⚠️ Este artículo es largo. Y está hecho así a propósito.
La seguridad digital es uno de esos temas que parece aburrido hasta el día en que algo sale mal.
No necesitas ser programador para entenderlo. De hecho, este artículo está escrito precisamente para personas que no son técnicas.
Vamos a comenzar con dos historias que parecen sacadas de una película, pero que tienen elementos completamente reales.
📱 Historia 1: "Oye, soy yo. Necesito que me hagas una transferencia"
Imagina que un martes cualquiera recibes un mensaje por WhatsApp.
Es tu primo.
Tiene su misma foto.
Su mismo nombre.
El mismo número que tienes guardado desde hace años.
Y te escribe:
"Oye, necesito hacer una transferencia urgente. Después te doy el dinero."
Tú preguntas:
—¿Qué pasó?
Te responde inmediatamente.
Te cuenta una historia perfectamente creíble.
Quizás está comprando algo.
Quizás necesita pagar una deuda.
Quizás está resolviendo un problema familiar.
Quizás simplemente tiene el dinero en efectivo pero necesita que alguien le haga una transferencia.
Y entonces te manda una tarjeta bancaria.
Tú miras la foto.
Es él.
Miras el nombre.
Es él.
Miras el número.
Es el mismo de siempre.
Entonces haces la transferencia.
💸
Unos minutos después llamas a tu primo.
—Oye, ya te hice la transferencia.
Silencio.
—¿Qué transferencia?
Y ahí empieza el problema.
No estabas hablando con tu primo.
Estabas hablando con alguien que había conseguido hacerse pasar por él.
Esto ya no es solamente una historia de películas o de "hackers rusos". En abril de 2026, Bandec alertó públicamente sobre un aumento de estafas digitales que utilizan WhatsApp en Cuba. Una de las modalidades descritas consiste precisamente en tomar el control de una cuenta y utilizarla posteriormente para hacerse pasar por la víctima y solicitar transferencias a sus contactos.
Y recientemente se publicó también el caso de una víctima que perdió US$1,900 después de que los estafadores utilizaran el WhatsApp comprometido de un conocido para hacerse pasar por él y solicitar dinero.
Pero hay algo todavía más preocupante.
"¿Y si lo llamo para comprobar que es él?"
Excelente pregunta.
Porque durante años nuestra defensa era:
"Si tengo dudas, lo llamo."
El problema es que la tecnología está haciendo que incluso eso sea menos confiable.
Hoy existen herramientas capaces de imitar voces a partir de muestras relativamente pequeñas.
Y eso significa que escuchar una voz parecida a la de una persona ya no debería considerarse una prueba absoluta de identidad.
Imagínate:
📱 WhatsApp:
"Oye, necesito que me hagas el favor."
☎️ Tú llamas.
—¿Eres tú?
—Sí, soy yo. Hazme la transferencia que te dije.
La voz suena como él.
Habla como él.
Conoce cosas que solamente él debería conocer.
Pero sigue sin ser él.
No significa que cada llamada que recibas esté clonada por inteligencia artificial. Tampoco significa que debamos convertirnos en paranoicos.
Significa algo mucho más sencillo:
cuando hay dinero involucrado, la confianza no debería depender de una sola prueba.
Si algo parece extraño, verifica por otro canal.
Llama al número que ya tenías guardado.
Pregunta algo que no esté públicamente disponible.
Habla con otra persona de la familia.
O simplemente espera.
Una transferencia urgente deja de ser urgente cuando el dinero desaparece.
🧩 ¿Cómo llegaron hasta ahí?
Aquí aparece una idea muy importante:
El atacante no necesariamente empezó atacando el banco.
Puede haber empezado atacando tu confianza.
Una persona publica en Facebook:
📸 fotos de su familia
📍 dónde vive
🏖️ dónde está de vacaciones
🎂 cumpleaños
📱 número de teléfono
👨👩👧 nombres de familiares
💼 dónde trabaja
✈️ cuándo viaja
Cada publicación parece insignificante.
Una pieza no dice mucho.
Pero imagina que alguien recoge cien piezas de un rompecabezas.
Al final puede construir una imagen bastante completa de tu vida.
Es como dejar las llaves de tu casa en distintos lugares de la calle:
"Una llave aquí no sirve de nada."
Correcto.
Pero si alguien encuentra todas, ya no necesita romper la puerta.
🔐 El segundo problema: a veces el atacante ni siquiera necesita engañar a tu amigo
Ahora viene una historia todavía más extraña.
Esta probablemente no la hayas escuchado.
Imagina que alguien te envía por WhatsApp un archivo.
Puede ser:
🎮 un juego crackeado
💻 un programa que normalmente es de pago
🛠️ una herramienta que alguien dice que necesitas
📦 un "portable"
🎬 un programa para descargar videos
🎵 un reproductor
🧩 un mod
El mensaje dice:
"Este funciona. Pesa poquísimo. Descárgalo que está bueno."
Y el archivo puede ser sorprendentemente pequeño.
Lo descargas.
Lo ejecutas.
No pasa nada.
O aparece una ventana durante dos segundos y desaparece.
Entonces piensas:
"Bueno... no funcionó."
Y sigues con tu vida.
Preparas café. ☕
Abres Chrome.
Todo normal.
Entras a Gmail.
Todo normal.
Abres Google Calendar.
Todo normal.
Revisas YouTube.
Todo normal.
Tu teléfono Android sigue funcionando.
Todo normal.
Hasta que deja de ser normal.
Horas después intentas entrar a tu cuenta Google.
Contraseña incorrecta.
La vuelves a escribir.
Nada.
Intentas recuperar la cuenta.
Y aparece algo que jamás habías visto:
"Esta cuenta está administrada mediante supervisión familiar."
¿Familia?
Tú no tienes ninguna familia configurada.
Intentas continuar.
Google te dice que necesitas la aprobación de un padre.
Y el padre...
es otra cuenta que tú no reconoces.
😐
Ahora imagina la sensación.
Tu Gmail.
Tus contactos.
Tu calendario.
Tus fotos.
Tus documentos.
Tus sesiones.
Tus servicios asociados.
Tu cuenta de YouTube.
Tus dispositivos Android.
Todo estaba conectado a una misma identidad digital.
Y acabas de perder el control de esa identidad.
🧠 ¿Esto realmente puede pasar?
Sí, pero aquí tenemos que hacer una distinción importante.
No significa que cualquier archivo llamado juego.exe pueda mágicamente apoderarse de una cuenta Google.
El atacante primero necesita conseguir algún tipo de acceso a tu cuenta o a las credenciales/sesiones que permiten actuar como tú.
Ahí es donde entra el malware.
En 2026, investigadores de ReversingLabs documentaron una técnica en la que atacantes que ya habían conseguido acceso a cuentas Google utilizaban Google Family Link para convertir la cuenta de la víctima en una cuenta supervisada y colocar al atacante como el "padre".
Google confirma que una cuenta bajo Family Link puede estar administrada por un padre, incluyendo determinadas configuraciones de la cuenta y dispositivos, y que el padre puede cambiar la contraseña de una cuenta infantil.
También existen reportes recientes de víctimas que describen cuentas comprometidas mediante malware y posteriormente colocadas bajo una cuenta Family Link controlada por el atacante, haciendo mucho más difícil el proceso de recuperación.
Por eso este ataque resulta tan interesante.
No consiste simplemente en:
"Me robaron la contraseña."
Es más parecido a:
"Alguien entró a mi casa, cambió las cerraduras, se declaró dueño de la casa y después llamó a la policía para decir que yo era el intruso."
😬
🪪 Tu cuenta Google no es solamente tu correo
Este es uno de los errores más peligrosos que podemos cometer.
Pensar:
"Si pierdo mi Gmail, solamente pierdo mis correos."
No necesariamente.
Para muchas personas, Google se ha convertido en una especie de llavero digital.
Una sola cuenta puede estar relacionada con:
- Gmail
- Google Drive
- Google Photos
- YouTube
- Google Calendar
- contactos
- aplicaciones
- contraseñas almacenadas
- dispositivos Android
- sesiones de otros servicios
- métodos de recuperación
- autenticación mediante Google
Es como tener una enorme cantidad de puertas de una casa utilizando la misma llave.
La comodidad es fantástica.
El problema aparece cuando alguien consigue esa llave.
🚨 Entonces, ¿qué tiene que ver todo esto con tu página web?
Muchísimo.
Porque probablemente ahora estés pensando:
"Yo entiendo que no debo descargar programas raros. ¿Pero qué tiene que ver esto con mi página?"
La respuesta está en una palabra:
Confianza.
Una página web también es una identidad.
Cuando alguien entra a:
https://tallerweb-cu.vercel.app
está confiando en que:
- realmente está hablando con TallerWeb;
- la conexión está protegida;
- los enlaces llevan donde deberían;
- los formularios funcionan correctamente;
- sus datos no están siendo enviados a lugares extraños;
- el sitio no está cargando contenido peligroso;
- la infraestructura está correctamente configurada.
Una web insegura es como una tienda con una fachada preciosa pero con la puerta trasera abierta.
El cliente entra por delante.
El problema puede estar detrás.
🏠 Una página web es como una casa
Esta es probablemente la mejor metáfora para entender seguridad web.
Imagina que tienes una casa.
La dirección
Es tu dominio.
Por ejemplo:
mipeluqueria.com
Es la dirección donde la gente sabe encontrarte.
La puerta
Es el acceso a tu aplicación.
Puede estar protegida con HTTPS, autenticación, etc.
Las cerraduras
Son las diferentes medidas de seguridad.
Contraseñas.
Cookies.
Sesiones.
Permisos.
Autenticación multifactor.
Las ventanas
Son los puntos desde donde tu aplicación expone información.
APIs.
Endpoints.
Archivos.
Servicios.
Las cámaras
Son los registros y sistemas de monitoreo.
Y las personas que tienen llaves
Son los usuarios y administradores.
Ahora imagina que revisas tu casa y dices:
"La puerta tiene una cerradura estupenda."
Perfecto.
Pero descubres que una ventana del segundo piso no cierra.
O que la puerta trasera no tiene cerradura.
O que tienes una llave escondida debajo del felpudo.
O que el vecino tiene una copia.
La casa puede seguir viéndose preciosa.
Pero no está bien protegida.
Una página web funciona exactamente igual.
🔎 ¿Qué deberías comprobar?
1. HTTPS
El famoso candado 🔒.
HTTPS protege la comunicación entre el navegador y el servidor.
Piensa en ello como enviar una carta dentro de una caja cerrada en lugar de escribir el mensaje directamente sobre el sobre.
Pero recuerda:
HTTPS no significa que todo lo demás esté bien.
Es una buena puerta.
No es una inspección completa de la casa.
2. Las cabeceras de seguridad
Aquí empieza la parte menos visible.
Tu navegador recibe instrucciones adicionales del servidor que pueden ayudarle a comportarse de manera más segura.
El usuario normal nunca las ve.
Es parecido a las instrucciones que un empleado de seguridad recibe por radio:
"No permitas esto."
"Solo acepta aquello."
"No abras esa puerta."
La página puede verse exactamente igual aunque esas instrucciones existan o falten.
3. Las cookies
Las cookies son pequeños datos que el navegador guarda para que una página pueda recordar determinadas cosas.
Por ejemplo:
"Este usuario ya inició sesión."
Son útiles.
Pero una cookie relacionada con una sesión también puede ser muy importante para la seguridad.
Piensa en ella como una pulsera que demuestra que tienes permiso para entrar a un concierto.
Si alguien consigue una copia válida de esa pulsera, puede intentar entrar haciéndose pasar por ti.
Por eso existen medidas para proteger las cookies.
4. Redirecciones
Imagina que preguntas:
"¿Dónde está la farmacia?"
Y alguien responde:
"Ve por esa puerta."
Caminas.
La puerta te lleva a otra calle.
Otra persona te dice:
"Por aquí."
Y terminas en un lugar completamente distinto.
Las redirecciones web funcionan de manera parecida.
Normalmente son completamente legítimas.
Pero una configuración incorrecta puede crear comportamientos inesperados.
Por eso también merece la pena revisarlas.
5. Información que tu servidor revela
Tu servidor puede estar diciendo más de lo que debería.
Es parecido a un negocio que coloca un cartel enorme en la puerta diciendo:
"Tenemos una caja fuerte detrás de esta pared y la llave está en el tercer cajón."
😅
Probablemente no sea una buena idea.
En seguridad, revelar información innecesaria puede ayudar a alguien que está intentando averiguar cómo atacar un sistema.
6. Tu aplicación puede tener más puertas de las que imaginas
Esta es una de las razones por las que una página moderna puede ser más compleja de lo que parece.
El visitante ve:
Inicio → Servicios → Contacto
Pero detrás pueden existir:
/api
/login
/admin
/users
/orders
/upload
/search
etc.
Es como entrar a un pequeño restaurante y descubrir que detrás de la puerta principal existen veinte habitaciones.
El cliente solamente necesita conocer la entrada.
El propietario necesita saber qué puertas existen y quién tiene las llaves.
🧪 🛠️ CONTENIDO TÉCNICO
👨💻 Esta sección es para curiosos, programadores y personas que quieran entender qué hay debajo del capó.
Si estos ejemplos parecen extraterrestres, puedes saltarlos. La parte anterior contiene todo lo que necesitas para entender la idea.
Una cabecera HTTP
Un servidor puede responder algo parecido a:
HTTP/2 200 OK
content-type: text/html
strict-transport-security: max-age=31536000
x-content-type-options: nosniff
referrer-policy: strict-origin-when-cross-origin
Cabeceras como estas pueden establecer políticas que reducen determinadas superficies de ataque.
Por ejemplo:
Strict-Transport-Security: max-age=31536000
le indica al navegador que debe utilizar HTTPS durante el período indicado.
Cookies
Una cookie de sesión podría establecer atributos como:
Set-Cookie: session=abc123;
Secure;
HttpOnly;
SameSite=Lax
Cada atributo tiene un propósito.
Secure ayuda a impedir que la cookie sea enviada mediante una conexión HTTP no segura.
HttpOnly evita que JavaScript pueda acceder directamente a ella mediante APIs como document.cookie.
SameSite ayuda a controlar cuándo el navegador envía la cookie en determinados contextos entre sitios.
Una configuración incorrecta puede aumentar la superficie de ataque.
Un ejemplo de política de contenido
Una aplicación puede utilizar una Content Security Policy:
Content-Security-Policy:
default-src 'self';
script-src 'self';
img-src 'self' https:;
La idea general es decirle al navegador:
"No ejecutes ni cargues cualquier cosa que aparezca por ahí. Solo acepta determinados tipos de contenido y determinados orígenes."
Es una especie de lista de invitados para los recursos de tu página.
¿Y qué puede comprobar un escáner?
Un escaneo externo básico puede analizar cosas como:
HTTPS
✓ Certificado válido
HTTP → HTTPS
✓ Redirección correcta
Security Headers
⚠ Falta determinada cabecera
Cookies
⚠ Cookie sin atributo Secure
Redirects
✓ Comportamiento esperado
Esto no significa que el sitio haya sido hackeado.
Significa que se encontraron determinados indicadores que merecen atención.
Y aquí está una distinción fundamental:
Un escáner no es lo mismo que una auditoría de seguridad completa.
Un escáner puede ser como mirar una casa desde la acera con unos buenos prismáticos.
Una auditoría profunda implica entrar mucho más en detalle y comprobar cómo se comportan las diferentes partes del sistema.
🕵️♂️ ¿Por qué hacer un escaneo si no eres técnico?
Porque no necesitas saber reparar un automóvil para saber que una luz roja en el tablero merece atención.
El escáner cumple precisamente esa función.
No pretende convertirte en especialista en ciberseguridad.
Pretende responder preguntas como:
"¿Hay algo aquí que debería revisar?"
Y eso ya puede ser extremadamente útil.
🧠 La seguridad empieza mucho antes de contratar a un especialista
Puedes hacer muchas cosas sencillas desde hoy.
En tus redes sociales
🔒 Evita publicar información innecesaria.
📱 No publiques tu número de teléfono si no es necesario.
🏠 Ten cuidado con publicar ubicación y rutinas.
👨👩👧 Evita exponer demasiada información de familiares.
🎂 Tu fecha de nacimiento completa no tiene por qué estar disponible para todo el mundo.
En WhatsApp
🚫 Nunca compartas códigos de verificación.
🚫 No entregues códigos que alguien te pida "para vincular" un teléfono.
🔐 Activa la verificación en dos pasos.
👀 Revisa periódicamente tus dispositivos vinculados.
☎️ Si alguien pide dinero urgentemente, verifica por otra vía.
Bandec recomienda precisamente no entregar códigos de verificación y revisar los dispositivos vinculados cuando existe sospecha de compromiso de WhatsApp.
En tu computadora
🚫 No ejecutes programas simplemente porque alguien dijo:
"A mí me funciona."
⚠️ Ten especial cuidado con cracks, keygens y programas modificados.
🎮 Un juego gratuito puede salir mucho más caro que comprarlo.
📦 Un archivo pequeño no significa que sea seguro.
Y recuerda:
El tamaño de un archivo no es una medida de su peligrosidad.
Una gota de veneno no pesa mucho.
☠️
🏢 Y si tienes un negocio...
Aquí la conversación cambia.
Porque ya no estás protegiendo solamente tus fotos y tu correo.
Puedes estar protegiendo:
- clientes;
- pedidos;
- formularios;
- contraseñas;
- información de contacto;
- cuentas administrativas;
- APIs;
- documentos;
- información financiera;
- reputación.
Tu página puede ser pequeña.
Pero el daño que produce un problema puede ser grande.
Un negocio puede sobrevivir a una página lenta.
Puede sobrevivir a un logo feo.
Puede sobrevivir a una semana con pocas visitas.
Una filtración de información o una cuenta administrativa comprometida puede ser mucho más seria.
🩺 Una auditoría es como un chequeo médico
Hay otra comparación que ayuda mucho.
Cuando vas al médico, no esperas hasta estar en el suelo para hacerte todos los análisis.
Algunas revisiones se hacen precisamente para encontrar problemas antes de que sean evidentes.
Una auditoría de seguridad funciona de manera parecida.
No promete:
"Nunca podrás ser atacado."
Eso no existe.
Lo que intenta hacer es:
"Vamos a buscar problemas conocidos, configuraciones débiles y comportamientos sospechosos antes de que alguien más los encuentre."
🔦 ¿Y entonces qué hago?
Empieza por lo sencillo.
Si tienes una página web, averigua qué está exponiendo.
Si tienes una cuenta importante, protégela.
Si tienes un negocio, conoce qué sistemas dependen de ella.
Si recibes una solicitud urgente de dinero, verifica.
Si alguien te manda un programa desconocido, no lo ejecutes alegremente.
Y si tienes una página web...
haz que alguien la mire desde fuera.
Porque una cosa es conocer tu propia casa.
Y otra muy distinta es saber cómo se ve tu casa desde la calle cuando tú no estás mirando.
🔐 Tu página no tiene que ser perfecta. Pero debes saber en qué estado está.
La seguridad no es un interruptor de:
SEGURA / HACKEADA
Hay muchos niveles intermedios.
Una página puede tener HTTPS pero carecer de determinadas protecciones.
Puede tener buenas cabeceras pero una aplicación vulnerable.
Puede estar perfectamente configurada hoy y desarrollar un problema después de una actualización.
Puede utilizar un servicio externo que introduzca una nueva superficie de ataque.
Por eso la seguridad tampoco debería ser un proyecto que haces una vez y olvidas.
Es mantenimiento.
Como cambiar el aceite.
Como revisar los frenos.
Como comprobar que la puerta todavía cierra.
🚦 Empieza por saber dónde estás parado
En TallerWeb puedes comenzar con un escaneo básico gratuito de tu página.
El objetivo no es asustarte ni decirte que tu negocio está en peligro.
Es mucho más sencillo:
mirar qué puede verse desde fuera.
Puedes descubrir que todo está bien.
Puedes descubrir algunos detalles que conviene corregir.
O puedes descubrir que necesitas una revisión más profunda.
Las tres respuestas son útiles.
Porque el peor resultado no es:
"Tu página tiene un problema."
El peor resultado es:
"No tengo ni idea de si mi página tiene un problema."
Y eso sí se puede solucionar.
🛡️ La seguridad digital empieza con una pregunta
La próxima vez que alguien te diga:
"Tu página funciona perfectamente."
pregunta:
"¿Y sabes si está segura?"
Porque una página web puede abrir perfectamente.
Puede cargar rápido.
Puede verse preciosa en el teléfono.
Puede aparecer primera en Google.
Puede recibir clientes todos los días.
Y aun así tener una puerta trasera que nadie está mirando.
🔒 La seguridad no consiste en vivir con miedo.
Consiste en saber qué estás protegiendo.
Saber qué puede salir mal.
Y, sobre todo, descubrir los problemas antes que el atacante.
