Cómo evitar que me hackeen: trucos y protección 2026

Casi nadie entra rompiendo un cifrado. Entra con una contraseña que ya tenía, filtrada de otro sitio donde la reutilizaste, o conseguida con un correo que parecía de tu banco. Esa es la realidad de la mayoría de los incidentes que vemos, y explica por qué las medidas que funcionan son aburridas. INCIBE mantiene guías para ciudadanía que cubren lo básico paso a paso.

¿Cómo entran de verdad?

Por tres caminos, y el tercero es el que más sorprende. El primero es el phishing, un correo o un SMS que te lleva a una página clonada. El segundo es la reutilización de contraseñas: filtran una tienda, prueban tu correo y contraseña en el banco, y funciona. El tercero es el software sin actualizar, sobre todo el router de casa, que nadie mira nunca.

Las cuatro medidas que más frenan

• › Segundo factor en el correo, el banco y las redes. Si el atacante tiene la contraseña, se queda a la puerta.
• › Una contraseña distinta por servicio, guardada en un gestor. Recordar treinta es imposible; recordar una del gestor, no.
• › Actualizaciones automáticas en el sistema, el navegador y el móvil. La mayoría de los ataques usan fallos con parche publicado.
• › Revisar el router: contraseña de administración cambiada, acceso remoto apagado y firmware al día.

Cómo se reconoce un phishing en 2026

Ya no por las faltas de ortografía. Los correos actuales están bien escritos, copian la plantilla real y a veces responden dentro de un hilo que existía. Lo que no pueden falsificar es la dirección de destino: mira a dónde lleva el enlace antes de pulsarlo. Hay recopilaciones de los errores más frecuentes que ayudan a reconocerlos. Y desconfía de la prisa. La urgencia es la herramienta, no el detalle.

Y si esto es una empresa, no una casa

Cambian dos cosas. La primera es que un solo usuario comprometido abre la red entera, así que hay que medir hasta dónde se llega desde ahí. La segunda es que el correo corporativo suele ser Microsoft 365 o Google Workspace, y su configuración por defecto deja huecos que no se ven usándolo a diario. Auditamos Microsoft 365 desde 450 euros, y es de las revisiones que más devuelven por lo que cuestan.

Qué hacer si sospechas que ya han entrado

• › Cambia la contraseña desde otro dispositivo, no desde el que sospechas.
• › Cierra todas las sesiones abiertas en el servicio afectado.
• › Revisa reglas de reenvío y filtros del correo: es donde se esconde el acceso persistente.
• › Comprueba los dispositivos vinculados y quita los que no reconozcas.
• › Activa el segundo factor si no lo tenías, y guarda los códigos de recuperación.

El tercer punto es el que se olvida siempre. Una regla que reenvía copia de tus correos sobrevive al cambio de contraseña.

Los errores que más vemos en empresas pequeñas

• › Una sola cuenta de administrador compartida por varias personas.
• › El mismo usuario para el correo y para acceder al servidor.
• › Copias de seguridad en la misma red, accesibles desde cualquier equipo.
• › Nadie revisa qué cuentas siguen activas cuando alguien se va.

¿Y si esto ya ha pasado en la empresa?

Lo primero es saber hasta dónde llegaron, y eso no lo dice el antivirus. Una auditoría interna reconstruye qué era alcanzable desde el equipo comprometido y cuánto habría costado llegar a los datos importantes. Con esa información se decide qué arreglar primero, en vez de comprar herramientas a ciegas.