Cambiar la contraseña tras una filtración de datos: guía de INCIBE

Te llega un aviso: una empresa donde tienes cuenta ha sufrido un ataque y los datos de sus usuarios se han filtrado. Lo primero es mantener la calma. Esta guía resume lo que dicen dos artículos del INCIBE: uno publicado el 11 de octubre de 2021 sobre qué hacer ante una filtración y otro del 28 de febrero de 2024 sobre contraseñas seguras.

Por qué una contraseña filtrada importa

Según INCIBE, con una contraseña filtrada los atacantes pueden acceder a la cuenta afectada y a todas aquellas en las que uses la misma contraseña. Con ese dato podrían, por ejemplo, hacerse pasar por ti en redes sociales o realizar compras online a tu cargo.

INCIBE añade un matiz que ayuda a no dramatizar: puede tratarse de datos antiguos, como un correo electrónico y una contraseña distintos de los que usas ahora. Aun así, recomienda considerar comprometido, por defecto, cualquier dato que hayas compartido con la empresa.

Primer paso: averiguar qué datos se han filtrado

Cuando una filtración se hace pública, es común que también se sepa qué tipo de datos han salido, bien porque los atacantes lo han dado a conocer, bien porque la empresa atacada ha publicado un comunicado oficial. Intenta averiguar cuáles de tus datos pueden haberse visto afectados.

INCIBE recuerda además que cualquier usuario tiene derecho a obtener toda la información que un servicio online tenga sobre él. Es una práctica útil para saber cuánta información compartes.

Cambia la contraseña donde corresponde

Si tu contraseña ha sido filtrada, INCIBE dice que es fundamental cambiarla y actualizarla. Hay que hacerlo en dos sitios:

• en el servicio que ha sufrido el ataque;
• en cualquier otro donde hayas usado la misma clave o una parecida.

Los artículos no fijan cada cuánto tiempo hay que renovar las contraseñas. La recomendación se refiere al momento en que sabes o sospechas que una clave se ha filtrado.

Cómo es una contraseña robusta

El artículo de febrero de 2024 describe una contraseña robusta como una que debe tener una longitud de entre 8-10 caracteres, combinar caracteres y no incluir información personal ni palabras comunes. Esa cifra aparece así en el texto de INCIBE; no hemos encontrado en las fuentes una longitud más precisa, así que conviene tomarla como una referencia orientativa.

Lo que sí subraya el artículo es que no basta con que sea robusta. Por comodidad, mucha gente usa la misma para todo, y eso la deja expuesta ante los ciberdelincuentes.

Un gestor de contraseñas para no repetir claves

INCIBE enumera las ventajas de un gestor de contraseñas:

• no necesitas recordar todas las claves, solo la contraseña maestra, que debe ser robusta;
• puede cifrar las contraseñas almacenadas;
• permite activar mecanismos de doble verificación;
• genera contraseñas robustas de manera aleatoria;
• permite autocompletar los campos de inicio de sesión en el navegador;
• da acceso a las contraseñas desde cualquier dispositivo con conexión y permite organizarlas en carpetas o categorías.

El artículo sobre filtraciones añade que algunos gestores avisan cuando llega la hora de actualizar una clave o cuando una cuenta ha podido ser víctima de una filtración.

Activa la autenticación de dos factores

Siempre que sea posible, INCIBE recomienda configurar la autenticación de dos factores, también llamada doble factor, verificación en dos pasos o autenticación de dos pasos. Para entrar, además de la contraseña, se necesita algo que solo tú tienes, como un código de un solo uso enviado a tu móvil. Si alguien robara tu clave, no podría acceder a la cuenta sin ese código.

Otras medidas que menciona INCIBE

Según los artículos, también ayuda a:

• comprobar tus cuentas en servicios como Have I Been Pwned, que permite saber a partir de tu correo si alguna cuenta vinculada ha sido afectada por una filtración, y revisarlo periódicamente;
• usar correos alternativos y números de teléfono temporales al registrarte en servicios que vas a usar puntualmente;
• avisar a tu banco si se han filtrado datos bancarios, para que evalúen el riesgo y puedan anular la tarjeta;
• presentar una reclamación ante la Agencia Española de Protección de Datos si consideras que la empresa no actuó con la debida diligencia.

Si tienes dudas, la Línea de Ayuda en Ciberseguridad de INCIBE es el 017, un teléfono gratuito y confidencial.

Qué puede y qué no puede decirte nuestro análisis

El análisis gratuito de Remove Me no necesita cuenta: busca en resultados web públicos, en filtraciones de datos conocidas (Have I Been Pwned) y en un registro de intermediarios de datos, y muestra un informe que se desbloquea con un código de 6 dígitos enviado por correo. Remove Me aún no envía solicitudes de supresión en tu nombre.