Seguridad de la cuenta: acceso, dominio y datos

1. Lee el dominio completo, letra por letra. No el texto del enlace: la barra de direcciones. Los ataques eficaces cambian una letra, añaden un guion o usan otra extensión.
2. Desconfía del enlace que no buscaste tú. Un acceso que llega por mensaje, correo promocional o red social es el vector clásico. Escribe la dirección o usa un marcador propio.
3. Activa la verificación en dos pasos. Convierte una contraseña robada en un problema menor. Si la plataforma no la ofrece, eso ya dice algo de ella.

Ninguna requiere conocimientos técnicos y las tres se hacen antes de teclear nada, que es el único momento en que sirven.

Reutilizar la contraseña de una cuenta con dinero en cualquier otro servicio es el error de seguridad más común y más caro. Basta con que una tienda cualquiera filtre su base de datos para que la misma combinación se pruebe automáticamente en decenas de plataformas.

El ataque es industrial y no busca a nadie en concreto. Un gestor de contraseñas resuelve el problema entero; sin él, al menos que la de la cuenta con dinero sea única y no se parezca a ninguna otra.

Y el correo asociado es la llave maestra, porque desde ahí se restablece cualquier contraseña. Si esa cuenta de correo no tiene segundo factor, el resto de las medidas sirven de poco.

• el dominio no coincide exactamente con el oficial, aunque el diseño sea idéntico;
• pide datos que un inicio de sesión no necesita;
• muestra prisa artificial: cuentas atrás, avisos de bloqueo, premios que caducan;
• el navegador advierte de una conexión no segura;
• tras «acceder» devuelve un error y te redirige al sitio real, donde tu contraseña ya funciona.

El último punto es el más traicionero: es el comportamiento típico de una página que captura credenciales y luego te manda al sitio auténtico para que no sospeches. Si ocurre, cambia la contraseña de inmediato desde la dirección escrita a mano.