Qué vas a aprender

• Comprobar si un correo aparece en filtraciones y qué hacer si es así.
• Medir la fuerza de una contraseña y comprobarla sin enviarla (k-anonimato).
• Saber si una URL está catalogada como peligrosa y revisar las cabeceras de seguridad de una web.
• Investigar un dominio: antigüedad, registrador, DNS y protección del correo (SPF y DMARC).
• Interpretar la geolocalización de una IP y el tipo de un número de teléfono.

Cómo usar esta guía

Arriba a la derecha: EN (inglés) y el tema claro u oscuro. La pestaña queda en la dirección de la página (#password, #domain…), así que puedes enlazar directamente a una.

Brechas de datos

Cuando atacan una web y roban su base de datos, los correos, nombres, teléfonos y contraseñas acaban publicados o a la venta. Con esas listas se hace credential stuffing: probar la misma pareja correo + contraseña en otras webs. Por eso repetir contraseñas es el error más caro. También sirven para phishing creíble («hemos detectado que tu cuenta de X…»).

Qué hacer si tu correo aparece: cambiar la contraseña de esa cuenta y de todas donde la repitieras, activar la verificación en dos pasos (2FA) y usar un gestor de contraseñas.

Cómo se mide una contraseña

• Entropía teórica: longitud × log₂(tamaño del alfabeto). 12 caracteres con mayúsculas, minúsculas, números y símbolos (95 posibles) ≈ 79 bits.
• Pero los atacantes no prueban al azar: empiezan por diccionarios de contraseñas filtradas, palabras comunes, nombres, años, secuencias de teclado (qwerty, 1234) y sustituciones típicas (P@ssw0rd). Un buen medidor penaliza todo eso.
• Ataque offline: con el hash robado, sin límite (miles de millones de intentos por segundo con GPU). Online: contra el formulario de login, que bloquea tras unos pocos intentos.
• La mejor contraseña es larga y aleatoria: generada por un gestor, o una frase de varias palabras al azar.

k-anonimato: comprobar sin revelar

Have I Been Pwned guarda cientos de millones de contraseñas filtradas. Para consultarla sin enviar la tuya: tu navegador calcula el hash SHA-1, envía solo los 5 primeros caracteres y recibe todos los hashes que empiezan igual (cientos). La comparación se hace en tu equipo: el servicio nunca sabe cuál era la tuya.

Google Safe Browsing

Lista de URL catalogadas como malware, phishing (ingeniería social), software no deseado o aplicaciones dañinas. La usan Chrome, Firefox y Safari para mostrar la pantalla roja de aviso. Límite importante: una web de phishing nueva tarda horas en catalogarse, y las campañas duran poco. Que no aparezca no significa que sea segura.

Cabeceras de seguridad HTTP

Un navegador no puede leer las cabeceras de otra web (lo impide la política de mismo origen), por eso TrustWatch usa un proxy propio que hace la petición y devuelve el resultado.

El registro de un dominio

RDAP es el sustituto moderno de WHOIS: devuelve en JSON la fecha de registro, la de caducidad, el registrador y el estado. Un dominio registrado hace pocos días es la señal típica de estafa: las webs de phishing se crean y se abandonan en semanas. Algunos países (como .es) no publican RDAP: hay que consultar el WHOIS del registro nacional.

Tipos de registro DNS

• TTL: segundos que se puede guardar la respuesta en caché.
• NXDOMAIN: el nombre no existe. Distinto de «existe, pero no tiene registros de ese tipo».
• DNSSEC: firma las respuestas para que nadie las falsifique por el camino.

Proteger el correo contra la suplantación

• SPF (registro TXT v=spf1 …): qué servidores pueden enviar correo del dominio. Termina en -all (estricto: rechazar el resto), ~all (suave: marcar) o ?all/+all (no protege).
• DKIM: firma criptográfica de cada correo.
• DMARC (TXT en _dmarc.dominio): qué hacer si falla SPF o DKIM. p=reject rechaza, p=quarantine manda a spam, p=none solo informa.

Geolocalización de IP

• Se basa en bases de datos de a quién se asignó cada bloque de direcciones: da el país y la ciudad del proveedor, nunca una calle.
• El ASN (número de sistema autónomo) identifica la red que anuncia esa IP en Internet (AS15169 es Google; AS13335, Cloudflare).
• Anycast: la misma IP se anuncia desde muchos países y respondes al más cercano. Su «ubicación» es solo la de registro.
• Las IP privadas (10.x, 172.16-31.x, 192.168.x) no salen a Internet y no tienen ubicación.

Números de teléfono en España

El formato estándar internacional es E.164: +, prefijo del país y número sin espacios (+34600123456). Ojo: el número que aparece en una llamada se puede falsificar (spoofing). Si te llaman diciendo ser tu banco o la policía y piden códigos o pagos, cuelga y llama tú al número oficial.

• Ninguna herramienta decide sola. Un fraude se reconoce por la suma de señales: dominio recién creado, URL catalogada, número de tarificación adicional, urgencia en el mensaje…
• Investiga sin pulsar: comprueba la URL, el dominio y el número desde fuera, nunca abriendo el enlace o llamando.
• Privacidad: cada consulta envía algo a un servicio externo. Envía lo mínimo: un dominio sí, una contraseña nunca.
• Legalidad y ética: consultar tus propios datos o datos públicos (un dominio, una IP) es legítimo. Buscar los correos o teléfonos de otras personas para perfilarlas no lo es, y en la UE el RGPD protege esos datos.

Investiga el mensaje sin abrir el enlace ni llamar. Rellena una ficha con: cada elemento analizado, la herramienta usada, el resultado y tu conclusión.

Qué entregas

1. La tabla del medidor de contraseñas (fase 1) con tu explicación de cada valoración.
2. La ficha de análisis del SMS (fase 9).
3. Una ficha de un dominio a tu elección (registro, DNS, SPF y DMARC) con recomendaciones para su administrador.
4. Las respuestas a estas preguntas, con tus propias palabras:

Autoevaluación

Marca lo que eres capaz de hacer sin mirar la guía:

Tu progreso en esta guía

—