El Instituto Nacional de Ciberseguridad (INCIBE) ha publicado una guía con seis configuraciones básicas para proteger la cuenta de correo electrónico, con instrucciones concretas para Gmail, Outlook y Apple Mail. El punto de partida es sencillo: el correo ya no sirve solo para enviar mensajes, sino que es la llave con la que se recuperan las contraseñas de bancos, redes sociales y tiendas online. Quien entra en el correo puede acabar entrando en todo lo demás.
Las claves en 20 segundos
- Por qué importa: con acceso a tu correo, un atacante puede restablecer las contraseñas de casi todos tus servicios y suplantar tu identidad.
- Lo imprescindible: contraseña larga y única y verificación en dos pasos activada.
- Lo recomendable: alertas de inicio de sesión, copias de seguridad, filtros antispam y menos suscripciones.
- Si tienes dudas: la línea de ayuda de INCIBE atiende en el 017, por WhatsApp (900 116 117) y por Telegram (@INCIBE017).
El correo, la llave maestra de tu vida digital
La guía, publicada el 28 de octubre en el blog de ciudadanía de INCIBE, recuerda algo que solemos olvidar: usamos la misma dirección para registrarnos en decenas de aplicaciones y para recibir los enlaces de recuperación de contraseña. Si alguien la controla, puede acceder a datos personales como el nombre completo, el DNI, el teléfono o los datos bancarios, robar cuentas o cometer fraudes en nombre de la víctima. Estas son las seis medidas que propone, con las capturas de su propia guía.
1. Una contraseña robusta y que no uses en ningún otro sitio
INCIBE recomienda contraseñas de al menos 8 a 10 caracteres que combinen mayúsculas, minúsculas, números y símbolos, cambiarlas con regularidad y, sobre todo, no reutilizarlas en otros servicios. Ese último punto es el más importante: cuando se filtra la base de datos de una tienda online, los atacantes prueban esas mismas credenciales en los principales proveedores de correo.
Un matiz: las recomendaciones actuales del NIST estadounidense priorizan la longitud sobre la complejidad y desaconsejan obligar a cambios periódicos si no hay indicios de que la clave se haya filtrado. En la práctica, una frase de contraseña de 14 o más caracteres guardada en un gestor de contraseñas es más segura y fácil de mantener que una clave corta que se cambia cada pocos meses.
2. Verificación en dos pasos: la medida que más protege
Con la autenticación en dos factores, además de la contraseña hace falta un código que cambia cada vez y que solo llega al teléfono del titular o a una aplicación de autenticación. Aunque alguien descubra la clave, no podrá entrar sin ese segundo elemento. En Gmail se activa desde Gestionar tu cuenta de Google, Seguridad y Verificación en dos pasos; en Outlook, desde Mi cuenta de Microsoft, Seguridad y Verificación en dos pasos; y en Apple, desde Ajustes, el nombre del usuario e Inicio de sesión y seguridad.
Si el proveedor lo permite, conviene dar un paso más: las llaves de acceso (passkeys) o una aplicación de autenticación son más seguras que los códigos por SMS, que pueden interceptarse con un duplicado de la tarjeta SIM. Y ningún segundo factor es infalible frente al phishing más sofisticado, como explicamos al hablar de cómo Evilginx roba la sesión aunque haya MFA; las passkeys sí resisten ese tipo de ataque porque están ligadas al dominio legítimo.
3. Alertas cuando alguien inicia sesión
Las notificaciones de inicio de sesión avisan cuando alguien accede a la cuenta desde un dispositivo que no se reconoce. Permiten reaccionar en minutos: cerrar esa sesión, cambiar la contraseña y revisar qué se ha tocado.
4. Copias de seguridad de correos y contactos
INCIBE aconseja hacer copias periódicas de los mensajes y los contactos, tanto para cambiar de cuenta sin perder nada como para tener un respaldo si la cuenta se pierde o se bloquea. Los principales proveedores permiten exportar los datos desde la configuración de la cuenta.
5. Filtros antispam
Configurar bien los filtros reduce la llegada de correos no deseados y, sobre todo, de intentos de phishing. Marcar como spam los mensajes fraudulentos en lugar de borrarlos sin más ayuda además a que el filtro del proveedor aprenda.
6. Darse de baja de lo que no lees
Cancelar boletines y servicios que ya no interesan reduce el ruido en la bandeja de entrada, lo que hace más fácil detectar un mensaje sospechoso. INCIBE indica que en Gmail, Outlook y Apple Mail se hace de la misma forma. Un aviso: dar de baja solo los envíos de remitentes conocidos; en el spam evidente, pulsar en «darse de baja» confirma que la dirección está activa.
Lo que también conviene revisar
La guía de INCIBE cubre lo esencial. Hay otros ajustes que merece la pena comprobar de vez en cuando, porque son los que suelen usar los atacantes cuando ya han entrado:
- Teléfono y correo de recuperación: que estén actualizados y sean tuyos, porque son la vía para recuperar la cuenta.
- Sesiones y dispositivos abiertos: cerrar los que no reconozcas o ya no uses.
- Reenvíos y reglas automáticas: una regla que reenvía tu correo a otra dirección es una técnica habitual para seguir espiando aunque cambies la contraseña.
- Aplicaciones con acceso a la cuenta: retirar el permiso a las que ya no utilices.
Ante cualquier duda, la Línea de Ayuda en Ciberseguridad de INCIBE ofrece orientación gratuita y confidencial en el 017, por WhatsApp en el 900 116 117 y por Telegram en @INCIBE017.
Preguntas frecuentes
¿Qué es lo primero que debería configurar en mi correo?
Una contraseña larga que no uses en ningún otro servicio y la verificación en dos pasos. Son las dos medidas que más dificultan un acceso no autorizado.
¿Cómo activo la verificación en dos pasos en Gmail?
Desde tu perfil, en Gestionar tu cuenta de Google, Seguridad, Verificación en dos pasos y Activar verificación en dos pasos, según la guía de INCIBE.
¿Hay que cambiar la contraseña del correo cada pocos meses?
INCIBE lo recomienda. Las guías del NIST estadounidense, en cambio, priorizan una contraseña larga y única y piden cambiarla solo si hay indicios de que se ha filtrado. En ambos casos, lo esencial es no reutilizarla.
¿Dónde puedo pedir ayuda si creo que han entrado en mi correo?
En la Línea de Ayuda en Ciberseguridad de INCIBE: teléfono 017, WhatsApp 900 116 117 o Telegram @INCIBE017.
Fuente: INCIBE, «Configuraciones seguras para proteger tu correo electrónico»
