Mitos de ciberseguridad: siete preguntas para nuestro equipo de seguridad

Octubre es el Mes de la ciberseguridad, una campaña mundial con un trabajo sencillo: ayudar a las personas a adoptar unos pocos hábitos que de verdad las hacen más seguras en línea. Los consejos casi no cambian; actualice el software, deje de reutilizar contraseñas, piense antes de hacer clic. La parte difícil es que muchos de nosotros ya creemos que lo estamos haciendo.

Todos cargamos con un mito de ciberseguridad o dos. El octubre pasado preguntamos a la comunidad qué mitos de ciberseguridad le molestan más. Los que la gente recita sin pensar llenaron la lista: una empresa demasiado pequeña para que valga la pena atacarla, un antivirus como estrategia ya terminada, un remitente conocido como prueba de que un correo es seguro, una VPN como privacidad total.

Este año preguntamos a los compañeros qué mitos de ciberseguridad todavía oyen, o en los que todavía creen a medias. Recogimos esas respuestas y elegimos siete para que las respondiera David Grandolfo, coordinador de seguridad defensiva. Cada sección de abajo conserva el mito en las palabras en que llegó. Sus respuestas están en los recuadros, aparte de las preguntas.

Una contraseña compleja es suficiente

Los consejos sobre contraseñas pasaron años en la misma lección: más larga es mejor, los símbolos son mejores, y una contraseña que nadie podría memorizar es una contraseña que nadie podría adivinar. Varios compañeros describieron esa lección como un mito que todavía oyen, o que solían creer.

Una contraseña de 50 caracteres, con letras, números y caracteres especiales, me hace intocable.

Una contraseña muy compleja basta, por sí sola, para proteger mi cuenta.

Durante mucho tiempo, cuando era más joven y más ingenuo, pensaba que una contraseña muy compleja era todo lo que mis cuentas necesitaban.

Una frase de contraseña es más segura que una sola palabra repleta de caracteres especiales.

Las tres primeras tratan la complejidad como toda la defensa. Una se ofrece como una creencia antigua, de esas que parecen obvias hasta que dejan de serlo. La cuarta discute la forma de la contraseña, una frase en lugar de una palabra llena de símbolos, y sigue poniendo la contraseña misma en el centro.

La pregunta para nuestro equipo de seguridad: ¿una contraseña muy compleja, o una frase de contraseña, protege una cuenta por sí sola?

No. Una contraseña compleja, o una frase de contraseña aleatoria, no protege una cuenta por sí sola. Lo que sigue es previsible. La autenticación multifactor tampoco protege una cuenta por sí sola, y eso es cierto mucho más allá de un código SMS básico, más fácil de capturar para un atacante.

Hay varias técnicas de ataque, y una de ellas es el password spraying. Una contraseña compleja reduce ese tipo de ataque, o incluso impide que descubra su contraseña. En 2026, sin embargo, los atacantes capturan la contraseña. Por eso el phishing (pedirle que rellene un formulario con su cuenta y su contraseña) es una de las estrategias más populares. Una vez que el atacante le ha hecho introducir la contraseña, la longitud ya no importa. La tiene, y conoce su país. Entonces abre una VPN en su país, para sortear los controles de seguridad de Microsoft, y simplemente pega su contraseña.

La autenticación multifactor no le protege del todo por la misma razón. Durante esa misma técnica, los atacantes más sólidos van más lejos. Le piden que inicie sesión «con normalidad» en el sitio de Microsoft y luego capturan su token de sesión. Ese token puede nombrar la cuenta, a menudo su correo, y muestra que la solicitud de autenticación multifactor ya tuvo éxito. No contiene su contraseña. Reutilizarlo les permite actuar como usted mientras la sesión siga siendo válida, y solo dentro de lo que esa cuenta puede abrir. Una contraseña larga y compleja sí ayuda. Añada la autenticación multifactor. Más importante todavía, preste atención al lugar donde introduce su información.

Todos vamos a caer

Unos compañeros describieron una forma más callada de rendirse: la sensación de que ocurrirá de todos modos, o de que son demasiado corrientes para que valga la pena.

Todos vamos a caer, tarde o temprano.

Si alguien con habilidad quiere de verdad entrar en mi cuenta, o en mi ordenador, entrará, aunque tenga un antivirus.

No tengo nada que ocultar, así que no necesito preocuparme de verdad por los datos que las empresas recogen sobre mí, qué hacen con ellos o con quién los comparten.

Nadie querría hackear mi cuenta. No hay nada interesante.

No tengo nada que valga la pena robar.

Las dos primeras tratan una intrusión como una cuestión de tiempo. En ese cuadro, un atacante hábil entra de todos modos, antivirus incluido. Las otras tres tratan a la persona como demasiado pequeña, o demasiado inocente, para importar. El compañero que transmitió «no tengo nada que ocultar» no estaba de acuerdo. Si la gente viera cuánto pueden recoger, compartir y vender las empresas, estaría mucho menos tranquila. Llega más lejos de lo que la mayoría pensamos, y hasta quien lo escribía sospechaba que la lista completa le sorprendería.

La pregunta para nuestro equipo de seguridad: ¿«todos caemos tarde o temprano» es una descripción justa, o una razón para dejar de intentarlo? Si el atacante es lo bastante hábil, ¿el antivirus cambia el resultado? Y ¿no tener nada que ocultar, o nada interesante, mantiene de verdad a una persona o a una cuenta fuera de la lista?

En absoluto. Es cierto que nosotros, o la empresa con la que trabajamos para nuestros datos protegidos, o nuestra propia empresa, recibiremos un golpe un día u otro. Eso no es una razón para publicar el número de la tarjeta de crédito o dejar la puerta de casa abierta.

La mayoría de los ataques de 2025 fueron oportunistas. Si es fácil, esos son los primeros objetivos: aquellos a los que un atacante va a por información y, sobre todo, a por dinero. Exactamente por eso conviene prestar atención. No hasta enfermar, sino hasta un nivel de comodidad con el que se pueda vivir mientras se protegen los datos personales, para no entrar en pánico cuando llegue el día. En el mejor de los casos, esté preparado. Tenga a alguien a quien llamar que pueda guiarle, o pasos ya escritos para el día en que le quiten todas las contraseñas, o sus datos bancarios. Esté preparado, en lugar de entrar en pánico cuando ocurra.

Nada es realmente seguro al 100 %

Otros compañeros partieron del techo y luego nombraron lo que todavía pondrían en el camino.

Nada es realmente seguro al 100 %. El objetivo práctico es poner tantos obstáculos como sea posible en el camino de un atacante, para que pierda el interés y siga adelante.

En 2026, una buena VPN y un antivirus en cada dispositivo todavía importan.

Activar la autenticación multifactor es una de las cosas más eficaces que puedo hacer para proteger mis cuentas.

Una contraseña fuerte por sí sola no basta. La autenticación multifactor es esencial, aunque no pueda detener todos los ataques.

La primera respuesta marca el límite: la seguridad perfecta no está a la venta, así que el trabajo es la fricción. Las otras nombran las herramientas con las que la gente todavía cuenta bajo ese límite. Una VPN y un antivirus, en cada dispositivo, todavía en 2026. La autenticación multifactor como uno de los pasos más útiles. Y, en el mismo aliento, un aviso: es esencial y sigue sin ser una garantía.

La pregunta para nuestro equipo de seguridad: si nada es del todo seguro, ¿cuáles de estos obstáculos cambian de verdad el resultado? ¿Dónde siguen teniendo su lugar una VPN, un antivirus y la autenticación multifactor, y dónde se les pide más de lo que pueden hacer?

Nada es infalible. Dicho esto, cada herramienta le protege hasta el nivel de comodidad y de expectativa que usted fije. Empiece por identificar dónde dolería más un golpe. Alguien que conoce su ubicación. Un virus que le impide trabajar durante dos semanas. Perder sus datos bancarios y sufrir un fraude. Una vez nombrado ese punto débil, añada controles de seguridad a su alrededor.

El mínimo es claro: una contraseña compleja o una frase de contraseña larga, y no usar nunca la misma contraseña dos veces. Autenticación multifactor en cada una de esas cuentas (vivan los gestores de contraseñas gratuitos). Un antivirus que no frene su trabajo (sí, existe cuando está bien configurado). Ponga un poco de energía en aplicarlo, y podrá volver a su café o a su té sabiendo que está protegido en proporción al esfuerzo que eligió dedicar, y que está cómodo con el punto al que ha llegado.

Ingeniería social

Varios compañeros pusieron el fallo principal en la persona, no en el producto.

La mejor protección es prestar atención.

El fallo principal de cada sistema informático es el ser humano, y lo bien que resiste la ingeniería social.

El mayor riesgo nunca es la tecnología. Es el hábito. Invertimos en herramientas sofisticadas y olvidamos que cerca del 90 % de las intrusiones siguen empezando con un clic un poco demasiado rápido.

La ingeniería social será siempre la mayor puerta de entrada.

El ser humano es el eslabón central.

Una respuesta trata la atención como el control de verdad. Otras llaman a la ingeniería social la puerta que se queda abierta, y al ser humano el punto débil que todo sistema todavía tiene.

La pregunta para nuestro equipo de seguridad: ¿la ingeniería social sigue siendo la principal vía de entrada, incluso cuando las herramientas ya están en su sitio?

El phishing es la forma más popular de obtener acceso, y el phishing es en sí una forma de ingeniería social. Por desgracia es la que mejor funciona. Hay, sin embargo, varios niveles de ataque. Para un ataque sofisticado, o para un paso avanzado en un escenario concreto, otras técnicas de ingeniería social, más allá del mensaje de phishing, son las que producen más resultados.

Ya a la venta en la dark web

Cuatro respuestas esta vez, todas sobre la información personal una vez que ya no es solo suya: ya a la venta, al alcance de la IA, todavía en línea después de borrarla, o nunca compartida desde el principio.

Nuestra información personal ya está a la venta en la dark web.

La IA nunca podrá acceder a mi información personal sin mi consentimiento.

Una vez que algo se pone en línea, existe para siempre, aunque se borre después. La privacidad desaparece en línea.

Poner en internet tan poca información personal como sea posible es un buen comienzo para mantener una vida en privado. Eso incluye el correo, los documentos guardados en la nube y las conversaciones de mensajería.

La primera trata la venta como un hecho. Su información ya está fuera. La segunda dice que el consentimiento es lo que mantiene a la IA lejos. La tercera dice que borrar una publicación no la recupera, así que la privacidad en línea ya se ha ido. La cuarta busca una huella más pequeña desde el principio: menos correo, menos archivos en la nube, menos chats dejados en línea.

La pregunta para nuestro equipo de seguridad: ¿la información personal ya está a la venta para una persona corriente, y qué significa de verdad «ya a la venta»? ¿Puede la IA llegar a esos datos sin consentimiento? ¿Borrar algo en línea lo elimina?

Hay mucha información disponible en sitios de atacantes, pero no todo el mundo puede llegar a ella. Están la deep web y la dark web. La deep web es mucho más fácil de alcanzar. Si su información acaba en la deep web, los problemas llegan más rápido y golpean más fuerte. En los ataques sofisticados, la información acaba en la dark web y se queda oculta la mayor parte del tiempo, porque vale dinero cuando se revende. Se usará, sí. Con buenas protecciones, como una protección de su expediente de crédito, puede reaccionar, o incluso bloquear esas transacciones fraudulentas. Una buena protección no es algo que se deba saltar: le ahorra muchos problemas.

Si el ajuste está en off, la aplicación se detiene

Un compañero puso su confianza en una casilla que estaba justo ahí: la desactivó y, en su cabeza, la aplicación tiene que obedecer.

Si pongo un ajuste en OFF, no hay forma de que la aplicación siga haciéndolo. ¿Verdad?

Un ajuste en off debería significar algo. El mito es tratar el interruptor como toda la historia.

La pregunta para nuestro equipo de seguridad: cuando ese ajuste está desactivado, ¿qué puede seguir haciendo la aplicación?

Si la función de la aplicación está en off, la aplicación no puede realizar la acción que usted desactivó. Sin embargo, a menudo hemos visto, en herramientas (sobre todo SaaS), que funciones de exclusión voluntaria pasan a ser de inclusión. Lea las notas de la versión, o compruebe con regularidad, para confirmar que los controles de seguridad que puso siguen en su sitio. La mayoría de las empresas son conscientes de la seguridad y no le pondrán en riesgo sin decírselo de forma clara y precisa.

No confiar en nadie

Un compañero respondió con una regla, no con un mito: no confíe en nada de lo que le digan, compruébelo, guarde una copia de seguridad y ejecute el servicio usted mismo.

No confiar en nadie, verificar siempre, hacer copia de todo, autoalojarse.

Es toda una forma de estar en línea: dudar del mensaje, comprobarlo en otro sitio, guardar una copia y mantener el servicio en las propias manos. Una regla estricta todavía se puede seguir más allá del punto en que ayuda.

La pregunta para nuestro equipo de seguridad: ¿dónde se sostiene «no confiar en nadie, verificar siempre, hacer copia de todo, autoalojarse» para una persona, y dónde crea un problema nuevo?

La diligencia vence a la creencia, obviamente. Una comprobación de unos minutos puede ahorrarle a una empresa varios miles de dólares. Una copia de seguridad bien hecha significa una copia de la copia, guardada fuera de la empresa, sin un camino de vuelta a esa copia desde la empresa. Eso es lo que hace falta para una copia de verdad a salvo. El alojamiento local es más seguro solo si usted tiene controles de protección más fuertes en su propia plataforma. Un servidor local que abre a internet sin un WAF de gama alta delante no es una gran protección. Desde luego no es más fuerte que una empresa que vende un producto SaaS y pone varias capas de protección por encima de la aplicación, capas pensadas para proteger sus datos. Dicho esto, un servidor local con acceso solo local está mucho mejor protegido que cualquier cosa expuesta a internet. Esa parte es segura.

Si hay una sola cosa que recordar

En las siete respuestas, el patrón es el mismo. Ningún control, por sí solo, termina el trabajo, y ninguno es inútil. Una contraseña larga, la autenticación multifactor, un antivirus, una copia de seguridad y un ajuste desactivado aguantan cada uno hasta cierto punto. Lo que vuelve es la atención: dónde escribe una contraseña, si un control sigue activo y a quién llama cuando algo va mal, como lo expresó David Grandolfo con sus palabras:

La ciberseguridad no descansa en una sola herramienta, ni en una promesa de protección perfecta. Descansa en hábitos sencillos, aplicados con constancia. Use contraseñas largas y únicas en un gestor de contraseñas, active la autenticación multifactor, mantenga sus dispositivos al día y permanezca atento antes de hacer clic, iniciar sesión o compartir una información. El antivirus, una VPN, las copias de seguridad y los ajustes de privacidad añaden capas útiles, pero no sustituyen ni su juicio ni un mínimo de preparación si ocurre un incidente. Los ataques suelen ir a por las oportunidades fáciles. Hacer el ataque más difícil, comprobar lo que parece inusual y saber a quién acudir cuando algo no encaja: eso sigue siendo la mejor defensa.