Diceware: lanza dados (o usa un generador) para seleccionar 5-6 palabras aleatorias de una lista. Ejemplo: "caballo-tornado-microscopio-94-brújula". Es más fácil de recordar que una contraseña aleatoria y más segura que una contraseña corta con caracteres especiales.

Qué hago si pierdo mi segundo factor#

Si pierdes tu dispositivo TOTP o tu llave FIDO2, usa los códigos de respaldo que guardaste en tu gestor de contraseñas al configurar el 2FA. Si no los guardaste, contacta al soporte del servicio con tu verificación de identidad. Esto puede tardar días: es la razón por la que los códigos de respaldo son obligatorios.

Resumen#

• La higiene digital se construye con capas: contraseñas únicas, 2FA, detección de phishing, cifrado, backups y VPN.
• Los gestores de contraseñas (Bitwarden, KeePassXC) eliminan la reutilización, el vector principal de compromiso.
• TOTP y llaves FIDO2 superan al SMS como segundo factor. FIDO2 es resistente a phishing por diseño.
• El cifrado de disco completo protege contra el robo físico de dispositivos.
• La regla 3-2-1 de backups protege contra ransomware y fallos de hardware.
• Verificar filtraciones en HaveIBeenPwned debe ser una rutina periódica.

Fuentes y lecturas recomendadas#

• Bitwarden - Open Source Password Manager
• KeePassXC - Cross-Platform Password Manager
• Have I Been Pwned
• FIDO Alliance - FIDO2 / WebAuthn
• EFF: Surveillance Self-Defense
• NIST SP 800-63B: Digital Identity Guidelines - Authentication
• Verizon DBIR 2024