Un correo extraño.
Un código de verificación que no solicitaste.
Un QR pegado sobre otro.
Una llamada aparentemente urgente de tu jefe.
Una aplicación que pide acceso a tus contactos.
Un documento confidencial que estás a punto de subir a una IA.
La ciberseguridad moderna ocurre muchas veces en momentos así.
No necesitas saber cómo funciona un firewall para protegerte mejor. Pero sí necesitas reconocer cuándo algo merece detenerte unos segundos antes de actuar.
Estos son los hábitos que considero más útiles.
1. Ante la urgencia, reduce la velocidad
Muchos ataques intentan provocar una reacción antes de que puedas pensar.
“Tu cuenta será bloqueada.”
“Necesito esta transferencia ahora.”
“Revisa urgentemente este documento.”
“Tu paquete no pudo ser entregado.”
El atacante necesita que hagas clic, respondas, pagues o entregues información antes de verificar.
Por eso podemos establecer nuestro primer reflejo:
Urgencia inesperada = verificación adicional.
Si el mensaje parece venir de alguien conocido y solicita algo fuera de lo normal, verifica por otro canal.
No respondas al mismo mensaje preguntando si es legítimo.
2. No confíes en el remitente. Confirma la solicitud.
Durante años aprendimos a buscar correos mal escritos, dominios extraños y mensajes sospechosos.
Eso sigue ayudando, pero ya no es suficiente.
Un mensaje fraudulento puede estar perfectamente redactado. Una cuenta legítima puede haber sido comprometida. Voz e imagen pueden imitarse cada vez mejor.
Cambia entonces la pregunta:
❌ “¿Parece verdadero?”
por:
✅ “¿Puedo verificarlo?”
Un cambio de cuenta bancaria, una solicitud de información sensible o una instrucción extraordinaria merece confirmación independiente aunque el mensaje parezca auténtico.
3. Tu contraseña importa. Pero importa más que sea única.
Una contraseña extremadamente compleja pierde gran parte de su valor si la utilizas en varios servicios.
¿Por qué?
Porque una empresa puede sufrir una filtración y esas credenciales terminar siendo probadas automáticamente en otros servicios.
Por eso una regla sencilla tiene enorme valor:
Una cuenta importante = una contraseña diferente.
Un gestor de contraseñas permite mantener contraseñas largas y únicas sin depender de la memoria.
Y si un servicio permite passkeys, vale la pena considerarlas: reducen la dependencia de contraseñas y ofrecen fuerte resistencia frente al phishing.
4. Activa MFA, pero entiende lo que estás aprobando
La autenticación multifactor agrega una barrera importantísima.
Pero existe un mal hábito:
aprobar automáticamente la notificación que aparece en el teléfono.
Si recibes una solicitud de autenticación que no iniciaste, no es una molestia que debas quitar de la pantalla.
Es una señal de alerta.
Nunca compartas códigos de verificación y nunca apruebes una solicitud que no reconoces.
Cuando puedas elegir, métodos resistentes al phishing —como passkeys o llaves de seguridad— ofrecen mayor protección que códigos enviados por SMS.
5. Un QR también es un enlace
Vemos un QR y nuestro cerebro piensa:
“Escanear.”
Deberíamos pensar:
“¿A dónde me llevará?”
Un código QR puede dirigir a una página falsa exactamente igual que un enlace recibido por correo.
Ten especial cuidado con códigos colocados en lugares públicos, pagos, estacionamientos, restaurantes o mensajes inesperados.
Si existe una dirección oficial conocida, muchas veces es mejor ingresar directamente al sitio o utilizar la aplicación oficial.
No confíes en el cuadrado. Confía en el destino.
6. Antes de subir algo a una IA, hazte una pregunta
Las herramientas de IA introdujeron un comportamiento nuevo:
copiar información y subir archivos casi sin pensarlo.
Antes de pegar o cargar contenido en cualquier servicio externo, pregúntate:
¿Estaría autorizado a enviar esta información a una persona externa a mi organización?
Contratos, información financiera, datos personales, estrategias, expedientes, información de clientes, código, investigaciones o documentos internos pueden requerir controles especiales.
No significa que no puedas utilizar IA.
Significa que debes conocer qué herramienta estás utilizando, qué políticas tiene tu organización y qué información está permitido compartir.
La comodidad nunca debería eliminar la clasificación de la información.
7. Revisa los permisos, no solamente la aplicación
Instalamos una aplicación para hacer una cosa y aceptamos:
contactos, ubicación, cámara, micrófono, fotografías, calendario…
No siempre necesita todo eso.
Aplica el principio de mínimo acceso también en tu vida digital:
Una aplicación debería tener solamente los permisos necesarios para hacer lo que necesitas.
Revisar periódicamente permisos y eliminar aplicaciones que ya no utilizas reduce exposición innecesaria.
Menos acceso también significa menos cosas que pueden salir mal.
8. Actualizar no es mantenimiento aburrido. Es cerrar puertas conocidas.
Cuando aparece una actualización solemos pensar en nuevas funciones.
Muchas actualizaciones también corrigen vulnerabilidades conocidas.
Y existe una diferencia importante:
antes de publicarse la corrección, una vulnerabilidad puede ser conocida por pocos.
Después de publicarse, también puede conocerse qué debía corregirse.
Postergar indefinidamente una actualización puede dejar abierta una puerta cuyo problema ya es público.
Activa actualizaciones automáticas cuando sea razonable y presta especial atención al sistema operativo, navegador y aplicaciones que manejan información importante.
9. Backup no significa “tengo mis archivos en la nube”
Sincronización y respaldo no siempre son lo mismo.
Si eliminas accidentalmente un archivo y la eliminación se sincroniza, puedes descubrir la diferencia demasiado tarde.
Lo mismo puede ocurrir con archivos dañados o afectados por determinados incidentes.
Para información realmente importante, pregúntate:
¿Tengo otra copia?
¿Está suficientemente separada?
¿Puedo recuperarla?
¿Cuándo fue la última vez que lo comprobé?
Un backup que nunca has intentado restaurar sigue siendo una promesa.
10. Cuando algo parezca extraño, no improvises
Hiciste clic donde no debías.
Aprobaste algo por accidente.
Ingresaste una contraseña en una página y después sospechaste.
Perdiste un dispositivo.
Recibiste una alerta extraña.
El peor reflejo puede ser ocultarlo y esperar que no pase nada.
En un entorno empresarial, reportar rápidamente puede permitir que el equipo correspondiente actúe mientras el incidente todavía es pequeño.
En tus cuentas personales, puede significar cambiar credenciales, cerrar sesiones, revisar actividad o contactar al proveedor.
Un error pequeño reportado rápido puede seguir siendo pequeño.
El hábito que conecta todos los demás
Después de estos diez puntos, veo un patrón común.
No es comprar más software.
No es aprender hacking.
Ni siquiera es memorizar diez reglas.
Es desarrollar una pequeña pausa entre el estímulo y la acción:
RECIBES → PAUSAS → VERIFICAS → ACTÚAS
Ese puede convertirse en el concepto central del GeekBook.
Cuando algo es inesperado, urgente, sensible o irreversible:
Pausa antes del clic.
Cinco segundos de criterio pueden valer mucho más que cinco herramientas de seguridad.
Para practicar esta semana
No intentes cambiar diez cosas hoy.
Haz estas cuatro:
- Revisa si tus cuentas más importantes tienen MFA.
- Identifica contraseñas reutilizadas y empieza a reemplazarlas.
- Revisa los permisos de cinco aplicaciones de tu teléfono.
- Confirma que puedes recuperar al menos uno de tus archivos importantes desde un respaldo.
Y adopta desde hoy una quinta práctica que no requiere configuración:
Cuando alguien intente apresurarte digitalmente, desacelera.
