INCIBE advierte del peligro de reutilizar el mismo correo electrónico para todas las cuentas importantes
El INCIBE recomienda separar usos en cuentas de correo electrónico separadas como primera medida de precaución
Llevar siempre el bluetooth activado puede ponerte en peligro: la advertencia de la Policía para no ser víctima del bluesnarfing
Utilizar una única dirección de correo electrónico para banca online, redes sociales, compras por Internet, trabajo y comunicaciones personales crea lo que los expertos en seguridad llaman un "punto único de fallo". Y es que, si un ciberdelincuente logra acceder a ese correo, obtiene automáticamente la mitad de las credenciales necesarias para entrar en todas las demás cuentas del usuario.
El INCIBE insiste desde hace años en la necesidad de segmentar el uso del correo electrónico y no concentrar toda la vida digital en una sola dirección. La reciente proliferación de filtraciones masivas de datos convierte esta recomendación en algo mucho más real que un simple aviso, ya que a día de hoy, la probabilidad de que un correo cualquiera esté ya circulando por foros clandestinos con al menos una contraseña asociada es elevada. Esto hace que exista un riesgo real relacionado con el número de servicios vinculados a esa dirección concreta.
Cómo funciona el ataque en la práctica
Los ciberdelincuentes obtienen listas de combinaciones de correo y contraseña procedentes de filtraciones, conseguidas por robo directo, por brechas de seguridad de servicios comprometidos o por compra en foros del cibercrimen, y las prueban de forma automática en decenas de plataformas habituales, como bancos, servicios de pago, redes sociales, correos electrónicos y tiendas online.
Esta técnica se llama credential stuffing y funciona precisamente porque la mayoría de los usuarios reutiliza la misma contraseña, o con variaciones mínimas, en múltiples servicios en línea. Si a esto añadimos que en muchos casos el correo utilizado también es el mismo para muchos servicios, el atacante tiene medio trabajo hecho antes incluso de empezar.
Cuando el ciberdelincuente logra acceder al correo principal del usuario, se abre una segunda vía de ataque probablemente más devastadora que la anterior. La función "he olvidado mi contraseña" que todos los servicios web ofrecen envía el enlace de recuperación al correo asociado a la cuenta. Si el atacante controla ese correo, controla el mecanismo de recuperación de todas las cuentas vinculadas. Puede cambiar la contraseña de la app del banco, de las redes sociales, del correo del trabajo, de las plataformas de compras online y del propio servicio de correo secundario en cuestión de minutos, sin necesidad de conocer las contraseñas originales.
Qué recomienda INCIBE
INCIBE mantiene una batería de recomendaciones específicas sobre la gestión segura del correo electrónico:
- No reutilizar contraseñas entre servicios: cada plataforma debe tener una clave propia, robusta y única.
- Activar el doble factor de autenticación siempre que esté disponible: incluso si el ciberdelincuente logra la combinación de correo y contraseña, no puede acceder sin el segundo elemento (habitualmente un código enviado al móvil o generado por una app).
- Comprobar la exposición del correo en la plataforma Have I Been Pwned , el servicio de referencia internacional creado por el experto australiano Troy Hunt que permite verificar si una dirección concreta figura en alguna de las filtraciones públicas conocidas.
Junto a estas medidas de higiene digital básica, INCIBE aconseja limitar la información personal que se comparte en Internet, incluidas las direcciones de correo. Publicar el correo principal en redes sociales, foros públicos o firmas de emails masivos facilita a los ciberdelincuentes construir listas de objetivos para campañas de phishing personalizado.
Cómo separar correos
La estrategia que los especialistas recomiendan consiste en dividir el uso del correo en al menos cuatro categorías diferentes.
- Correo financiero, utilizado exclusivamente para la banca online, las tarjetas de crédito, los brókers y los servicios de pago (PayPal, Bizum, plataformas de inversión). Esta dirección no debe compartirse en ningún otro contexto y conviene reforzarla con doble factor de autenticación y contraseña única de máxima robustez. Idealmente, la propia dirección debe ser lo menos obvia posible para dificultar su localización externa.
- Correo profesional, asociado al trabajo o a los estudios, con el que jamás deben registrarse compras personales, redes sociales o suscripciones a servicios ajenos al ámbito laboral. Mezclar ambos contextos expone información profesional sensible y aumenta el riesgo de que una filtración en un servicio de ocio comprometa las credenciales de acceso al sistema corporativo.
- Correo social, utilizado para las redes sociales, foros y comunicaciones personales con amigos y familiares. Esta dirección puede compartirse con menor precaución, pero conviene mantenerla separada para evitar contaminación cruzada.
- Correo de compras, con el que registrarse en tiendas online, servicios de streaming, aplicaciones de reparto a domicilio y cualquier plataforma que exija una dirección de contacto para propósitos comerciales. Esta cuenta acumulará probablemente la mayor parte del spam, y que quede comprometida tiene un impacto muy inferior al de las tres anteriores porque no está vinculada a datos financieros, laborales ni sociales sensibles.
Crear esta separación en distintas cuentas de correo compensa. La reducción del riesgo real ante una filtración supera con mucho el esfuerzo administrativo necesario para gestionar varias direcciones. Existen apps del móvil que unifican en un solo panel los mensajes de todas las bandejas con etiquetas diferenciadas, lo que evita pérdidas de tiempo asociadas a saltar de una cuenta a otra.
