Post actualizado el día octubre 28, 2026 by DeiviSanzPlay
La mayoría de la gente que empieza en ciberseguridad lo hace comprando un antivirus de pago y cambiando la contraseña del correo. Dos semanas después se siente igual de expuesta. El problema no es la falta de herramientas, sino que nadie explica qué ataque concreto intentas evitar. Y sin esa referencia, cualquier consejo suena igual de urgente y de inútil al mismo tiempo.
Esta guía parte de una premisa incómoda: no vas a ser invulnerable. Vas a reducir la probabilidad de los incidentes que de verdad ocurren a personas normales, que son pocos y bastante predecibles.
Los tres ataques que sí te van a pasar (y los que probablemente no)
En entornos domésticos y de pequeña oficina, los incidentes reales se concentran en tres patrones:
- Phishing por correo o SMS que suplanta a tu banco, a una paquetería o a Hacienda. Es el vector número uno según los informes anuales de organismos como INCIBE o ENISA.
- Reutilización de contraseñas: una filtración en un foro antiguo se convierte en acceso a tu correo porque usaste la misma clave.
- Dispositivos sin actualizar: router con firmware de hace cuatro años, móvil Android sin parches, Windows 10 sin soporte extendido.
Lo que casi nunca te pasará: un ataque dirigido de un grupo APT, un exploit de día cero contra tu portátil personal o que alguien te hackee «porque sí». Si tu amenaza realista es el compañero de piso o el primo que toca tu ordenador, el enfoque cambia por completo.
Un orden de prioridades que funciona
Si solo tienes una tarde, haz esto en este orden. No es el orden más vistoso, es el que cubre más superficie de riesgo por hora invertida.
1. Gestor de contraseñas antes que antivirus
Un gestor (Bitwarden, 1Password, KeePassXC) resuelve el problema de raíz: dejas de memorizar y empiezas a generar claves únicas de 16 caracteres. La contraseña maestra es el único secreto que debes recordar. El antivirus gratuito de Windows Defender cubre la mayoría de casos domésticos; el gestor no tiene sustituto razonable. Empieza por ahí.
2. Segundo factor, pero bien puesto
El 2FA por SMS es mejor que nada, aunque es vulnerable a SIM swapping. Si el servicio lo permite, usa app TOTP (Aegis, Ente Auth) o llave física. Aviso honesto: no todos los servicios aceptan llaves físicas, y algunos bancos españoles siguen enviando códigos por SMS. Ahí no puedes hacer más que exigir a tu entidad que mejore.
3. Actualizaciones automáticas y reinicios
Suena aburrido porque lo es. Un router con firmware de 2020 es una puerta abierta documentada en bases como CVE. Entra en su panel, busca actualizaciones y, si no las hay, considera reemplazarlo. Los routers de operador suelen recibir parches tarde; ahí tienes una limitación real que no depende de ti.
Un error concreto que veo repetirse
Al configurar un NAS doméstico o una cámara IP, mucha gente abre el puerto en el router para acceder desde fuera y lo protege con la contraseña por defecto del fabricante (admin/admin, 12345, o el serial). En cuestión de horas aparecen en escaneos masivos. Una alternativa más segura: no abrir puertos, usar la VPN del propio router o un servicio de acceso remoto con autenticación. Si no sabes qué es un puerto, no lo abras. Esto no funciona para todos los dispositivos: algunas cámaras baratas solo ofrecen acceso por puerto abierto, y ahí la recomendación honesta es no exponerlas a internet.
Copias de seguridad: el consejo que la gente ignora
El ransomware no se combate con antivirus, se combate con copias. La regla 3-2-1 (tres copias, dos medios, una fuera de casa) sigue vigente. Para un particular, una copia en disco externo desconectado y otra en nube cifrada es suficiente. Ojo: si el disco externo está siempre enchufado, el ransomware lo cifra también. Desconéctalo.
Qué no vas a conseguir con esta guía
No vas a quedar invisible. No vas a evitar que una empresa filtre tus datos. No vas a protegerte al 100% de un phishing bien elaborado si estás cansado y con prisa. La ciberseguridad personal es gestión de riesgo, no eliminación de riesgo. Asumir eso te ahorra comprar productos milagro y te ayuda a centrarte en lo que sí depende de ti: contraseñas únicas, 2FA donde se pueda, actualizaciones al día, copias desconectadas y desconfianza selectiva ante mensajes que piden urgencia.
Si quieres profundizar, las guías de la Oficina de Seguridad del Internauta y los materiales formativos de INCIBE son gratuitos y están en español. No necesitas un curso de pago para empezar.
Perfiles verificables: Sitio web
Publicado el 28 de October de 2026. Última revisión: 28 de October de 2026.
