y en el móvil
La mayoría de los ataques no los hace un «hacker» genial: los hace alguien que te engaña para que pulses un enlace, des un código o instales algo. Con unos pocos hábitos te proteges de casi todo. Esta unidad te los enseña.
Qué vas a aprender
- Reconocer las principales amenazas: malware, fraudes y robo de cuentas.
- Crear contraseñas fuertes, usar un gestor, la verificación en dos pasos y las llaves de acceso.
- Configurar el antivirus de Windows y mantener todo actualizado.
- Detectar phishing, smishing, vishing y las estafas por WhatsApp.
- Navegar, descargar y comprar con seguridad.
- Proteger el móvil, cuidar tu salud digital y saber qué hacer si te ocurre algo.
El programa pide «antivirus» y «rutinas de navegación segura». Hoy el antivirus de Windows (Microsoft Defender) es suficiente para la mayoría de usuarios, y los riesgos principales son el fraude y el robo de cuentas. Por eso se añaden la verificación en dos pasos, las llaves de acceso (passkeys), las estafas actuales (falsos SMS de paquetería, «hijo en apuros», deepfakes de famosos) y el bienestar digital que incluye DigComp 3.0.
Malware: programas maliciosos
Ingeniería social: el engaño
Es la técnica más usada: convencerte de que hagas algo (pulsar, pagar, dar un código) haciéndose pasar por tu banco, Correos, Hacienda, la policía, un familiar o el servicio técnico. Juega con las emociones: miedo («tu cuenta será bloqueada»), urgencia («hoy mismo»), codicia («has ganado») o cariño («mamá, se me ha roto el móvil»).
y llaves de acceso
Una buena contraseña
Tortuga-Lunes-Azul-Trompeta-27.123456. Las primeras que prueban los atacantes son las más usadas.El gestor de contraseñas
Nadie puede recordar 50 contraseñas distintas. Un gestor las genera, las guarda cifradas y las rellena por ti; tú solo recuerdas una contraseña maestra muy buena. Opciones: Bitwarden (gratuito y de código abierto), el gestor de Google (Chrome y Android), Contraseñas de Apple (iPhone y Mac), el de Microsoft Edge o el de Firefox.
Verificación en dos pasos (2FA)
Además de la contraseña, te pide algo que tienes (el móvil) o algo que eres (la huella). Aunque roben tu contraseña, no podrán entrar. Actívala sobre todo en el correo, porque con él se recuperan todas las demás cuentas.
| Método | Seguridad | Comentario |
|---|---|---|
| Código por SMS | Media | Mejor que nada. Se puede robar si duplican tu SIM (SIM swapping) o si te lo piden con engaños. |
| App autenticadora (Google Authenticator, Microsoft Authenticator) | Alta | Genera un código de 6 cifras que cambia cada 30 segundos. |
| Notificación en el móvil | Alta | Pulsas «Sí, soy yo». Nunca aceptes una que no hayas pedido tú. |
| Llave de acceso (passkey) NUEVO | Muy alta | Sustituye a la contraseña: entras con la huella, la cara o el PIN del móvil u ordenador. No se puede robar con una web falsa. |
¿Han filtrado mis datos?
Cuando atacan a una empresa, a veces se publican los correos y contraseñas de sus clientes. Servicios como Have I Been Pwned o TrustWatch te dicen si tu correo aparece en filtraciones conocidas y si una contraseña ya está en listas de contraseñas robadas (sin enviarla completa: solo un fragmento de su «huella» o hash). Si aparece, cámbiala en ese servicio y en cualquier otro donde la repitieras.
Brechas de un correo, contraseñas filtradas, URL peligrosas, seguridad de un dominio y más. Tienes una guía paso a paso en los complementos del curso.
Abrir TrustWatch ↗ Guía paso a paso ↗las actualizaciones
Actualizar: la medida más eficaz
Las actualizaciones corrigen fallos de seguridad que los atacantes ya conocen. Mantén al día el sistema (Windows Update, actualizaciones del móvil), el navegador y las aplicaciones. Cuando el equipo pida reiniciar para terminar de actualizar, hazlo. Un sistema sin soporte (como Windows 10 desde 2025 sin ESU) ya no recibe estas correcciones.
Microsoft Defender: el antivirus de Windows
Windows 11 trae un antivirus completo y gratuito dentro de la app Seguridad de Windows. Para la mayoría de usuarios es suficiente.
- Un solo antivirus: dos a la vez se estorban. Si instalas otro (de pago o gratuito de una marca conocida), Defender se desactiva solo.
- Desconfía de los «antivirus» que aparecen en anuncios o ventanas emergentes diciendo que tienes 37 virus: son ellos el malware o una estafa.
- En Android, Google Play Protect revisa las apps; en iPhone, el sistema limita lo que pueden hacer.
Señales de que algo va mal
- El equipo va de repente muy lento o el ventilador no para.
- Aparecen ventanas, barras de herramientas o anuncios que antes no había.
- Cambia la página de inicio o el buscador sin que tú lo hayas hecho.
- Tus contactos reciben mensajes que tú no has enviado.
- Los archivos cambian de extensión y no se abren (ransomware).
| Nombre | Por dónde llega | Ejemplo típico |
|---|---|---|
| Phishing | Correo | «Su cuenta ha sido bloqueada, verifique sus datos aquí» con un logotipo del banco. |
| Smishing | SMS | «Correos: su paquete está retenido, pague 1,99 € de tasas en este enlace.» A veces llega en el mismo hilo que los SMS reales del banco. |
| Vishing | Llamada | «Le llamamos del departamento de seguridad de su banco; vamos a anular un cargo, díganos el código que le llega.» El número que aparece puede ser el real del banco (suplantación o spoofing). |
| Quishing | Código QR | Pegatinas con un QR falso encima del de un parquímetro o una carta con un QR «para pagar una multa». |
| Hijo/a en apuros | «Hola mamá, este es mi número nuevo, se me ha caído el móvil al váter. ¿Puedes hacerme un Bizum urgente?» | |
| Falso soporte técnico | Llamada o ventana del navegador | «Microsoft ha detectado un virus en su equipo, llame a este número» o te piden instalar un programa de control remoto (AnyDesk…). |
| Inversiones y famosos | Anuncios en redes | Vídeo con un presentador famoso (hecho con IA) recomendando invertir en criptomonedas. |
| Tiendas y alquileres falsos | Webs y anuncios | Precios demasiado bajos, solo admiten transferencia, el «propietario» está en el extranjero y pide fianza por adelantado. |
Cómo reconocerlos
atencion@bbva-seguridad-clientes.com, correos.es-envio.top.Dominios trampa
Fíjate en el dominio real (la parte justo antes de la primera /). Los estafadores usan dominios muy parecidos: santander-es.com, amaz0n.es (un cero en vez de una o) o incluso letras de otros alfabetos que se ven idénticas (homógrafos): аmazon.es con una «а» cirílica.
Test de 10 correos en el que solo tienes que fijarte en el dominio del enlace; al responder ves letra por letra cuál era la impostora.
Abrir el test ↗Su «Chat ficticio» monta una conversación de mensajería con plantillas de estafas reales («hijo en apuros», falso paquete), siempre marcada como FICTICIO. Sirve para entender que una captura de pantalla no prueba nada.
Abrir FakerStudio ↗Qué hacer ante un mensaje sospechoso
- No pulses el enlace, no abras el adjunto, no contestes y no llames al número que te dan.
- Comprueba por otro canal: entra en la app oficial o escribe tú la web del banco; llama al número de siempre de tu familiar.
- Cuelga si te llaman pidiendo códigos o que instales algo, aunque el número parezca el del banco.
- Reporta: marca como spam o phishing, reenvía el SMS a tu banco si lo pide, avisa en el 017 si tienes dudas.
- Borra el mensaje.
navegación segura
Comprar por Internet
- Compra en tiendas conocidas. Si no la conoces, busca opiniones («nombre de la tienda + opiniones» o «+ estafa») y su aviso legal: empresa, CIF y dirección física.
- Desconfía de precios muy por debajo del mercado y de tiendas que solo aceptan transferencia o Bizum.
- Paga con tarjeta (permite reclamar), PayPal o una tarjeta virtual o prepago. Confirma los pagos en la app de tu banco (autenticación reforzada) y lee bien qué estás autorizando.
- Bizum es para personas de confianza: si un desconocido te «envía una solicitud» para «darte» dinero, al aceptarla lo que haces es pagarle tú.
- Guarda la confirmación del pedido y revisa los movimientos de tu cuenta.
En el móvil llevas el banco, el correo, las fotos y los mensajes. Protegerlo es tan importante como proteger el ordenador.
| Medida | Android | iPhone |
|---|---|---|
| Bloqueo de pantalla (PIN de 6 cifras, huella o cara) | Ajustes › Seguridad y privacidad › Bloqueo de pantalla | Ajustes › Face ID / Touch ID y código |
| Actualizaciones | Ajustes › Sistema › Actualización de software | Ajustes › General › Actualización de software |
| Localizar y borrar a distancia | Encontrar mi dispositivo (Google) | Buscar (Apple) |
| Permisos de las apps | Ajustes › Seguridad y privacidad › Privacidad › Gestor de permisos | Ajustes › Privacidad y seguridad |
| Copia de seguridad | Copia de seguridad de Google / Google Fotos | Copia en iCloud |
Las rutas cambian según el fabricante y la versión; si no la encuentras, usa la lupa de búsqueda de Ajustes.
- Instala apps solo de Google Play o la App Store. No instales archivos
.apkque te manden por mensaje («la app de tu banco», «para ver el vídeo»). - Revisa los permisos: ¿por qué un juego quiere tus contactos y el micrófono?
- Pon PIN a la tarjeta SIM para que nadie use tu número si te roban el móvil.
- Desactiva Wi-Fi y Bluetooth cuando no los uses, y no te conectes a redes abiertas desconocidas.
- Antes de vender o reciclar el móvil: copia de seguridad, cierra sesión en tus cuentas y restablece los datos de fábrica.
y medio ambiente
La seguridad digital también es cuidar tu salud, tu tiempo y el planeta. Forma parte del área de seguridad del marco europeo DigComp.
qué hacer
| Situación | Qué hacer YA |
|---|---|
| Di los datos de la tarjeta o un código del banco | Llama al banco (número oficial de la tarjeta o la app) para bloquear la tarjeta y anular operaciones. Después, denuncia en la Policía Nacional o la Guardia Civil y guarda la denuncia para reclamar. |
| Di mi contraseña en una web falsa | Cámbiala inmediatamente (y en todos los sitios donde la repitieras). Activa la verificación en dos pasos. Revisa la actividad reciente de la cuenta. |
| Me han robado la cuenta de WhatsApp o de una red social | Usa la opción de recuperación de la plataforma, avisa a tus contactos por otra vía de que no hagan caso a mensajes «tuyos» y activa la verificación en dos pasos. |
| Instalé algo que me pidió el «técnico» | Desconecta el equipo de Internet, desinstala el programa, pasa un examen completo de Defender y cambia las contraseñas desde otro dispositivo. Si diste acceso al banco, llama al banco. |
| Mis archivos están cifrados (ransomware) | Desconecta el equipo de la red, no pagues, pide ayuda (017) y restaura desde tu copia de seguridad. |
incibe.es/ciudadania.| Término | Significado |
|---|---|
| 2FA / verificación en dos pasos | Inicio de sesión que pide, además de la contraseña, un segundo factor (código, notificación, huella). |
| Brecha de datos | Robo o filtración de información de los clientes de un servicio. |
| Gestor de contraseñas | Programa que genera y guarda cifradas tus contraseñas. |
| Ingeniería social | Manipulación psicológica para que la víctima haga algo que beneficia al atacante. |
| Llave de acceso (passkey) | Credencial que sustituye a la contraseña y se desbloquea con la huella, la cara o el PIN del dispositivo. |
| Malware | Cualquier programa malicioso. |
| Phishing | Suplantación de una entidad por correo para robar datos. Smishing (SMS), vishing (voz), quishing (QR). |
| Ransomware | Malware que cifra los archivos y pide un rescate. |
| SIM swapping | Duplicado fraudulento de tu tarjeta SIM para recibir tus SMS. |
| SmartScreen | Filtro de Windows y Edge que avisa de webs y descargas peligrosas. |
| Spoofing | Falsificar el remitente de un correo o el número que aparece en una llamada o SMS. |
| VPN | Red privada virtual: cifra tu conexión a través de un servidor intermedio. |
¿Cuál de estas contraseñas es más segura?
P@ssw0rdMaria1985Tortuga-Lunes-Azul-Trompeta123456789
La longitud es lo que más cuenta; una frase de palabras al azar es larga y fácil de recordar.
¿En qué cuenta es más importante activar la verificación en dos pasos?
- El correo electrónico
- Un foro de recetas
- Una web de tiempo
- Un periódico
Con el correo se recuperan las contraseñas de casi todo lo demás.
Te llama «tu banco» y te pide el código que te acaba de llegar por SMS para «anular un cargo». ¿Qué haces?
- Se lo doy, el número que aparece es el del banco.
- Le doy solo la mitad.
- Le pido que me lo repita.
- Cuelgo y llamo yo al número oficial del banco.
El número puede estar falsificado (spoofing). El banco nunca pide esos códigos.
¿Qué es el smishing?
- Un virus de ordenador.
- Un fraude por SMS que suplanta a una empresa o entidad.
- Una red Wi-Fi falsa.
- Un antivirus.
Phishing por SMS: «paquete retenido», «multa pendiente»…
Una web tiene el candado de HTTPS. Eso significa que…
- La web es oficial y de fiar.
- No tiene virus.
- La conexión va cifrada, pero la web podría ser fraudulenta.
- Está verificada por la policía.
Las webs de phishing también usan HTTPS. Mira el dominio.
¿Cuántos antivirus deberías tener funcionando a la vez en Windows?
- Uno
- Dos, por si uno falla
- Tres
- Ninguno
Dos antivirus se estorban. Defender se desactiva si instalas otro.
Te llega un WhatsApp de un número desconocido: «Hola papá, se me ha roto el móvil, este es mi número nuevo, ¿me haces un Bizum urgente?». ¿Qué haces?
- Hago el Bizum rápido.
- Le pido una foto.
- Le pregunto el nombre de su perro.
- Llamo a mi hijo a su número de siempre antes de hacer nada.
Comprueba siempre por otro canal. Es la estafa del «hijo en apuros».
¿Cuál es la mejor defensa contra el ransomware?
- Pagar el rescate rápido.
- Tener copias de seguridad actualizadas y fuera del equipo.
- Apagar el monitor.
- Borrar el historial.
Con una copia 3-2-1 recuperas tus archivos sin pagar.
Un desconocido que compra tu sofá en Wallapop te envía una «solicitud de Bizum» para pagarte. ¿Qué pasa si la aceptas?
- Recibes el dinero.
- No pasa nada.
- Le pagas tú a él.
- Se cancela la venta.
Aceptar una solicitud de Bizum es pagar. Para cobrar, no hay que aceptar nada.
¿Por qué no deberías instalar un archivo .apk que te mandan por WhatsApp?
- Porque instala una app fuera de la tienda oficial que puede ser malware.
- Porque ocupa mucho.
- Porque es ilegal tener apps.
- Porque gasta batería.
Las apps fuera de Google Play no pasan sus controles.
Estás en la Wi-Fi gratuita de una cafetería. ¿Qué evitarías?
- Leer un periódico.
- Entrar en tu banco o comprar con tarjeta.
- Ver el tiempo.
- Consultar un horario de autobús.
Para operaciones sensibles usa los datos móviles.
¿Qué número llamas para pedir ayuda gratuita sobre un problema de ciberseguridad?
- 112
- 091
- 060
- 017
017: Línea de Ayuda en Ciberseguridad de INCIBE. Si hay un delito, denuncia en Policía o Guardia Civil.
Tu progreso
—