Cómo evitar que me hackeen: qué frena de verdad un ataque en 2026

Casi todo lo que sirve para evitar que me hackeen cabe en cuatro medidas: segundo factor en el correo, una contraseña distinta por servicio, actualizaciones automáticas y el router al día. El resto son matices.

Lo que ha cambiado este año es el orden. El Data Breach Investigations Report 2026 de Verizon coloca las vulnerabilidades de software como primer camino de entrada, con el 31 % de las brechas, por delante de las contraseñas robadas. El parche que nadie puso ya adelanta a la contraseña que reutilizaste.

Por dónde entran, y por qué casi nunca es una película

Los caminos son tres y ninguno necesita romper un cifrado. Un fallo de software con parche publicado que nadie ha instalado, una contraseña filtrada de otro sitio donde la reutilizaste, y un correo o un SMS que te lleva a una página clonada.

• › Software sin actualizar. El router de casa, el NAS, el plugin del gestor de contenidos. Son fallos publicados, con parche disponible y con instrucciones de explotación al alcance de cualquiera.
• › Reutilización de contraseñas. Filtran una tienda cualquiera, prueban ese correo y esa contraseña en el banco, y a veces funciona. No hace falta adivinar nada.
• › Phishing. Un correo que imita a tu proveedor y te pide la contraseña en una página que se parece a la de siempre.

Cómo evitar que me hackeen: las cuatro medidas que más frenan

Estas cuatro cubren los tres caminos de arriba y se aplican en una tarde. Ninguna es cara y ninguna es interesante, que es exactamente por lo que no se hacen.

• › Segundo factor en el correo, el banco y las redes. Con la contraseña sola, el atacante se queda en la puerta.
• › Una contraseña distinta por servicio, guardada en un gestor. Recordar treinta es imposible; recordar la del gestor, no.
• › Actualizaciones automáticas en el sistema, el navegador y el móvil. Es la medida que ataca directamente ese 31 % de brechas que empiezan por una vulnerabilidad conocida.
• › El router: contraseña de administración cambiada, acceso remoto desde internet apagado y firmware al día. INCIBE publica una guía para configurarlo paso a paso.

El correo va primero por un motivo práctico. Quien controla tu buzón pide el restablecimiento de contraseña del resto de servicios y los va abriendo uno a uno. Protege ese antes que ninguno.

Lo que no hace falta hacer, aunque te lo hayan dicho

Cambiar la contraseña cada tres meses no hace falta. La revisión 4 de la NIST SP 800-63B, publicada en agosto de 2025, prohíbe a los servicios exigir cambios periódicos y solo obliga a forzar uno cuando hay indicios de que esa contraseña se ha visto comprometida. La caducidad trimestral produce contraseñas peores, porque la gente le suma un número al final y sigue.

La misma norma tumba la otra costumbre heredada: prohíbe imponer reglas de composición, esas que obligan a meter una mayúscula, un número y un símbolo. Lo que sí fija es longitud, quince caracteres como mínimo cuando la contraseña es el único factor. Una frase larga que recuerdes vale más que ocho caracteres retorcidos.

Y antes de pagar por una suite de seguridad más completa, activa el segundo factor donde ya lo tienes disponible sin coste. Es la medida que más frena de la lista y no cuesta dinero, solo cinco minutos por cuenta.

Un phishing de 2026 ya no tiene faltas de ortografía

El correo fraudulento actual está bien escrito, copia la plantilla real del proveedor y a veces llega dentro de un hilo que ya existía. Buscar erratas dejó de servir. Lo que no pueden falsificar es el destino del enlace: pasa el ratón por encima y mira el dominio antes de pulsar.

En el móvil ese gesto no existe, y ahí está el problema. El informe de Verizon apunta que las tasas de clic son un 40 % más altas en dispositivos móviles, que se han convertido en el objetivo preferente. Si un mensaje te mete prisa, ábrelo en el ordenador o entra al servicio escribiendo tú la dirección. La urgencia es la herramienta, no el detalle sospechoso.

Ya he picado: qué hacer en la primera hora

El orden importa más que la velocidad. Cambiar la contraseña sin cerrar las sesiones abiertas deja al atacante dentro con la sesión que ya tenía, y ahí se pierde la primera hora.

1. 01Cambia la contraseña desde otro dispositivo, no desde el que sospechas.
2. 02Cierra todas las sesiones abiertas del servicio afectado.
3. 03Revisa las reglas de reenvío y los filtros del correo, y borra los que no hayas creado tú.
4. 04Mira los dispositivos y las aplicaciones vinculadas, y quita los que no reconozcas.
5. 05Activa el segundo factor si no lo tenías y guarda los códigos de recuperación fuera de ese correo.

El tercer paso es el que se salta todo el mundo. Una regla que reenvía copia de tus correos a una dirección ajena sobrevive al cambio de contraseña y sigue trabajando después, con el atacante ya fuera de tu cuenta. Si esto le pasa a un particular, INCIBE atiende en el 017, gratuito y confidencial, de ocho de la mañana a once de la noche los 365 días del año.

Los errores que más nos encontramos en empresas pequeñas

En las empresas pequeñas que auditamos aparecen los mismos cuatro fallos una y otra vez, y ninguno se arregla comprando software. Son de organización, y por eso nadie los ve mientras todo funciona.

• › Una cuenta de administrador compartida por tres o cuatro personas, así que ningún registro puede decir quién hizo qué.
• › El mismo usuario para el correo y para entrar al servidor, con lo que un phishing acaba siendo acceso a los ficheros.
• › Copias de seguridad en la misma red y accesibles desde cualquier equipo. Es lo que convierte un incidente en un rescate.
• › Nadie revisa qué cuentas siguen activas cuando alguien se va de la empresa.

El último es el que más tarda en verse. Una cuenta olvidada no genera alertas y no tiene segundo factor porque nadie lo activó, y sigue formando parte de lo que la empresa expone a internet. Eso se mira desde fuera, con una auditoría de superficie externa que busca subdominios olvidados, servicios abiertos y credenciales de la empresa filtradas en brechas ajenas.

Conviene saberlo antes de que haga falta. Si un día se llevan datos de clientes, el reloj de las 72 horas que fija el RGPD empieza a correr desde que la empresa tiene constancia, no desde que termina de investigar qué ha pasado.

Cuánto cuesta comprobar que el correo de la empresa no es la puerta

Comprobarlo parte de 450 euros. Ese es el precio de partida de la auditoría de Microsoft 365, que revisa el tenant contra los CIS Benchmarks: qué cuentas tienen MFA de verdad, qué reglas de acceso condicional hay puestas y qué permisos se concedieron en su día a aplicaciones de terceros que ya nadie usa.

La pregunta razonable es por qué no pedirle esto al proveedor que ya administra el correo. Porque nadie audita bien lo que ha configurado él mismo. En Pentesting Team dejamos por escrito el plan de auditoría antes de tocar nada, con las pruebas previstas y las fechas, y el informe sale con cada hallazgo, su evidencia y los pasos para reproducirlo, así que tu equipo lo comprueba sin llamarnos. La auditoría lleva de una a tres semanas según el alcance y el informe se entrega unos días después. Hasta seis meses más tarde repetimos las pruebas sobre lo que hayas corregido, y ese retest va incluido.

El lunes por la mañana abre el panel de administración del correo y mira dos cosas: cuántas cuentas siguen sin segundo factor y qué reglas de reenvío hay creadas que nadie recuerda haber puesto. Si alguna de las dos respuestas te sorprende, ahí tienes por dónde empezar, y aquí está cada cuánto tiene sentido repetir la revisión.