De hace unos años que vengo preocupándome cada vez más por la privacidad, la seguridad y la higiene digital. Viendo las últimas filtraciones de datos tan tochas (DGT, Telefónica, Santander…) y que el tema de la higiene digital es un poco desconocida, pero que tiene una importancia enorme hoy en día, he pensado en escribir esta serie de recomendaciones y consejos para que, dentro de lo posible, vuestra privacidad y seguridad esté más protegida -que a veces no es mucho a no ser que se lleguen a unas acciones bastante extremas que, por desgracia, suelen ser difíciles de seguir hoy en día por lo extendido que está el uso de Internet y por servicios tan usados, y tan poco respetuosos con la privacidad, como Google-.
Antes de adentrarme en el tema quiero aclarar que no soy experto en ciberseguridad, ni tengo formación técnica. Esta guía/recomendaciones está basada en mi propia experiencia, en las pruebas de software y servicios que he ido haciendo, en mi interés por evitar software privado (ya que si cierran de forma repentina te pueden dejar incluso sin acceder a tu propia información), y en mi interés por cuidar mi huella digital, mi seguridad, mi privacidad, y mi información personal.
Dicho esto, aquí os dejo mis recomendaciones. Son 6 puntos, y 3 de ellos están muy relacionados entre sí.
Gestor de contraseñas
Programa recomendado: KeePassXC
A estas alturas aún hay muchísima gente que usa las mismas contraseñas para todos sus servicios. En ocasiones cambian uno o dos caracteres (que suelen hacer referencia al servicio en cuestión), pero sigue siendo un riesgo enorme ya que en el momento que te descubren la técnica todos tus servicios estarán en entredicho.
Hace poco supe del caso de una tatuadora a la que le hackearon todos sus servicios (Gmail, cuenta de Apple, Netflix, Instagram, YouTube, Spotify…). Ella creía que le estaban atacando desde la competencia y que era una cuestión personal contra ella, y aunque no lo puedo confirmar mi apuesta es que tenía la misma contraseña en todos lados y a partir de ahí han empezado a probar su e-mail y su contraseña en los servicios más habituales.
Usar contraseñas cortas (menos de 12-14 caracteres), sin caracteres especiales, sin alternar mayúsculas y minúsculas, sin números… O repetir las mismas contraseñas en todos los servicios es un riesgo enorme.
Imaginad el daño que os pueden hacer si acceden a vuestros correos, a vuestras cuentas de RRSS, a vuestros servicios de pago como PayPal, etc… KeePassXC (y cualquier gestor de contraseñas) te permite generar contraseñas aleatorias para cada servicio y así evitar riesgos tan grandes de seguridad.
¿Es un coñazo tener que ir cambiando contraseñas de todos los servicios, de los cuales ni te acordarás? Pues sí, lo es. Pero es ir haciéndolo poco a poco, empezando por aquellas webs y servicios más críticos (correos electrónicos, PayPal, redes sociales, MediaVida…) y con el tiempo ir migrando el resto.
Usar gestores de contraseñas es también una buena forma de tener controlado en dónde os registráis. A mí personalmente no me gusta registrarme en webs, y si me veo obligado a hacerlo con el tiempo me gusta hacer limpieza de cuentas solicitando el borrado de mis datos.
¿Por qué uso KeePassXC y no Bitwarden, que también se recomienda mucho? Porque por muy seguro como parece ser Bitwarden, sigue estando centralizado y accesible desde Internet. En general prefiero servicios locales, y en algo tan crítico como un baúl con todas mis contraseñas, con más motivo.
En este tema no me quiero extender mucho más ya que hay un hilo con muchísimas páginas en el que se habla de KeePass y de muchos gestores de contraseña.
Por cierto, respecto a la tatuadora que comentaba antes, también puede ser que le hayan sacado la contraseña del correo y a partir de ahí le hayan dado a “recuperar contraseña” en los servicios más habituales. Lo que nos lleva al siguiente punto: el doble factor de autentificación.
2FA (doble factor de autentificación)
App recomendada: Aegis
El doble factor de autentificación os salvará en caso de que alguien descubra vuestra contraseña. Tener una segunda capa de seguridad a la hora de iniciar sesión en los servicios más importantes (correo electrónico, PayPal, redes sociales…) os evitará algún susto importante. Tener una contraseña robusta es un primer paso, pero aquello que más os preocupa no está de más que necesite otra capa de protección.
El 2FA suele ser un número de 6 dígitos generado aleatoriamente y que se actualiza cada 15 segundos. Cuando vayáis a iniciar sesión tendréis que poner primero vuestra contraseña y luego el código 2FA generado aleatoriamente en ese momento.
Hay varios programas de empresas muy conocidas que pueden cumplir este cometido, como Microsoft Authenticator o Google Authenticator, pero además de que prefiero evitar, en lo posible, a esas empresas, hasta hace poco la app de Google no te permitía hacer copias de seguridad de tus tokens de autentificación, por lo que si se te perdía el móvil, si te lo robaban o si se te rompía te quedabas sin acceso a todos esos servicios. Si no me equivoco ahora ya sí que permiten hacer copia de seguridad, pero para mí Aegis es la solución perfecta.
Aegis es de código libre, la base de datos está encriptada, permite copias de seguridad, la interfaz está muy bien, puedes abrir la app desde el móvil usando la huella dactilar o una contraseña, se actualiza con cierta regularidad y es muy recomendada en la comunidad.
Por cierto, a no ser que no tengáis otra opción os recomiendo NO utilizar el SMS como 2FA. Si no hay otra opción es mejor que nada, pero sino optad siempre por una app. Con la facilidad para suplantar la identidad que, por desgracia, vivimos hoy en día, sumado a ciertos empleados/as inútiles que trabajan en tiendas como la de Vodafone (que es la más habitual en sufrir este tipo de 'ataques'), es factible que hagan un duplicado de tu tarjeta SIM y tiren de los 2FA que tengáis asociados con el móvil para acceder a vuestras cuentas.
Llaves de seguridad
Llave recomendada: Yubikey
Otra capa de seguridad. Parecen pendrives USB, y normalmente tienen una zona de pulsación en el mismo cuerpo del “pendrive”. En este caso, para acceder a una web o servicio (no todos lo tienen implementado), además de poner tu contraseña tendrías que darle un toquecito a tu llave de seguridad, asegurándose el servicio que sólo la persona que posee esa llave de seguridad (que están identificadas de forma individual, es decir, sólo funciona si se usa la llave de seguridad tuya) podrá acceder.
Yo uso una Yubikey exclusivamente para KeePassXC. El resto de servicios importantes van todos por 2FA con Aegis.
Alias de correos
Servicio recomendado: SimpleLogin
El cometido de los alias de correos es muy sencillo: proteger tu dirección de correo electrónico, pero sin renunciar a la comodidad de recibirlo todo en tu misma bandeja de correo habitual.
Pongamos un ejemplo: supongamos que mi correo es alohabananero@gmail.com, y que me quiero registrar en MV, pero no quiero que Kaos, Thrazz y Beavis sepan mi correo original por si la base de datos de MV sufre un ataque y se filtra mi correo, o porque mi correo me identifica de forma muy clara -por ejemplo, si es mi nombre y mis apellidos-, o porque directamente quiero registrarme, mirar alguna cosa que requiere registro y olvidarme de esa cuenta, o por el motivo que sea.
En ese caso podemos crear un alias (que se crea en 5 segundos desde la propia web) llamado mv.nombrerandom@simplelogin.com. A partir de ahora, todos los emails que se envíen a ese alias los recibiré en la cuenta alohabananero@gmail.com. Es decir, seguirá siendo igual de cómodo para mi, y si se filtran los datos de la base de datos de MV es tan fácil como borrar ese alias de correo y así evitar todo el phishing o spam que te pudiesen enviar.
Además, usar un alias de correo es una muy buena forma para detectar webs sospechosas, de prácticas poco morales al vender tus datos o que han sido atacadas. Si yo empezase a recibir spam o intentos de phishing al email mv.nombrerandom@simplelogin.com sabría que esa web vende mis datos, o que su seguridad deja mucho que desear, y en lugar de tener que convivir con el spam y el phishing de por vida por culpa de las malas prácticas de esa web, simplemente borro ese alias y se acabó.
Tarjetas de débito virtuales/ecommerce/de un solo uso
Servicio recomendado: OpenBank
Cada vez damos con más alegría nuestros datos bancarios a cualquier tienda que nos lo pida. Nos hemos acostumbrado tanto a comprar por Internet que, en nuestra inocencia, no nos damos cuenta que no todas las webs son fiables.
Si bien intento no salirme de las webs que son conocidas por ser fiables, en alguna ocasión sí que compro cosas en webs que desconozco. En estos casos antes hago una investigación previa buscando valoraciones y opiniones en foros sobre la tienda en cuestión. También reviso la página de “Aviso legal”, en la que si la tienda es Española tienen que poner sus datos fiscales, lo cual me suele ayudar a quedarme más tranquilo.
Sea como sea esto no da ninguna certeza, por lo que, por si acaso, no está de más usar una cuenta bancaria secundaria, con una tarjeta de débito virtual/ecommerce, y si pasa algo que sólo tengan acceso a una parte pequeña de tu dinero.
Lo idóneo es usar una tarjeta de débito virtual/ecommerce/recargable, en la que tener el dinero justo para aquello que quieres comprar. Se recarga antes de hacer la compra por el importe que necesitas y al hacerse la compra la tarjeta se vuelve a quedar a 0€.
Por ejemplo, la de OpenBank. Un buen plan puede ser tener una cuenta principal en tu banco de confianza con tus ahorros y con las tarjetas desactivadas o muy limitadas para compras online, compras en el extranjero, etc... Y otra cuenta secundaria, como la de OpenBank, donde tengas algo de dinero (que lo transferirás de la cuenta principal de tu banco de confianza) y una tarjeta virtual con 0€ que recargarás de la misma cuenta secundaria -ya que se hace al momento- para comprar lo que necesites.
Así, si tu tarjeta se ve comprometida por Dios sabe quién, y Dios sabe cómo (siempre es así, pero el mal rato lo pasas tú y los bancos no saben explicar cómo ha sucedido) se encontrarán con que la tarjeta no tiene fondos, ya que estará vacía hasta que la recargues para comprar aquello que necesites, lo cual les dará un margen de unos minutos, provocando que la estafa sea muy poco probable.
Si no me equivoco hay otros servicios que pueden seguir esta misma línea. Creo que Revolut o N26 tienen tarjetas virtuales de un solo uso, lo cual también serviría en nuestro propósito, aunque no las he probado por lo que no puedo decir nada sobre ellas.
Copias de seguridad de archivos importantes
Servicio recomendado: Sync
(Gracias a @256 por la idea de añadir este apartado) Otro tema de la higiene digital son las copias de seguridad. Es probable que alguna vez os haya pasado de que se os rompa el disco duro o pendrive y hayáis perdido toda vuestra información. O incluso perder el móvil, o que os lo roben, o que se rompa, y perder todas las fotos que teníais guardadas.
Las prácticas recomendadas con el tema de copias de seguridad se basan en la teoría del 3-2-1:
- 3 copias de seguridad
- 2 medios diferentes
- 1 nube/externa
Por ejemplo, de las 3 copias de seguridad, 2 en casa y 1 en la nube.
Todo esto depende de la cantidad de archivos importantes que queráis proteger. Al final cada uno tiene sus propias necesidades, y habrá gente que con un pendrive de 64GBs tenga suficiente, y otros que necesitarán muchos TBs.
Como lo más habitual es no necesitar mucho espacio, lo ideal es no confiar en pendrives baratos. Un pendrive de marca SanDisk o Kingston de 256gbs no debería pasar los 30€.
En el caso de la nube yo personalmente no recomiendo ni Google Drive, ni OneDrive, ni Dropbox... Suelen ser servicios muy poco respetuosos con la privacidad. A mí ahora se me ha quedado pequeño, pero en su momento tenía suscripción a Sync, que destaca por su enfoque hacia la privacidad. Si no recuerdo mal los archivos se subían encriptados directamente, por lo que sin vuestra clave nadie puede acceder a ellos. Dispone de una cuenta gratuita de 5GBs por si lo queréis probar.
Aunque si lo que queréis es control total de vuestra información, lo más interesante es montar un NAS. Si es únicamente para backup y poco más, el Synology más barato de una bahía (como por ejemplo el DS120J) no debería pasar de 100-120€ y le podéis meter el disco duro de la capacidad que necesitéis. Es muy probable que paguéis menos comprando el NAS y un disco duro, que en 1 año de suscripción a cualquier servicio de almacenamiento en la nube de la misma capacidad de almacenamiento que vuestro NAS.
Como programa para sincronizar copias de seguridad os recomiendo Syncthing. Que, por cierto, también podéis usarlo en el móvil para sincronizar vuestros archivos del móvil con el PC/NAS por WIFI, y así tener copias de seguridad de vuestras fotos en otro sitio. Así, si perdéis el móvil, os lo roban o se rompe no habréis perdido vuestras fotos.
_ _ _ Hasta aquí las recomendaciones _ _ _
Por cierto, mencionaba que en lo posible me gusta usar programas de código libre. Estos programas no necesitan cracks ni historias de dudosa procedencia o dudoso interés para funcionar sin restricciones (la época en la que pirateábamos sin más preocupación ya pasó, hoy en día a saber qué puede haber detrás de esos cracks, keygens y demás. Pueden ser keyloggers encubiertos, mineros de bitcoins… Os recomendaría evitar piratear nada, o tirar de máquina virtual para instalar programas crackeados).
Los programas de código libre son programas que son gratuitos, pero eso no significa que las personas que los desarrollan no quieran o deban cobrar.
En el caso de KeePassXC le he hecho alguna donación al desarrollador, lo mismo a los desarrolladores de Aegis, y SimpleLogin, aunque se puede usar de forma gratuita, tiene un límite de 10 alias, por lo que viendo el servicio que ofrecen, y el precio que tiene la suscripción anual (30€), he pagado el premium.
Yo no sé programar, por lo que apenas puedo contribuir, pero hacerles alguna donación sí puedo, y así me aseguro de que esa gente cobre por su trabajo, y además tengan la motivación y ganas necesarias para seguir manteniendo ese programa o servicio que tan bien me viene a mí y a todos/as.
En fin, espero que todo esto os sirva para mantener una mejor higiene digital, aumentar vuestra seguridad online y vuestra privacidad. Si alguien quiere dar alternativas a los servicios y programas que he mencionado serán bienvenidas.
Actualizado el 1 de junio de 2024 para añadir sugerencias de copias de seguridad
.. Lo malo, que para enviar correos o dejas dineros o lo más normal es que entren como spam... pero a mi me sirve. Tengo como 34 aliases creados...
