¿Es suficiente una contraseña larga si no activo el doble factor?

No del todo. Una contraseña larga y única dificulta que te la adivinen, pero no te protege si te la roban con un correo falso o una filtración. El doble factor añade una barrera que el atacante no tiene aunque conozca la clave.

¿Necesito una VPN para teletrabajar desde casa?

Si tu empresa o cliente te exige una para acceder a sus sistemas, te la proporcionará. Para tu propia conexión doméstica no es imprescindible si el router está bien configurado. Es útil sobre todo cuando no queda más remedio que usar una wifi pública, y conviene evitar las gratuitas.

¿Cada cuánto debo hacer copia de seguridad?

INCIBE deja la frecuencia a tu criterio, según la importancia de la información y la rapidez con que cambia. Lo que cambias cada día, copia diaria; lo que apenas tocas, mensual. Lo importante es automatizarla y probarla de vez en cuando.

¿Qué es lo primero que debo cambiar en el router?

La contraseña de acceso al propio router y la clave de la wifi, ambas distintas de las de fábrica. Después, el nombre de la red, el cifrado (WPA3 si lo admite, WPA2 si no) y desactivar WPS.

Checklist de seguridad para teletrabajar

Respuesta directa

Checklist para trabajar desde casa con seguridad: contraseñas y gestor, doble factor, wifi del router, VPN, actualizaciones y copias de seguridad 3-2-1, con las recomendaciones de INCIBE.

Cuando trabajas desde casa, tu salón pasa a ser la red de la empresa. No hay un departamento de informática detrás del router ni nadie que te recuerde actualizar el portátil, y un fallo tonto (la misma contraseña en cinco servicios, una copia que no existe) puede costarte documentos de clientes o semanas de trabajo. Esta checklist reúne las medidas que más pesan y que cualquiera puede aplicar en una tarde, apoyadas en lo que recomienda INCIBE, el Instituto Nacional de Ciberseguridad, y en su servicio para ciudadanos, la Oficina de Seguridad del Internauta. No hace falta ser técnico; sí conviene hacerlas en orden.

1. Una contraseña distinta para cada servicio

El error más repetido es reciclar la misma clave en varias cuentas: si una web pequeña sufre una filtración, el atacante probará ese correo y esa clave en tu correo, en tu banco y en tu herramienta de trabajo. INCIBE lo lista como primero de los errores típicos con contraseñas, junto a las secuencias de teclado como «123456» o «qwerty», las expresiones hechas, las claves basadas en aficiones o equipos favoritos y los patrones previsibles del tipo «Perro26!» (mayúscula, minúsculas, un par de números y un símbolo al final). Apuntarlas en notas a la vista tampoco es buena idea. La forma realista de cumplirlo todo es un gestor de contraseñas: guarda las claves cifradas, genera claves aleatorias distintas para cada sitio y te avisa de las repetidas. Solo memorizas una contraseña maestra, que según INCIBE debe ser segura pero fácil de recordar para ti; una frase larga y propia funciona mejor que una palabra con símbolos. Empieza por las cuentas que abren todas las demás: tu correo principal, el almacenamiento en la nube y la banca.

2. Doble factor en todo lo importante

La verificación en dos pasos añade algo que posees a algo que sabes: además de la contraseña, un código temporal que llega por SMS o correo, que genera una aplicación de autenticación o que confirma una llave física. Si alguien consigue tu contraseña, todavía necesita ese segundo factor. INCIBE recomienda activarla en todas las cuentas que lo permitan y destaca el correo electrónico, las redes sociales, la mensajería, la banca, el almacenamiento en la nube y las tiendas online. Dos detalles que se olvidan: guarda los códigos de respaldo que algunos servicios te dan, en un sitio que no sea el mismo móvil, porque son tu salida si lo pierdes; y protege también el propio gestor de contraseñas con doble factor, algo que muchos gestores en línea permiten. Cada servicio lo configura de forma distinta, así que busca en sus ajustes la sección de seguridad.

3. El router y la wifi de casa

Tu wifi es la puerta de entrada de todos los dispositivos de la casa, incluido el portátil de trabajo. INCIBE y la OSI repasan los mismos puntos: cambia la contraseña de acceso al router, porque la de fábrica suele estar en una pegatina; cambia el nombre de la red para que no delate tu operadora ni el modelo; sustituye la clave wifi que trae por defecto por una robusta; y usa el cifrado más moderno que admita tu equipo. En su artículo de 2024, INCIBE explica que WPA2 se considera obsoleto por las vulnerabilidades descubiertas, como el ataque KRACK, y recomienda configurar WPA3 si el router lo admite (en la web del fabricante o buscando el modelo lo comprobarás); en su guía anterior de 2017 pedía WPA2-PSK, con modo mixto si algún dispositivo no es compatible, y advertía de que nunca debe usarse WEP. También aconseja desactivar WPS, el sistema de conexión por PIN de 8 dígitos que podría usarse para entrar en tu red. Para entrar al router, escribe su dirección (suele ser 192.168.1.1 o 192.168.0.1) en el navegador; si no conoces el usuario y la clave, mira la pegatina o pregunta a tu operadora. Si tienes visitas con frecuencia, algunos routers permiten una red de invitados separada, así que merece la pena mirar si el tuyo la incluye.

4. VPN y wifis públicas

Una VPN crea una conexión cifrada entre tu dispositivo y un servidor remoto. INCIBE la recomienda para conectarte desde redes públicas, como las de cafeterías o aeropuertos, y para acceder de forma segura a la red de una empresa cuando teletrabajas. Para el segundo caso, la VPN suele facilitarla tu empresa o cliente, y no tienes que elegir nada. Para el primero, INCIBE prefiere otra solución: no usar wifis públicas y compartir datos del móvil (tethering), y, si no queda más remedio, una VPN. En cualquier caso, evita operar con la banca o con datos confidenciales en una red pública. Si contratas una por tu cuenta, desconfía de las gratuitas: INCIBE advierte de que muchas recopilan y venden datos de usuarios, algunas usan protocolos de cifrado más débiles, pueden saturarse y vivir de publicidad invasiva. Revisa la política de no registro de datos, los protocolos de cifrado y la compatibilidad con tus dispositivos antes de decidir.

5. Actualizaciones y dispositivos separados

Los parches cierran fallos que los atacantes ya conocen, así que una política mínima es dejar activas las actualizaciones automáticas del sistema operativo, el navegador y las aplicaciones de trabajo, y reiniciar cuando te lo pidan. Todo software tiene un ciclo de vida y, cuando el fabricante deja de darle soporte, deja de recibir parches: si tu portátil o tu móvil ya no los reciben, es momento de sustituirlo. Instala las actualizaciones desde el propio programa o desde la web del fabricante, no desde ventanas emergentes que te piden actualizar. Si usas un dispositivo personal para trabajar, la guía de INCIBE para empresarios advierte de que los equipos de uso mixto deben entrar en una política de seguridad, porque sin ella quedan expuestos a incidentes. Una medida sencilla es separar perfiles de usuario: uno para el trabajo y otro para el ocio, con sus propias cuentas y extensiones del navegador.

6. Copias de seguridad con la regla 3-2-1

INCIBE resume una copia de seguridad fiable en tres condiciones: tres copias de la misma información, en dos dispositivos distintos, y una de ellas en un lugar diferente al resto (su ejemplo es un disco duro externo en casa de un familiar). Traducido a un autónomo: el original en tu ordenador, una copia en un disco externo y otra en un servicio en la nube o en otro lugar físico. La frecuencia la marca la importancia de la información y lo rápido que cambia; un archivo que modificas todos los días necesita una copia diaria, y uno que casi no tocas, una al mes. INCIBE no detalla cómo comprobar las copias, pero es una pauta de sentido común: una vez al trimestre, restaura un archivo cualquiera para confirmar que la copia se abre. Las copias que nunca se han probado son una esperanza, no una copia.

7. Si algo sale mal

Aunque apliques todo lo anterior, puede pasar: un correo que parecía legítimo, una clave filtrada, un equipo que se comporta raro. Cambia de inmediato la contraseña de la cuenta afectada desde un dispositivo de confianza, revisa los accesos recientes y activa el doble factor si no lo tenías. Si trabajas por cuenta ajena, avisa a tu empresa en cuanto lo sospeches; si eres autónomo, avisa a los clientes cuyos datos hayas podido exponer. INCIBE ofrece una línea gratuita y confidencial de ayuda en ciberseguridad, el 017, para ciudadanos y empresas. Para que la checklist no se quede en buenas intenciones, reserva noventa minutos: gestor y claves del correo en la primera media hora, doble factor en las cinco cuentas más importantes en la segunda y el router con la primera copia en la tercera. Para el resto del puesto, tienes la guía de teletrabajo en España, las herramientas de productividad para el trabajo remoto y cómo organizar un setup productivo en casa.

Conclusión

Si solo vas a hacer una cosa hoy, instala un gestor de contraseñas y activa el doble factor en tu correo principal: es lo que más reduce el riesgo con menos esfuerzo. Después, dedica una tarde al router (clave, nombre, WPA3 o WPA2 y WPS desactivado) y programa una copia en un disco externo y otra fuera de casa. Y apunta en el calendario una revisión trimestral para comprobar que las copias se abren y que no queda ninguna cuenta importante sin segundo factor.

Referencias

Hosting recomendado para emprendedores