Diez claves sobre tu correo, tu usuario y por qué los roban

Para entrar en cualquier sitio hacen falta dos cosas: decir quién eres y demostrarlo. Estas diez claves van de la primera, la que casi nadie protege.

1. Entrar en un sitio son dos cosas: decir quién eres y demostrarlo

   El identificador (el usuario) y la contraseña. Nos preocupamos solo de la segunda, pero la mayoría de los robos de cuentas empiezan por la primera: el atacante ya sabe tu correo y, a menudo, una contraseña que usaste alguna vez.

2. Tu correo se convirtió en el usuario universal

   Hace años cada web te pedía un nombre de usuario. Hoy casi todas usan tu dirección de correo. Es cómodo, y tiene un coste: la misma dirección, pública y fácil de adivinar, es tu identificador en el banco, en la tienda, en el médico y en el foro de hace diez años. Quien la conozca sabe por dónde empezar en todos ellos.

3. Las filtraciones se prueban en todas partes

   Cada vez que una web sufre una filtración, aparecen listas con millones de pares de correo y contraseña. Los atacantes las prueban de forma automática en otros servicios, a miles por minuto. Se llama relleno de credenciales y funciona porque mucha gente repite contraseña. No hace falta adivinar nada: basta con probar lo que ya se sabe.

4. Una contraseña distinta por servicio lo desactiva

   Si una se filtra, el par correo-contraseña robado no abre ninguna otra puerta. Un gestor de contraseñas existe para esto: él las recuerda todas, tú recuerdas solo la suya. Es la medida que más protege de toda esta lista.

5. La cuenta de correo es la llave maestra

   Es donde llegan los enlaces de «he olvidado mi contraseña». Quien controle tu correo puede restablecer la contraseña de casi cualquier servicio, y además leerte. Dale una contraseña larga y única (una frase de cuatro o cinco palabras), doble factor con app o llave, y revisa de vez en cuando qué dispositivos y aplicaciones tienen acceso.

6. El teléfono no es tan tuyo como parece

   Muchos servicios aceptan el número de móvil como usuario o lo usan para recuperar la cuenta. En el fraude del duplicado de SIM, alguien convence a la operadora, con datos tuyos sacados de otras filtraciones, de que le envíe una SIM nueva con tu número. Desde ese momento tus SMS llegan a su teléfono, incluidos los códigos del banco. Por eso el SMS es el doble factor más flojo.

7. El DNI es un identificador, nunca un secreto

   Bancos, administraciones y mutuas lo usan como usuario, y tiene sentido para ellos. Pero el DNI está en contratos, formularios y fotocopias de medio país. Trátalo como lo que es y nunca lo uses como parte de una contraseña ni de un PIN. Lo mismo vale para la fecha de nacimiento.

8. «Iniciar sesión con Google» pone todos los huevos en una cesta

   Esos botones evitan crear otra cuenta más: la web se fía de que Google o Apple ya han comprobado quién eres. Menos contraseñas que gestionar, y la cuenta grande suele estar mejor protegida que la pequeña. El riesgo: si pierdes esa cuenta, pierdes todas; si la roban, las roban todas. Una razón más para blindarla como la del correo, que a menudo es la misma.

9. Los alias de correo devuelven un usuario distinto a cada sitio

   Apple y algunos gestores ofrecen direcciones intermedias, una por servicio, que reenvían a la tuya. Si una se filtra o empieza a recibir spam, se apaga y la real sigue limpia. Es la forma de recuperar lo que se perdió cuando el correo se convirtió en usuario universal.

10. Tu nombre público no debería ser tu usuario privado

    En redes y foros el nombre de usuario es público por naturaleza, y está bien. Lo que conviene evitar es que ese mismo nombre sea el usuario del banco o del correo. Si alguien ve @juanlp82 en un foro, no debería poder deducir tu usuario en otros sitios ni, peor, tu dirección de correo.