Hay creencias sobre seguridad informática que llevan años circulando y que, a estas alturas, han causado más daño que cualquier virus. Los mitos sobre ciberseguridad no son inofensivos: son la razón por la que millones de personas dejan sus contraseñas en un post-it, creen que su iPhone es invulnerable o piensan que los hackers solo atacan a grandes empresas. Desmontarlos no es un ejercicio académico. Es, en muchos casos, la diferencia entre estar expuesto o no.
¿De dónde vienen estos mitos y por qué siguen vivos?
La mayoría de los mitos sobre ciberseguridad tienen un origen razonable. En algún momento de la historia de internet, había algo de verdad en ellos. El problema es que la tecnología avanza y las creencias no.
También hay otro factor: la seguridad digital es un tema que genera ansiedad. Cuando algo nos preocupa y no lo entendemos del todo, tendemos a simplificarlo. Y las simplificaciones, cuando se repiten lo suficiente, se convierten en verdades asumidas que nadie cuestiona. El boca a boca tecnológico es tan poco fiable como cualquier otro, pero lo tomamos más en serio porque el emisor suele ser «alguien que sabe de ordenadores».
La industria tampoco ayuda siempre. Algunos productos de seguridad han exagerado sus promesas durante años, vendiendo la idea de que instalar tal o cual software era suficiente para estar protegido. Los errores de ciberseguridad más comunes tienen esa raíz: la falsa sensación de que el problema ya está resuelto.
¿Los antivirus y los Mac son suficientes para estar protegido?
Tener un antivirus no significa estar a salvo, y usar un Mac tampoco. Estos son probablemente los dos mitos de ciberseguridad más extendidos, y los dos más peligrosos porque generan una confianza que no está justificada.
Los antivirus funcionan bien contra amenazas conocidas. El problema es que los ataques más sofisticados no se parecen a nada que el software haya visto antes. El ransomware moderno, el phishing bien construido o los ataques de ingeniería social pasan por encima de cualquier antivirus porque no explotan fallos técnicos: explotan el comportamiento humano. Ningún software protege contra un clic imprudente.
Con los Mac, la historia es parecida. Durante años, Apple tuvo una cuota de mercado tan pequeña que los atacantes simplemente no se molestaban en desarrollar malware para su sistema. Eso se interpretó como «los Mac son seguros» cuando en realidad significaba «los Mac no son un objetivo rentable». Hoy, con cientos de millones de dispositivos Apple en circulación, la situación ha cambiado. El malware para macOS existe, crece y se documenta cada año. La empresa de ciberseguridad Malwarebytes publica informes anuales que muestran un aumento sostenido de amenazas específicas para el ecosistema Apple.
Lo mismo ocurre con iOS. Los iPhones tienen vulnerabilidades reales, como demostró el caso del spyware Pegasus, desarrollado por NSO Group, que infectó dispositivos iOS sin que el usuario hiciera absolutamente nada. Ni un clic, ni una descarga.
¿Por qué «yo no tengo nada que robar» es el error más caro?
El mito de que los ciberataques solo van dirigidos a grandes empresas o a personas con dinero es, posiblemente, el que más víctimas crea. La mayoría de los ataques no son dirigidos: son automáticos, masivos y completamente indiferentes a quién seas.
Los bots que escanean internet en busca de contraseñas débiles, cuentas sin autenticación de dos factores o sistemas sin actualizar no distinguen entre el director financiero de una multinacional y un jubilado con una cuenta de Gmail. Buscan la puerta abierta, no la casa valiosa. Y cuando la encuentran, entran.
Además, «no tener nada que robar» es una evaluación que la mayoría de la gente hace mal. Los datos personales tienen valor aunque su dueño no lo vea: una dirección de correo sirve para campañas de spam; los datos de comportamiento sirven para perfilado comercial; las credenciales de una cuenta aparentemente irrelevante sirven para acceder a otras cuentas vinculadas. Una cuenta de streaming comprometida puede ser el primer eslabón de una cadena mucho más larga.
Y luego está el secuestro. El ransomware no necesita que tengas secretos industriales: basta con que tengas fotos de tu familia, documentos de trabajo o facturas que no quieres perder. El negocio del ransomware se dirige tanto a particulares como a empresas, y los rescates que piden a personas individuales son precisamente los que más probabilidades tienen de cobrarse.
¿Las contraseñas complejas son la clave de la seguridad?
Durante años, la recomendación estándar fue usar contraseñas con mayúsculas, números y símbolos. Era un consejo razonable en su momento, pero ha envejecido mal y ha generado comportamientos que en realidad empeoran la seguridad.
El problema con las contraseñas complicadas es que la gente no las recuerda, así que las reutiliza. Reutilizar contraseñas es mucho más peligroso que usar una contraseña larga pero simple. Si una plataforma filtra tus datos (algo que ocurre con una frecuencia inquietante, como demuestran las bases de datos que circulan en foros de la dark web) y usas la misma contraseña en otros sitios, el atacante tiene acceso a todo.
Los expertos en seguridad llevan años apuntando en otra dirección: frases largas, únicas para cada servicio y gestionadas con un gestor de contraseñas. Herramientas como Bitwarden, 1Password o el propio gestor integrado en iOS y macOS hacen que recordar contraseñas complejas deje de ser el cuello de botella. La autenticación de dos factores, por su parte, añade una capa que neutraliza el problema incluso si la contraseña se ve comprometida.
Hay otro mito relacionado: que cambiar la contraseña cada cierto tiempo es una buena práctica. El Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST) revisó sus directrices en 2017 y eliminó esa recomendación. Cambiar contraseñas sin motivo concreto lleva a los usuarios a hacer cambios mínimos («password1» pasa a «password2»), lo que ofrece una seguridad prácticamente nula.
¿Puedes saber si te han hackeado o siempre es invisible?
Otro error extendido es creer que un ataque siempre produce síntomas visibles: el ordenador va lento, aparecen ventanas extrañas, algo funciona mal. En las intrusiones más sofisticadas, el objetivo es precisamente que no notes nada. Cuanto más tiempo pasa el atacante dentro sin ser detectado, más información puede recopilar.
El tiempo medio de permanencia de un atacante en un sistema antes de ser detectado se ha ido reduciendo en los últimos años gracias a mejores herramientas de monitorización, pero sigue siendo de semanas en muchos casos. En ataques de espionaje o robo de datos de largo plazo, puede ser de meses. Algunos casos documentados de fraude digital han involucrado accesos que llevaban activos mucho tiempo antes de que alguien lo notara.
La recomendación práctica es no esperar síntomas para actuar. Revisar si algún correo o contraseña aparece en filtraciones conocidas (el servicio Have I Been Pwned permite hacerlo gratuitamente), activar alertas de actividad en cuentas bancarias y revisar los accesos autorizados en las principales plataformas son hábitos que no cuestan nada y detectan problemas antes de que escalen.
El mito de que las redes wifi públicas son el mayor peligro
El wifi del aeropuerto tiene mala fama. Y durante un tiempo, esa fama estaba justificada: las conexiones no cifradas en redes abiertas permitían ataques de intermediario relativamente sencillos. Pero la generalización del HTTPS ha cambiado el panorama de forma significativa.
Hoy, más del 95% del tráfico web viaja cifrado. Un atacante en la misma red pública que tú puede ver que te conectas a un dominio, pero no el contenido de lo que haces allí. El riesgo persiste en aplicaciones que no cifran bien sus comunicaciones o en situaciones donde alguien monta un punto de acceso falso con el mismo nombre que el legítimo, pero hay que decir las cosas como son: conectarte al wifi de una cafetería para leer noticias o responder un correo no es una temeridad en 2025.
Lo que sí sigue siendo relevante es no introducir datos sensibles (contraseñas, datos bancarios) en redes que no controlas, especialmente si el navegador muestra alguna advertencia de seguridad. Una VPN añade una capa adicional si la preocupación persiste, aunque tampoco es la solución mágica que algunos piensan. La recopilación de datos no siempre viene de donde creemos que viene.
Las actualizaciones «pueden esperar» y otros errores que cuestan caro
Posponer las actualizaciones del sistema operativo o de las aplicaciones es uno de los errores de ciberseguridad más frecuentes y con consecuencias más directas. La mayoría de los ataques exitosos explotan vulnerabilidades que ya tienen parche disponible. El problema no es que no exista la solución: es que el usuario no la ha instalado.
El caso de WannaCry en 2017 es el ejemplo más citado: el ransomware que paralizó hospitales, empresas y organismos públicos en más de 150 países explotaba una vulnerabilidad de Windows para la que Microsoft había publicado un parche dos meses antes. Dos meses. Quien tenía el sistema actualizado no sufrió el ataque.
La razón por la que la gente no actualiza suele ser práctica: la actualización interrumpe el trabajo, tarda, o simplemente se cierra la ventana y se olvida. Los sistemas modernos han mejorado mucho en este aspecto, permitiendo actualizaciones automáticas fuera del horario de uso. No aprovechar esa opción es dejar una puerta entreabierta sin motivo.
Otro error relacionado con los mitos de ciberseguridad es pensar que el phishing siempre es fácil de detectar. Los ataques más devastadores de la historia no han comenzado con un correo lleno de faltas de ortografía: han comenzado con mensajes perfectamente diseñados, enviados desde direcciones convincentes, dirigidos a personas concretas. El phishing dirigido, conocido como spear phishing, no tiene nada que ver con el spam genérico que los filtros eliminan solos.
¿Seguiremos repitiendo los mismos errores cuando la IA diseñe los ataques?
Los mitos sobre ciberseguridad son difíciles de erradicar porque la mayoría encajan bien con cómo queremos que funcione el mundo: queremos creer que hay una solución simple, que el peligro le pasa a otros, que el software se ocupa de todo. La realidad es más incómoda y más matizada.
Lo que cambia ahora es la escala. La inteligencia artificial ya se usa para construir ataques de phishing personalizados a una velocidad y un volumen que antes requerían equipos humanos. Los correos fraudulentos generados con IA no tienen errores gramaticales, conocen el contexto del destinatario y se adaptan. Los filtros tradicionales no están diseñados para esto.
Si los mitos actuales ya son costosos, los mitos que construyamos sobre la seguridad frente a la IA podrían serlo mucho más. La manipulación automatizada a escala ya existe, y los mecanismos de defensa individuales no han evolucionado al mismo ritmo. La responsabilidad sobre lo que hacen los sistemas automatizados sigue siendo una pregunta sin respuesta clara. La pregunta que queda abierta es cuánto tiempo tardamos en actualizar nuestras creencias, no solo nuestros sistemas.
Preguntas frecuentes
¿Es cierto que los Mac no pueden tener virus?
No es cierto. Los dispositivos Apple pueden infectarse con malware, y los casos documentados aumentan cada año. La idea de que los Mac son inmunes viene de una época en que su cuota de mercado era demasiado pequeña para ser un objetivo rentable. Hoy esa situación ha cambiado, y existen amenazas específicas para macOS e iOS bien documentadas.
¿Debería preocuparme por el wifi público en 2025?
El riesgo existe pero está sobredimensionado gracias al cifrado HTTPS, que protege la mayoría del tráfico web. El consejo práctico es no introducir contraseñas ni datos bancarios en redes que no controlas, especialmente si hay alguna advertencia de seguridad. Para uso cotidiano sin datos sensibles, el riesgo real es bajo.
¿Qué pasa si reutilizo la misma contraseña en varios sitios?
Si cualquiera de esas plataformas sufre una filtración de datos, el atacante puede probar esas mismas credenciales en tus otras cuentas de forma automática. Este ataque se llama credential stuffing y es muy común. Usar contraseñas únicas para cada servicio, gestionadas con un gestor de contraseñas, elimina ese riesgo.
¿Cómo sé si mis datos han sido filtrados en alguna brecha de seguridad?
El servicio Have I Been Pwned permite comprobarlo de forma gratuita introduciendo tu dirección de correo. Cruza tu email con bases de datos de filtraciones conocidas y te avisa si apareces en alguna. No detecta todas las filtraciones posibles, pero cubre las más relevantes y documentadas.
¿El phishing siempre se nota o puede engañar a cualquiera?
El phishing dirigido puede engañar a cualquiera. Los ataques genéricos con errores ortográficos son fáciles de identificar, pero el spear phishing usa información real sobre el destinatario, imita comunicaciones legítimas y viene de direcciones convincentes. Con la IA generando estos mensajes a escala, la capacidad de detección basada solo en el aspecto del correo ya no es suficiente.
¿Sirve de algo cambiar la contraseña cada tres meses si no ha pasado nada?
Según las directrices actualizadas del NIST, cambiar contraseñas de forma rutinaria sin motivo concreto no mejora la seguridad. Lo que suele ocurrir es que los usuarios hacen modificaciones mínimas que ofrecen poca protección real. Tiene más sentido cambiar la contraseña cuando hay indicios de una filtración o un acceso sospechoso.
