La gran mayoría de las incidencias no viene de un fallo técnico, sino de una contraseña reutilizada o de un mensaje fraudulento al que alguien respondió. Ambas cosas se previenen, y no exigen ninguna competencia particular.
Una contraseña, un solo servicio
La regla cabe en una línea: nunca la misma contraseña en dos sitios. Cuando a un servicio cualquiera le roban su base de credenciales, las direcciones y las contraseñas se prueban en todas partes, automáticamente. Una contraseña reutilizada transforma la fuga de un sitio olvidado en fuga de todas sus cuentas.
La longitud cuenta más que la complejidad. Una frase de cuatro o cinco palabras sin relación entre ellas resiste mejor que una palabra corta plagada de símbolos, y se retiene sin esfuerzo.
Un gestor de contraseñas resuelve el problema de una vez por todas: fabrica una diferente por servicio, y usted solo retiene una, la que abre el gestor.
Lo que hace débil una contraseña
| Práctica | Por qué cae |
|---|---|
| La misma en todas partes | Una sola fuga las abre todas |
| Una palabra del diccionario, aunque deformada | Las sustituciones habituales se prueban de oficio |
| Un nombre, una fecha, un nombre de empresa | Son los primeros intentos |
| Una palabra corta, muy compleja | La longitud pesa más que los símbolos |
| Escrita en un fichero o un cuaderno compartido | El secreto deja de serlo |
Su dirección electrónica es la llave maestra
Por ella pasan todos los restablecimientos de contraseña. Quien la controla controla el resto. Protéjala primero, active la doble autenticación en su proveedor de correo si existe, y manténgala al día en su área de cliente: una dirección abandonada es una puerta dejada abierta.
Reconocer un mensaje fraudulento
| Señal | Lo que revela |
|---|---|
| Una urgencia: suspensión inminente, último aviso | Se busca impedir la reflexión |
| Un enlace cuya dirección real no corresponde al dominio esperado | El fondo del procedimiento |
| Un dominio casi correcto: letra de más, guion añadido, extensión diferente | La imitación más eficaz |
| Un adjunto inesperado, sobre todo una factura | El vector habitual de los programas maliciosos |
| Una petición de contraseña, de código recibido por mensaje, o de datos bancarios | Ningún proveedor serio lo hace |
| Una fórmula de cortesía impersonal, o una lengua extrañamente torneada | Un envío masivo |
Nunca le pediremos su contraseña. Ni por correo, ni por teléfono, ni en un ticket. Ninguna de nuestras comunicaciones le pedirá tampoco pagar una factura por un medio inhabitual ni con urgencia.
El reflejo que protege
No haga clic; teclee la dirección usted mismo. Si un mensaje anuncia un problema en su cuenta, abra una nueva pestaña, escriba de memoria la dirección del área de cliente, y vaya a ver. Si el problema es real, estará allí. Si no está, el mensaje era falso.
Pasar el cursor sobre un enlace antes de hacer clic muestra su destino real en la parte inferior del navegador. En el teléfono, una pulsación larga hace lo mismo.
Si hizo clic, o introdujo algo
- Cambie la contraseña afectada, desde un dispositivo del que esté seguro, tecleando la dirección usted mismo.
- Cámbiela también en todos los sitios donde estaba reutilizada. Es el momento en que se mide el coste de la reutilización.
- Compruebe lo que pudo modificarse: la dirección electrónica de la cuenta, las reglas de reenvío automático de su mensajería, las cuentas de administración de su sitio.
- Abra un ticket, aunque crea haberlo recuperado todo. Miraremos lo que se ha movido en el servicio.
Los accesos de su sitio
La cuenta de alojamiento no es la única a proteger. El panel de administración de su sitio es otro, a menudo peor guardado.
- Suprima las cuentas de antiguos proveedores o antiguos colaboradores.
- Una cuenta por persona, nunca una cuenta compartida: si no, nadie sabe ya quién hizo qué.
- Retire las extensiones y los temas que no usa, en vez de desactivarlos — vea Si su sitio ha sido comprometido.
- Mantenga el sistema y sus extensiones al día: la mayoría de las intrusiones pasa por una versión antigua y públicamente documentada.