Cómo proteger tu identidad en internet: lista práctica

7 de noviembre de 2026 · PlayCISO

Para proteger tu identidad en internet, protege primero tu correo, da a cada cuenta su propia contraseña larga en un gestor de contraseñas, activa la verificación en dos pasos o las passkeys, congela tu crédito si tu país lo ofrece y trata los mensajes inesperados como sospechosos hasta que los hayas comprobado tú mismo. Nada de esto requiere conocimientos especiales, y casi todo se puede hacer en una tarde. Esta guía recorre cada capa, te dice qué hacer si usan tu identidad y enlaza las fuentes oficiales y nuestras guías más específicas. Dejamos fuera las estadísticas salvo que una página oficial las dé, y no recomendamos ni clasificamos ningún producto.

Un límite honesto: las normas del historial crediticio, los organismos de denuncia y las protecciones legales difieren según el país. Damos la ruta de EE. UU. con más detalle porque la FTC publica una guía clara, y remitimos a organismos locales para el Reino Unido y Australia. Consulta a tu organismo nacional las normas vigentes.

Haz esto ya: la lista de una tarde

Protege primero tu correo. El NCSC dice que uses para tu correo una contraseña robusta que no uses en ningún otro sitio, porque los delincuentes pueden usar tu correo para acceder a muchas de tus cuentas personales. Los enlaces de restablecimiento de otras cuentas llegan ahí, así que es la llave maestra. Si alguna vez lo hackearon, empieza por Gmail hacked? What to do in the first hour.
Usa un gestor de contraseñas y una contraseña única en todas partes. CISA aconseja contraseñas de al menos 16 caracteres aleatorios, o una frase de contraseña de cuatro a siete palabras sin relación, y una distinta para cada cuenta para que una filtración no exponga las demás. CISA llama a un gestor de contraseñas una de las formas más fáciles de proteger tus cuentas, y señala que algunos son gratuitos, como los integrados en los navegadores. El NCSC sugiere tres palabras aleatorias como forma de construir una contraseña que puedas recordar. Prueba una candidata en Password Strength o crea una con el Password Generator.
Activa la verificación en dos pasos o las passkeys. CISA recomienda la autenticación multifactor, sobre todo para el correo, las redes sociales y las cuentas financieras, y el NCSC recomienda la verificación en 2 pasos para tus cuentas en línea. Cuando un servicio admita passkeys o una app de autenticación, prefiérelas a los códigos por SMS. Prueba el Passkey Lab para ver cómo funcionan.
Congela tu crédito (EE. UU.). Mira la sección de abajo. Es gratis y lleva unos minutos por agencia.
Bloquea tu número de teléfono. Pregunta a tu operador móvil por un PIN de portabilidad o un bloqueo del número.
Actualiza tus dispositivos y haz copias de seguridad de lo importante. El NCSC dice que las actualizaciones contienen correcciones de seguridad vitales y aconseja guardar copias de tus archivos más importantes, como fotos y documentos clave, en una unidad externa o en almacenamiento en la nube.
Mira qué has expuesto. Ejecuta el Digital Footprint Check y revisa qué cuentas antiguas puedes cerrar.

Congelaciones de crédito y alertas de fraude

Un delincuente con tu nombre y tu fecha de nacimiento puede intentar abrir crédito a tu nombre. En EE. UU., la FTC explica dos herramientas. Una congelación de crédito restringe el acceso a tu informe de crédito. La FTC dice que no cuesta nada poner ni levantar una congelación, que dura hasta que la levantas, que no afecta a tu puntuación crediticia y que debes contactar con las tres agencias: Equifax, Experian y TransUnion. Una alerta de fraude es distinta: la FTC dice que no impide que los prestamistas vean tu informe. Una alerta inicial dura un año y se puede renovar, y contactas con una agencia, que debe avisar a las otras dos. Una alerta ampliada dura siete años y requiere un informe de robo de identidad de la FTC o un informe policial.

El equilibrio: una congelación hay que levantarla cuando solicitas crédito, una comprobación laboral que use crédito o algunos alquileres, así que guarda bien tus accesos a las agencias. Reino Unido y Australia: ambos países tienen organismos de información crediticia y servicios de denuncia de fraude, pero las protecciones y los nombres difieren de los de EE. UU. No los describimos en detalle aquí; empieza por tu organismo nacional de denuncia de fraude (en Australia, Scamwatch e IDCARE) y pregunta qué protección del historial crediticio recomienda.

Protección del número de teléfono y contra el SIM swap

Si un delincuente traslada tu número a una SIM que controla, los códigos por SMS le llegan a él. Pregunta a tu operador qué ofrece, normalmente llamado PIN de portabilidad, bloqueo del número o PIN de cuenta, y configura uno. Los nombres y los pasos difieren según el operador, así que usa la página de ayuda del propio operador. Guarda ese PIN en tu gestor de contraseñas y no se lo des a nadie que te llame. Si tu teléfono pierde la señal de repente sin motivo mientras no estás de viaje, contacta con tu operador desde otro dispositivo. Nuestra guía de cómo saber si tu teléfono está hackeado cubre otras señales.

Comparte menos y maneja los documentos con cuidado

Tu cumpleaños, tu dirección y tus números de identificación son la materia prima del robo de identidad. Compártelos solo donde haya un motivo real y déjalos fuera de los perfiles públicos. Las listas de Instagram, Facebook y TikTok muestran cómo limitar lo que es público.
Los intermediarios de datos (data brokers) recogen y venden datos personales. Muchos ofrecen formularios de exclusión, pero las normas y los sitios difieren según el país y las listas cambian, así que no nombramos ningún servicio. Excluirse es lento y parcial; hazlo para las mayores exposiciones, no como una tarea semanal.
Documentos: CISA aconseja no apuntar las contraseñas en papel ni guardarlas en un archivo del ordenador. El mismo instinto vale para los escaneos de pasaportes y documentos fiscales: mantenlos fuera de las carpetas de correo y de las unidades compartidas, usa un almacén cifrado cuando puedas y destruye el papel que ya no necesites. Es una precaución de sentido común, no una regla de un solo organismo.
Cuentas antiguas: cada cuenta olvidada es una filtración a la espera. Cierra las que no uses.

Cómo reconocer un intento de phishing o de suplantación

La mayoría de los robos de identidad empiezan cuando alguien te convence de entregar un dato: un enlace a una página de inicio de sesión falsa, un "banco" que pide un código, una "entrega" que necesita una tarifa. Los hábitos son los mismos en todas partes. No hagas clic en los enlaces de mensajes inesperados. Contacta con la organización en un número o sitio que ya conozcas. No leas nunca en voz alta un código de un solo uso a alguien que te ha contactado. Trata la urgencia como una advertencia. Nuestras guías sobre suplantación de bancos, estafas de Amazon y estafas con IA muestran cómo son, y la Voice Clone Fraud Defense Checklist ayuda a las familias a acordar una forma de verificarse entre sí.

Comprueba la exposición en filtraciones y vigila tus extractos

Comprueba si tu dirección de correo aparece en filtraciones conocidas y cambia la contraseña de cualquier cuenta afectada (y de cualquier sitio donde la reutilizaste). Después mira los extractos del banco y de las tarjetas con regularidad y activa las alertas de transacciones, para que un pago indebido se vea en horas, no en semanas. En EE. UU., revisa tus informes de crédito por si hay cuentas que no reconoces.

Tras un aviso de filtración

Cambia la contraseña de ese servicio y de cualquier sitio donde se reutilizó.
Activa la verificación en dos pasos si estaba desactivada.
Si el aviso dice que se expusieron números financieros o de identidad, congela tu crédito (EE. UU.) y vigila de cerca los extractos.
Espera phishing posterior que use la filtración como cebo. Ve a la empresa a través de su sitio oficial, no a través del mensaje.

Si usan tu identidad: pasos de recuperación

Denúncialo. EE. UU.: la FTC remite a IdentityTheft.gov para denunciar y obtener un plan de recuperación. Australia: denuncia las estafas a Scamwatch y contacta con IDCARE, que dice ofrecer apoyo personal para la recuperación tras un robo de identidad o una estafa con un plan de respuesta basado en tu situación. Reino Unido: denuncia el fraude a través del servicio nacional de denuncias de la policía y avisa a tu banco. Consulta al organismo de tu país las vías vigentes.
Congela o pon alertas en tu historial crediticio donde tu país lo permita.
Contacta con los bancos, prestamistas y servicios afectados y pídeles que cierren las cuentas fraudulentas. Guarda los números de referencia.
Protege tus propias cuentas: el correo primero, luego la banca y todo lo que compartiera una contraseña.
Guarda registros de fechas, nombres, mensajes y capturas de pantalla.
Ignora las ofertas de "recuperación" que piden un pago para devolverte tu dinero o tu identidad.

Equilibrios que valorar

Gestor de contraseñas frente a comodidad: una sola contraseña maestra protege todo, así que hazla larga y activa la verificación en dos pasos para el gestor.
Passkeys frente a códigos por SMS: las passkeys y las apps de autenticación son en general más difíciles de interceptar, pero no todos los servicios las ofrecen y necesitas un plan de recuperación si pierdes el teléfono.
Congelación frente a rapidez: una congelación bloquea el crédito nuevo, pero obliga a levantarla antes de solicitar crédito.
Exclusiones frente a esfuerzo: eliminar tus datos de los intermediarios es parcial y se repite, así que apunta a las mayores exposiciones.

Prevenirlo la próxima vez: una lista de comprobación

Correo: contraseña larga y única más verificación en dos pasos o una passkey.
Gestor de contraseñas en uso, con contraseñas únicas para la banca, las compras y las redes sociales.
Crédito congelado (EE. UU.) o el equivalente local comprobado.
PIN de portabilidad del operador configurado.
Cumpleaños y dirección fuera de los perfiles públicos.
Alertas de extractos activadas y un vistazo mensual a la cuenta.
Un plan: sabes dónde denunciar el robo de identidad en tu país.
Ensáyalo en el Identity Protection Lab.

Preguntas frecuentes

¿Qué es lo primero que debo hacer para proteger mi identidad en internet?

Proteger tu cuenta de correo. El NCSC dice que uses para tu correo una contraseña robusta que no uses en ningún otro sitio, porque los delincuentes pueden usar tu correo para llegar a muchas de tus otras cuentas. Después activa ahí la verificación en dos pasos.

¿Es gratis congelar el crédito y daña mi puntuación crediticia?

En EE. UU., la FTC dice que no cuesta nada poner ni levantar una congelación de crédito, que dura hasta que la levantas y que no afecta a tu puntuación crediticia. Contactas con cada una de las tres agencias: Equifax, Experian y TransUnion.

¿Cuál es la diferencia entre una congelación y una alerta de fraude?

La FTC dice que una alerta de fraude no impide que los prestamistas vean tu informe, a diferencia de una congelación. Una alerta inicial dura un año y se puede renovar; contactas con una agencia y esta debe avisar a las otras dos. Una alerta ampliada dura siete años y requiere un informe de robo de identidad de la FTC o un informe policial.

¿Cómo me protejo del SIM swapping (intercambio de SIM)?

Pregunta a tu operador móvil qué protección ofrece, como un PIN de portabilidad o un bloqueo del número, y configura uno. Los operadores difieren, así que consulta la página de ayuda de tu operador. Además, prefiere una app de autenticación o una passkey a los códigos por SMS cuando un servicio lo ofrezca.

¿Dónde denuncio el robo de identidad?

En EE. UU., la FTC remite a IdentityTheft.gov. En Australia, Scamwatch recibe denuncias de estafas e IDCARE ofrece apoyo para la recuperación tras un robo de identidad o una estafa. En el Reino Unido, denuncia el fraude a través del servicio de denuncias de la policía y avisa a tu banco. Consulta a tu organismo nacional las vías vigentes.

¿Necesito un servicio de protección de identidad de pago?

Los pasos básicos de aquí, como un gestor de contraseñas, la verificación en dos pasos y una congelación de crédito, no lo requieren. Si un servicio de pago te aporta valor es una decisión personal, y este artículo no recomienda ningún producto.

Fuentes

Esta es una guía general, no asesoramiento legal ni financiero. Las normas del historial crediticio, los organismos y las funciones de los operadores cambian y difieren según el país; sigue las páginas oficiales de arriba para conocer las normas vigentes.