Medidas preventivas y correctivas

Ordene estas tres contraseñas de menor a mayor seguridad y explique el criterio que ha seguido: «luna2024», «Tr3s!TristesTigres», «123456».

¿Qué datos personales no deberían aparecer nunca en una contraseña (su año de nacimiento, el nombre de su mascota, su equipo de fútbol)? Explique por qué son precisamente los primeros que prueba un atacante que lo conoce o lo investiga en redes.

Explique qué es el bloqueo por intentos fallidos en un celular o en un cajero automático y cómo convierte un PIN de solo cuatro dígitos en una defensa razonable aunque existan pocas combinaciones posibles.

Explique qué son las preguntas de seguridad («¿nombre de su primera mascota?»), por qué son un eslabón débil si las respuestas se pueden encontrar en sus redes y qué estrategia puede usar al responderlas sin olvidarlas después.

La figura compara la solidez estimada de dos contraseñas.

Indique cuál de las dos es más robusta, explique qué características la hacen fuerte y razone qué tiempo de descifrado ocuparía, en comparación, el hueco marcado con ?.

Un PIN de cuatro dígitos admite $10^4$ combinaciones posibles. Calcule cuántas combinaciones admite un PIN de seis dígitos y, si un programa prueba $1,000$ combinaciones por segundo, estime cuánto tardaría como máximo en descifrar cada uno. ¿Qué conclusión saca sobre añadir caracteres a una contraseña?

Compare estas dos contraseñas: «X7#k9», de cinco caracteres muy raros, y «casa verde luna rio», una frase larga de palabras comunes. Explique qué pesa más en la resistencia de una contraseña, la longitud o la rareza de los caracteres, cuál recordaría mejor y qué tipo de ataque sufre cada una.

La figura explica cómo funciona un gestor de contraseñas.

Explique qué representa la caja fuerte marcada con ?, qué ventaja tiene memorizar una única contraseña maestra frente a repetir la misma contraseña en todas partes y qué precaución especial exige esa contraseña maestra.

¿Por qué se dice que el correo electrónico es la cuenta más importante que debe proteger? Explique qué puede hacer un atacante que controle su correo con todas sus demás cuentas, pensando en el botón «olvidé mi contraseña».

Un compañero almacena todas sus contraseñas en una nota de texto sin cifrar en su celular, sincronizada automáticamente en la nube, y argumenta: «Si uso un gestor de contraseñas y hackean su empresa, me roban todas a la vez; con mi nota en el celular, solo quien me robe físicamente el teléfono puede verlas».

1. a) Rebata su argumento explicando dos situaciones reales en las que sus contraseñas quedarían expuestas sin necesidad de que nadie le robe físicamente el teléfono ni conozca su código de desbloqueo.
2. b) Justifique técnicamente cómo protege un gestor de contraseñas la información frente a una fuga de datos en sus propios servidores (concepto de cifrado de extremo a extremo) y qué ventaja aporta frente a la nota de texto.

Comente esta práctica: «apunto la contraseña en un papel pegado bajo el teclado; total, no es digital». Valore su riesgo real y proponga dos alternativas más seguras para no olvidar las contraseñas importantes.

Explique qué es la verificación en dos pasos y por qué protege su cuenta aunque alguien logre robar su contraseña.

Una aplicación bancaria propone sustituir por completo todas las contraseñas escritas por reconocimiento facial o huella dactilar, argumentando que «su cara y su dedo son únicos y no se pueden olvidar ni teclear mal».

1. a) Rebata la propuesta del banco justificando técnicamente por qué un dato biométrico no debe ser el único secreto de autenticación, contrastando qué sucede cuando se filtra una contraseña frente a lo que ocurre si se filtra una plantilla biométrica.
2. b) Diseñe un esquema de autenticación multifactor (MFA) para autorizar transferencias bancarias de alto importe que combine al menos dos factores de naturaleza distinta (algo que sabe, algo que tiene o algo que es), y justifique por qué resiste ante el robo físico del teléfono celular.

Priorice esta lista de cuentas para activar la verificación en dos pasos, de imprescindible a prescindible, y justifique su criterio: correo electrónico, banco, videojuego favorito, red social, plataforma del colegio. Termine reflexionando sobre si tiene sentido poner la máxima seguridad en todo.

Su celular lleva meses avisando de una actualización del sistema y siempre pulsa «más tarde». Explique qué riesgo concreto está aceptando y qué relación hay entre las actualizaciones y las brechas de seguridad que ya se conocen públicamente.

Un conocido afirma: «Tengo instalado un antivirus de pago muy potente, así que me da igual usar una contraseña sencilla en todas mis cuentas y no necesito perder el tiempo instalando las actualizaciones del sistema operativo».

1. a) Prediga detalladamente un escenario de ataque en el que un ciberdelincuente tome el control de su equipo o de sus cuentas personales sin que el antivirus llegue a emitir ninguna alerta (por ejemplo, mediante una vulnerabilidad no parcheada del sistema o por fuerza bruta e ingeniería social).
2. b) Justifique mediante el principio de defensa en profundidad por qué un único mecanismo de seguridad nunca es suficiente, explicando cómo deben complementarse tres capas defensivas distintas (actualizaciones del sistema, autenticación y protección activa) para neutralizar la amenaza si una de ellas falla.

Al registrarse en una aplicación web gratuita de edición de imágenes, la plataforma le ofrece hacer clic en «Iniciar sesión con Google». Antes de entrar, una ventana le solicita autorizar el acceso a su nombre y correo, pero además pide permisos para «Ver, editar y eliminar tus archivos de Google Drive».

1. a) Interprete los permisos solicitados y justifique por qué concederlos supone una vulneración del principio de mínimo privilegio en este caso concreto.
2. b) Analice el riesgo del «punto único de fallo» para un usuario que utiliza su cuenta de Google como llave de acceso para más de veinte servicios distintos en internet. Prediga las consecuencias inmediatas si le sustraen la cuenta principal y diseñe un procedimiento de tres pasos para auditar y revocar accesos periódicamente.

Usted está conectado a la wifi gratuita de una cafetería y necesita consultar su cuenta bancaria. Explique qué riesgos tiene una red wifi pública, qué precauciones técnicas la hacen más segura (https, VPN, usar los datos móviles) y qué operaciones es mejor no hacer nunca desde ella.

Una red social sufre una filtración y su correo aparece en la lista de cuentas afectadas. Describa paso a paso y en orden qué haría desde ese momento: qué contraseñas cambiar, qué comprobar en otras cuentas y qué protección adicional activar.

Un servicio le avisa: «se ha detectado un inicio de sesión desde otro país». Describa paso a paso y en orden qué haría usted desde ese aviso: cómo confirmar si fue usted, qué credenciales cambiar, dónde revisar las sesiones abiertas y qué protección activar después.

Tras filtrarse la base de datos con correos y contraseñas de una tienda de ropa en línea, varios clientes sufren accesos no autorizados en sus cuentas bancarias y de correo, a pesar de que esas entidades no sufrieron ningún fallo de seguridad.

1. a) Justifique el procedimiento técnico automatizado que utilizan los atacantes para entrar en las demás cuentas a partir de los datos filtrados, explicando por qué una contraseña larga y compleja deja de ser segura en cuanto se reutiliza.
2. b) Un usuario afectado afirma: «Con cambiar la contraseña de la tienda de ropa hackeada ya estoy a salvo». Rebata su afirmación prediciendo los riesgos reales a los que sigue expuesto y diseñe un protocolo de respuesta inmediata en tres pasos para proteger su identidad digital.

Una red social sufre una filtración y su correo aparece en la lista de cuentas afectadas. Describa paso a paso y en orden qué haría desde ese momento: qué contraseñas cambiar, qué comprobar en otras cuentas y qué protección adicional activar.

Una familia almacena en su computadora de escritorio 400 GB de fotos y documentos oficiales irremplazables. Como precaución, guardan una copia semanal en un disco duro externo USB que mantienen siempre conectado al equipo.

1. a) Justifique por qué esta medida resulta insuficiente frente a dos amenazas concretas: un ataque por ransomware y una sobretensión eléctrica en la vivienda.
2. b) Diseñe una estrategia de copia de seguridad eficaz aplicando el principio 3-2-1 adaptada a esta familia: concrete qué soportes utilizar, dónde deben ubicarse físicamente las copias y con qué periodicidad deben actualizarse, justificando cada decisión técnica.

Diseñe la política de contraseñas para la página web de un club deportivo que guarda datos de menores: longitud mínima, verificación en dos pasos para entrenadores y directivos, qué hacer con la cuenta compartida del equipo y cómo ayudar a las familias menos expertas a cumplirla.