La llave que jubila las contraseñas

Tiempo de lectura:
±8 minutos

Para escuchar mientras lees:

Una casilla para el usuario, otra para la contraseña, un enlace por si la hemos olvidado y, debajo, el pequeño ritual de siempre: introducir un código recibido por SMS, abrir una aplicación o aprobar una notificación. La puerta de internet se ha ido llenando de cerrojos porque el primero era malo. Seguimos confiando en una palabra secreta que debe ser larga, distinta en cada servicio, imposible de adivinar y, de alguna manera, fácil de recordar.

Las claves de acceso, conocidas por su nombre inglés, passkeys, parten de una idea menos agotadora: dejar de pedirnos que fabriquemos y transportemos secretos. Apple, Google, Microsoft y numerosos servicios ya permiten utilizarlas, mientras organismos como el Centro Nacional de Seguridad Cibernética británico recomiendan escogerlas siempre que estén disponibles. No son una promesa futurista ni otra capa añadida sobre la contraseña. Son un mecanismo diferente, y conviene empezar a familiarizarse con él antes de que el viejo formulario desaparezca de verdad.

Dos llaves que nunca se encuentran

Al crear una passkey, el teléfono, el ordenador o el gestor de credenciales genera dos claves matemáticamente relacionadas. La pública se entrega al sitio web. La privada permanece protegida en el dispositivo o en el gestor donde guardamos nuestras credenciales. Durante el acceso, el servicio envía un desafío y nuestro dispositivo lo firma. La web comprueba esa firma con la clave pública y abre la cuenta. La clave privada no viaja, no se escribe y el servidor nunca llega a conocerla.

El proceso parece más complicado contado así que utilizado. En la pantalla suele reducirse a pulsar «Iniciar sesión con una clave de acceso» y desbloquear el dispositivo con la huella, el rostro, un patrón o el PIN habitual. La biometría no se envía al servicio. Su función consiste en autorizar localmente el uso de la clave privada, del mismo modo que Face ID o una huella permiten abrir el teléfono. El servidor recibe una confirmación criptográfica, no una fotografía de nuestra cara ni una copia de la huella.

Aquí aparece una confusión comprensible. Una passkey no es la huella digital, ni el código del teléfono, ni una contraseña especialmente larga escondida en una carpeta. Es una credencial que el dispositivo utiliza después de comprobar que quien lo sostiene está autorizado. Incluso puede guardarse en una llave física de seguridad. El gesto resulta familiar; la arquitectura que hay detrás cambia por completo.

El phishing se queda sin botín

La contraseña tiene una debilidad difícil de corregir: puede entregarse. Una página falsa puede imitar con bastante precisión la web de un banco, una tienda o una red social. Si escribimos allí nuestras credenciales, el atacante se las lleva. También puede pedir el código temporal y utilizarlo inmediatamente. La persona ve un formulario convincente; el navegador, mientras tanto, está conectado al dominio equivocado.

Las passkeys están vinculadas al sitio o a la aplicación que las creó. El navegador y el sistema operativo comprueban ese origen antes de permitir su uso. Una copia visual de la página no basta. Si la dirección no corresponde al servicio legítimo, el dispositivo no ofrece la clave adecuada. La seguridad deja de depender de que alguien detecte una letra cambiada en una dirección web mientras intenta pagar, trabajar o recoger a sus hijos.

También desaparece la reutilización. Cada servicio recibe una clave pública diferente, de modo que una credencial no sirve para entrar en otra cuenta. Y si una empresa sufre una filtración, el atacante puede obtener las claves públicas almacenadas en sus servidores, pero esas claves no permiten iniciar sesión ni reconstruir las privadas. El habitual efecto dominó —una contraseña robada que abre el correo, las compras y media vida digital— pierde su pieza principal.

Esto no vuelve invulnerable a una cuenta. Un dispositivo infectado, una sesión ya abierta que sea secuestrada o un proceso de recuperación mal diseñado siguen siendo problemas reales. La tecnología eleva mucho el coste de varios ataques frecuentes; no convierte el teléfono en un objeto mágico. La investigación reciente sobre FIDO2 sigue encontrando vectores posibles, aunque también concluye que requieren bastante más esfuerzo y recursos que el robo de contraseñas.

La transición todavía tiene costuras

La experiencia es especialmente cómoda cuando todos nuestros dispositivos pertenecen al mismo ecosistema. Las passkeys pueden sincronizarse mediante el gestor de credenciales de Apple, Google, Microsoft o una aplicación de terceros. Al estrenar un equipo, reaparecen después de identificarnos en ese gestor. También es posible usar el teléfono para acceder en un ordenador cercano, normalmente escaneando un código QR y confirmando la operación.

Pero internet no es un catálogo ordenado. Hay servicios que llaman «passkey» a experiencias algo distintas, navegadores que presentan menús confusos y cuentas compartidas que encajan mal en un sistema pensado para identificar a una persona. Cambiar entre iPhone, Android, Windows, macOS y Linux puede obligar a decidir dónde queremos conservar nuestras credenciales. Esa elección importa más que con una contraseña anotada, precisamente porque la clave privada no está diseñada para copiarse manualmente.

La recuperación merece atención. Una passkey sincronizada suele sobrevivir a la pérdida del teléfono, pero dependemos de poder recuperar la cuenta principal del gestor de credenciales. Conviene mantener actualizados el correo y el número de recuperación, proteger bien el bloqueo de los dispositivos y disponer de más de un equipo confiable. Para cuentas especialmente sensibles, una llave física FIDO2 puede funcionar como copia de seguridad separada.

Hay otra costura menos visible. Muchos servicios permiten entrar con passkey, pero conservan la contraseña y los códigos como alternativa. Eso mejora la comodidad cotidiana, aunque el atacante todavía puede buscar la entrada más débil. La propia FIDO Alliance distingue entre ofrecer passkeys y eliminar los métodos vulnerables al phishing. Mientras exista una recuperación basada en una contraseña pobre o en un SMS fácil de desviar, la casa tendrá una puerta nueva y una ventana antigua.

Empezar por las cuentas que sostienen las demás

No hace falta migrar cien cuentas durante una tarde. El mejor comienzo está en el correo principal, la cuenta de Apple, Google o Microsoft y el gestor de contraseñas, siempre que esos servicios permitan crear una clave de acceso y conservar opciones de recuperación razonables. Son las cuentas desde las que se restablecen muchas otras; reforzarlas cambia más que añadir una passkey a un foro olvidado.

Después conviene aceptar la opción cuando aparezca en servicios habituales y revisar dónde se ha guardado. En Apple estará normalmente en Contraseñas y el Llavero de iCloud; en Android y Chrome, en el Gestor de contraseñas de Google; Windows integra el acceso con Windows Hello y sus gestores compatibles. Quien utilice varios sistemas puede preferir un gestor independiente que sincronice passkeys entre plataformas. La elección debe responder a los dispositivos reales de cada persona, no a una supuesta pureza tecnológica.

Durante esta etapa es prudente no borrar apresuradamente contraseñas ni métodos de recuperación. Primero hay que comprobar que la passkey funciona en el móvil, el ordenador y cualquier equipo imprescindible. Después se puede reducir la dependencia de los métodos antiguos cuando el servicio lo permita. Donde no existan claves de acceso, siguen siendo necesarias una contraseña larga y única generada por un gestor y la verificación en dos pasos. El NCSC mantiene precisamente esa recomendación para los servicios que aún no han dado el salto.

Las contraseñas han sobrevivido durante décadas porque se entienden con facilidad: sabemos escribirlas, copiarlas y olvidarlas. Las passkeys piden confiar una parte mayor del proceso al dispositivo, y esa pérdida de control visible provoca recelo. Sin embargo, también retiran de nuestras manos una tarea para la que el ser humano nunca ha sido especialmente bueno: reconocer una web falsa, recordar cientos de secretos y no repetir ninguno.

El cambio no llegará con una ceremonia. Ocurrirá cuenta a cuenta, cuando un botón nuevo sustituya al campo que llevamos rellenando desde los primeros años de la web. Empezar ahora permite aprender dónde se guardan esas llaves, cómo se recuperan y qué dispositivos pueden utilizarlas. La próxima vez que una página exija doce caracteres, una mayúscula, un símbolo y una memoria prodigiosa, la alternativa quizá ya esté justo al lado.

Golpe de película en un banco alemán

Tiempo de lectura:
±12 minutos

Para escuchar mientras lees:

El silencio del aparcamiento

El aparcamiento era de esos lugares que nadie mira dos veces, un espacio gris pegado a la fachada de una sucursal bancaria en Gelsenkirchen, donde los coches entran y salen sin dejar más rastro que un recibo arrugado en el salpicadero. Esa clase de sitio donde el aburrimiento se vuelve invisible, donde la rutina hace que nadie recuerde la cara de nadie. Quizá por eso resultó perfecto para empezar una historia que, si alguien la hubiera contado antes de tiempo, habría sonado a guion rechazado de una película de atracos demasiado ambiciosa.

Aquella noche, el frío alemán se pegaba a las paredes y convertía el aire en algo delgado, cortante, que invitaba a llegar, aparcar y largarse cuanto antes. Sin embargo, en uno de los laterales del parking, tres figuras se movían con una calma que no pegaba nada con la urgencia de la oscuridad. Habían memorizado el lugar durante días, tal vez semanas, estudiando la rutina con la paciencia que solo se reserva a los grandes riesgos. Sabían qué coche llegaba a primera hora, quién salía con prisas, quién fumaba antes de entrar a la sucursal. Habían convertido ese paisaje trivial en un plano minucioso.

No llevaban máscaras de calavera ni disfraces llamativos, solo ropa oscura y discreta, la clase de indumentaria que hace que el ojo se deslice sin detenerse. Ningún vecino se asomó a la ventana; ningún caminante decidió que aquella escena merecía dos segundos de atención. Eran figuras estadísticamente normales, sombras sin épica, pero con un plan demasiado concreto. Bajo esa calma exterior, latía un reloj que ellos mismos habían ajustado: sabían el día, sabían la franja horaria, sabían que justo después de Navidad Alemania se relajaba un poco, se aflojaban las defensas, las oficinas iban medio vacías.

Mientras uno vigilaba la entrada del aparcamiento con aparente desinterés, otro manipulaba una puerta de emergencia en el edificio anexo. Era una de esas puertas que nadie usa nunca hasta que pasa algo grave, y precisamente por eso casi nadie se molesta en mirarlas. Una alarma, en teoría, debía vigilarla con celo digital. En la práctica, dependía de la interpretación de personas cansadas, de protocolos que pocas veces se ponen a prueba, de la pereza con la que se responde a señales que suenan tantas veces que acaban pareciendo ruido de fondo.

Al cruzar el umbral, los ladrones dejaron atrás el olor a gasolina y neumático frío del aparcamiento y entraron en el vientre del edificio. Pasillos sin nombre, paredes pintadas en un blanco desvaído, cableado escondido tras falsos techos, carteles de emergencia con flechas verdes que nadie se detiene a leer. Era el backstage del banco, la parte que no sale en los folletos corporativos. El lado sin glamour de una institución que vende seguridad como si fuera un perfume caro. Pero ese lado, precisamente ese, estaba menos blindado, menos preparado para una mente paciente, para unas manos que no temblaban.

La ciudad dormía con la confianza tranquila de quien sabe que los bancos están ahí, sólidos, vigilados, cerrados con capas de tecnología y hormigón. En la calle, las luces de Navidad todavía parpadeaban sobre escaparates medio vacíos, y en algunas casas aún quedaban restos de envoltorios de regalos en las mesas del salón. En el aparcamiento, en cambio, alguien había decidido que la realidad estaba mal escrita, que la seguridad era más frágil de lo que parecía, y que, si se hacía bien, esa noche nadie escucharía nada.

El agujero en el corazón del banco

En algún punto del sótano, lejos de los despachos luminosos, de las sonrisas de atención al cliente y de las plantas de plástico que intentan alegrar el gris, esperaba la bóveda. Era el corazón oculto del banco, una caja dentro de otra caja, rodeada de hormigón y de promesas. Durante años, cientos de personas habían alquilado allí sus pequeñas porciones de tranquilidad: joyas heredadas, lingotes discretos, sobres de billetes cuidadosamente doblados, documentos que no querían ver mezclados con el desorden de casa. Cada caja de seguridad era una miniatura de confianza: una llave, una cerradura, un número, un contrato.

Los ladrones no iban a entrar por la puerta principal de aquella cámara. Las entradas oficiales están diseñadas para impresionar, para que parezca imposible que alguien las fuerce sin hacer saltar todas las alarmas del planeta. El plan era más humilde y, al mismo tiempo, infinitamente más ambicioso. Habían estudiado los planos, las distancias, la densidad del muro. El hormigón separaba una habitación aparentemente anodina del tesoro silencioso del banco. A un lado, archivadores, conductos, silencios administrativos. Al otro, el universo compacto de las cajas metálicas, alineadas como fichas de dominó esperando un empujón invisible.

Instalaron un taladro industrial con una precisión casi quirúrgica. No hubo dinamita, ni fogonazos de película, ni persecuciones por pasillos con linternas. Solo el ruido monótono y brutal del taladro mordiendo el hormigón, milímetro a milímetro, mientras las horas avanzaban con una lentitud que habría desesperado a cualquiera que no estuviera preparado para eso. Cada vibración del muro era un desafío directo al sistema de seguridad, a los sensores, a los detectores de algo. Sin embargo, aquella noche, el banco parecía escucharlo todo con unos auriculares imaginarios puestos al máximo, con una playlist infinita de falsa normalidad.

El agujero, cuando por fin atravesó el muro, no era un boquete espectacular digno de un póster, sino un círculo de unos cuarenta centímetros. Suficiente para que pasara un cuerpo, uno a uno, plegado con cierta incomodidad pero con la determinación de quien sabe que al otro lado aguarda un paisaje de acero y riqueza comprimida. El primer ladrón que se deslizó por aquel túnel improvisado tuvo probablemente una fracción de segundo para procesar el contraste: dejar atrás el polvo y el hormigón, y aparecer en una cámara donde el aire parecía más denso, cargado de una mezcla de metal, polvo viejo y secretos.

Frente a él, filas y filas de cajas de seguridad, ordenadas con una disciplina casi militar. No había luces dramáticas, solo la iluminación fría y práctica de un lugar pensado para ser funcional, no para ser bonito. A cada lado, puertas metálicas, mecanismos de apertura, números grabados en paneles que parecían decir: aquí dentro late la ansiedad y la esperanza de cientos de personas que quisieron poner su valor a salvo. Pero esa noche, el valor estaba desprotegido, porque el sistema que lo protegía no había previsto que el peligro no entraría por las puertas previstas.

Una vez dentro, la operación ya no tenía nada de épica, solo de método. El atraco se convirtió en una secuencia repetitiva y brutal: identificar, forzar, abrir, registrar, decidir qué valía la pena. Billetes, joyas, lingotes, relojes, monedas antiguas, sobres con cantidades que habrían cambiado muchas vidas. También papeles, cartas, anillos guardados por razones que no aparecían en ningún contrato. Todo eso estaba allí, mezclado, convertido en botín potencial. Para los ladrones, eran piezas de inventario. Para quienes lo habían dejado en esas cajas, eran fragmentos de biografía.

La cámara, poco a poco, empezó a desordenarse de una manera que jamás habría imaginado ningún cliente. Cajas abiertas de mala manera, documentos por el suelo, envoltorios arrancados, contenidos descartados sin cuidado. A medida que avanzaban, los ladrones estaban reescribiendo la relación entre el banco y sus clientes, línea por línea, golpe por golpe, sin necesidad de escribir una sola palabra. El hormigón ya había cedido. Ahora era el turno de la metáfora: la idea de seguridad empezaba a resquebrajarse también, aunque todavía nadie lo supiera.

Alarmas que no quieren molestar

En algún punto del edificio, mientras el ruido del taladro mordía el corazón del banco, un sistema de detección reaccionó. Una alarma se encendió como debe hacerlo cualquier sistema bien pensado. Un panel, una notificación, una señal roja, un aviso de que algo no estaba del todo bien. Paradójicamente, ahí empezó la parte más inquietante de la historia. No en el agujero, no en las cajas destrozadas, sino en la interpretación humana de esa señal. En la eterna duda entre tomarse algo en serio o asumir que, una vez más, sería una falsa alarma.

La llamada entró en el centro de control con la frialdad habitual de estos eventos: posible incendio, sucursal bancaria, protocolo estándar. Los bomberos acudieron, el personal de seguridad privada se presentó, se revisaron accesos y pasillos. No olía a humo, no se veía fuego, no había cristales rotos, no se escuchaban gritos. La bóveda seguía cerrada, intacta desde fuera, imperturbable. Ante la ausencia de drama visible, la conclusión se impuso con la lógica cómoda de quien tiene demasiadas incidencias en el día: habrá sido un fallo técnico, un sensor sensible, un pequeño error sin importancia.

En un mundo acostumbrado a los pitidos constantes, a las notificaciones que interrumpen hasta el sueño, la alarma se convierte en un sonido más, algo que se aprende a ignorar para poder seguir funcionando. Una alarma no es solo un sistema, es una relación psicológica con el riesgo. Si suena demasiadas veces sin consecuencias graves, la próxima vez será recibida con un bostezo. Eso fue exactamente lo que ocurrió allí. Lo que debía ser una alerta se percibió como ruido. Y nadie quiso interrumpir más de lo necesario la calma tensa de esos días entre fiestas.

La ironía es que, mientras el equipo de emergencia revisaba la sucursal desde fuera y se retiraba con cierta sensación de trámite cumplido, los ladrones ya estaban forzando las primeras cajas al otro lado del muro. Alguien, en una pantalla, habría podido ver dos historias paralelas: arriba, el banco aparentemente tranquilo, con gente comprobando que todo está en orden; abajo, la cámara convirtiéndose en un campo de batalla silencioso. Pero las realidades no se cruzaron. Cada una siguió su guion sin saber que estaban a pocos centímetros de colisionar.

Pasaron las horas, unas detrás de otras, como si el tiempo se hubiera decidido a proteger a los atracadores con una manta de indiferencia. No hubo una segunda comprobación inmediata, nadie insistió en abrir la cámara solo por si acaso, nadie decidió pasarse de precavido. El sistema, tanto el tecnológico como el humano, eligió la interpretación más cómoda: si no se ve nada raro, nada raro está pasando. Y así, la bóveda siguió siendo un mundo aparte, un escenario donde el crimen avanzaba sin testigos, sin resistencia, sin más oposición que el grosor de las cerraduras metálicas de las cajas.

La seguridad, al final, no falló solo por un agujero en la pared. Falló porque se apoyaba en la idea de que lo improbable no merece tanta atención. Porque confiar en un sistema lleva muchas veces a desconfiar de la propia intuición de riesgo. Y porque es más fácil firmar un informe de falsa alarma que admitir que, tal vez, lo imposible está ocurriendo justo cuando preferimos pensar en otra cosa. Cuando la humanidad decide que no quiere que algo sea verdad, la tecnología rara vez insiste demasiado.

La cámara después del desastre

Cuando por fin alguien decidió que había que mirar más a fondo, que aquella alarma merecía una segunda lectura, el reloj era otro. En la nueva visita, el protocolo se volvió un poco menos complaciente. El personal accedió al interior, avanzó hacia las profundidades del banco, siguió el hilo de la sospecha hasta llegar a la puerta de la cámara acorazada. Esta vez, la rutina se resquebrajó. Abrir la bóveda dejó de ser una formalidad para recuperar documentos o para acompañar a un cliente importante, y se convirtió en una especie de acto teatral involuntario.

Lo que se encontraron dentro tenía poco que ver con la imagen pulida que suele vender la industria financiera. La cámara, que antes se habría descrito como un espacio ordenado, controlado, casi solemne, parecía ahora un cuarto trasero después de una tormenta. Cajas abiertas de cualquier manera, algunas arrancadas de sus compartimentos, restos de documentación pisoteada, embalajes rasgados, bolsas de tela vacías. El suelo era un collage caótico de vidas dispersas: carpetas, sobres, cintas, pequeños estuches vacíos que alguna vez habían albergado algo que importaba mucho a alguien.

El silencio allí dentro ya no era una garantía de seguridad, sino una acusación muda. Cada caja destrozada era una pregunta sin respuesta inmediata: ¿qué había aquí dentro?, ¿cuánto valía?, ¿qué significaba para su dueño?, ¿se podrá recuperar algo de todo esto? No solo en términos de dinero, sino de historias personales. Porque, junto al efectivo, se guardan testamentos, fotografías, joyas de familia, contratos, objetos que no tienen sentido en una cuenta bancaria, pero que se sienten más seguros tras una puerta pesada. Ahora todo eso estaba expuesto, banalizado por el caos, convertido en piezas de un inventario triste.

Los empleados que entraron en la cámara tuvieron que caminar con cuidado, no solo por la escena, sino por el peso simbólico de cada paso. En un banco, la confianza no se imprime en folletos, se almacena en lugares como ese. Y aquella habitación parecía la metáfora perfecta de una promesa rota. Hacia afuera, la entidad seguiría siendo una fachada sólida, una marca conocida, una sucursal más en un mapa de oficinas. Hacia adentro, sin embargo, en ese rectángulo de hormigón perforado, la realidad se había vuelto incómoda, desagradablemente humana.

Pronto llegaron las fotos, los informes, las ruedas de prensa. La escena se llenó de trajes oscuros, chalecos fluorescentes, cámaras, micrófonos. Fuera, en la calle, los vecinos miraban de reojo, algunos con curiosidad, otros contando mentalmente cuántas veces habían pasado por delante sin saber lo que se estaba gestando bajo sus pies. La historia empezó a escapar del lugar del crimen y a convertirse en un relato público, en un caso mediático, en un ejemplo de eso que gusta tanto titular como “robo del siglo”. Pero para la gente que tenía una caja allí, el titular era lo de menos. Lo que les quitaba el sueño era una pregunta más incómoda: si aquí no, ¿dónde está a salvo lo que más me importa?

Vidas dentro de una caja metálica

A muchos de los clientes les avisaron con la cortesía tensa que se utiliza cuando se dice algo que parece una mezcla de disculpa y confesión. Les llamaron, les mandaron cartas, les citaron para una visita al banco que no se parecía en nada a las que habían hecho hasta entonces. No era el día de abrir la caja para sacar un collar para una boda, ni para revisar unos documentos, ni para contar billetes antes de un viaje. Era el día en que iban a descubrir si su confianza seguía intacta o se había convertido en polvo sobre un suelo de cámara acorazada.

Llegaron con el gesto contenido de quien no sabe si prepara la cara para la rabia o para el alivio. Pasaron por el vestíbulo de siempre, por la fila de cajeros automáticos, por los carteles de ofertas de hipotecas y cuentas “sin comisiones”, por los mismos mostradores de madera pulida. El banco había encajado el golpe con la elasticidad profesional de las instituciones que saben comunicarse en público. Había comunicados oficiales, frases muy medidas sobre la colaboración con la policía, sobre la prioridad de los clientes, sobre la investigación en curso. Palabras que intentaban poner orden en algo que, en ese momento, era puro desorden emocional.

En la cámara, sin embargo, el lenguaje era otro. Algunos encontraban su caja aún cerrada, intocable, como si nada hubiera ocurrido. Otros se enfrentaban a un rectángulo vacío, a un hueco abierto, a un casillero en el que solo quedaban restos de papeles arrugados. En ocasiones, lo más doloroso no era la pérdida económica, sino la sensación de que alguien, en algún punto del fin de semana, había tenido en sus manos objetos que solo ellos deberían haber tocado. Una carta, un anillo, unas fotos. La intimidad convertida en botín circunstancial, mirada con frialdad por alguien que solo evaluaba su valor de mercado.

Las conversaciones con el banco comenzaron a girar en torno a cifras, pólizas, límites de responsabilidad, valor declarado, pruebas de propiedad. Pero por debajo de esas palabras se colaba otra cuestión más visceral: ¿de qué sirve un banco si no puede garantizar lo que promete? Eso no se mide en euros, ni en lingotes, ni en recibos. Se mide en la incomodidad que a partir de ese día acompañaría a cada visita a la sucursal, en la sensación de que el hormigón no es tan sólido como parece, de que las alarmas no gritan tanto como deberían, de que los protocolos dependen demasiado de un “no parece nada grave”.

Dentro de cada caja de seguridad hay una historia comprimida. Quizá un padre que decidió guardar allí los ahorros de toda una vida de trabajo. Una abuela que escondió las joyas que había heredado de su madre. Una pareja que guardó el contrato de su primera casa. Un coleccionista que nunca contó a nadie cuántas monedas raras había acumulado. Esa narración íntima se escribe sin tinta, a base de decisiones silenciosas. El día del robo, todas esas historias se alinearon en la misma franja de tiempo y lugar, como si alguien hubiera sacudido un archivador lleno de vidas privadas. Y el ruido de ese golpe no lo recogió ninguna alarma.

La ilusión de seguridad en tiempos de hormigón perforado

Después de la conmoción inicial, de los titulares y las declaraciones oficiales, quedó una resaca más difícil de gestionar: la reflexión incómoda sobre qué significa realmente seguridad en un mundo que confía tanto en sus sistemas, sus cámaras, sus sensores y sus muros. Desde fuera, un banco es casi un símbolo arquitectónico de esa promesa: paredes gruesas, puertas reforzadas, cámaras vigilando cada ángulo, horarios estrictos. Desde dentro, sin embargo, el caso del atraco dejó al descubierto una paradoja molesta. No basta con tener tecnología y hormigón; hay que tener también atención, sospecha, imaginación para lo improbable.

Porque la historia del agujero en la bóveda no habla solo de unos ladrones muy decididos, sino de una cadena de decisiones normales, razonables, que juntas acabaron abriendo una autopista para el crimen. Un sistema de alarmas que funciona, pero al que no se le hace caso del todo. Un protocolo que se aplica, pero sin curiosidad extra. Una confianza ciega en que lo grave siempre vendrá acompañado de humo, fuego, gritos o cristales rotos. El auténtico robo, en cierto modo, fue ese: el de la capacidad de imaginar que el peligro puede ser silencioso, lento, metódico y completamente frío.

Mientras tanto, la ciudad siguió con su vida. Los comercios volvieron a abrir, los coches atravesaron una y otra vez el aparcamiento que fue el punto de partida del golpe, los clientes de la sucursal acudieron a hacer transferencias, a preguntar por hipotecas, a actualizar sus tarjetas. Las noticias se fueron diluyendo, sustituidas por otros titulares más urgentes, más nuevos, más espectaculares. Pero en el subsuelo de la memoria colectiva quedó ese agujero en el muro como una especie de recordatorio involuntario de que la seguridad absoluta no existe, por más que la envolvamos en campañas publicitarias tranquilizadoras.

Quizá la imagen más honesta de todo lo ocurrido no sea la del agujero en sí mismo, ni la del aparcamiento anónimo, ni la del interior de la cámara desordenada. Tal vez sea la de alguien, semanas después, volviendo a abrir su caja en otro banco, en otra ciudad, con las manos ligeramente más tensas, con la cabeza llena de preguntas que antes no estaban ahí. ¿Es esto realmente seguro? ¿Lo sería más en casa, escondido detrás de unos libros, bajo una tabla del suelo, dentro de una caja fuerte doméstica? ¿O simplemente estamos eligiendo el tipo de incertidumbre con el que nos sentimos más cómodos?

Cae la noche digital: nadie está a salvo

Tiempo de lectura:
±10 minutos

Para escuchar mientras lees:

El peligro acecha tras cada clic

La vida está plagada de riesgos, pero ninguno tan omnipresente —ni tan invisible— como los fallos de seguridad en internet. Cuando pulsas “aceptar” en cualquier app o compras con un clic, te formas parte de una ruleta en la que los datos nunca están del todo seguros. No solo los bancos: tu hospital, tu tienda favorita, hasta tu ayuntamiento o la app donde has chateado hoy. El miedo a la oscuridad digital se justifica cada día: lo que no ves puede destruirte, robar tu dinero, tu identidad, hasta tus relaciones. ¿Exagerado? Ojalá. Cada año, y sin que puedas hacer mucho para evitarlo, tus datos pueden estar volando en algún pendrive perdido, subiendo en la nube menos segura, cambiando de manos entre criminales. No eres paranoico: deberías estar aterrado.

Era miércoles y WhatsApp, el supuesto fortín de nuestra privacidad, dio un traspiés que bastó para poner en la calle 3.500 millones de números de teléfono. Imagínate: tu móvil expuesto, mezclado con los de famosos, desconocidos, políticos y empresas. Una mina de oro para estafadores y extorsionadores, una pesadilla para cualquiera que crea que la privacidad existe en internet. Fue un “simple fallo” y la noticia se perdió entre memes. ¿Aprendimos algo? Por supuesto que no.

Avancemos. En 2025, una simple vulnerabilidad permitió que 16.000 millones de combinaciones de usuarios y contraseñas quedaran disponibles en la web oscura. Sí, has leído bien: dieciséis mil millones. Nombres, claves, tokens, cookies, listas para ser usadas por programas automáticos que pueden vaciarte la cuenta, apoderarse de tu Instagram o hacerse pasar por ti en segundos. No son datos de hace años: son frescos, recién recopilados por malware que se cuela con una sola descarga o un correo abierto por error. Esto ya no va de hackers genios: va de inyecciones automáticas que cualquiera puede adquirir por poco dinero.

¿Clientes de un banco? En 2025, ING descubrió que más de 21.000 personas vieron su información viajar por la red tras un ataque al proveedor de servicios de facturación, externo al banco y fuera de controles habituales. Esto demuestra que da igual cuánto inviertan las empresas: un descuido en cualquier eslabón hace que sus mayores esfuerzos sean humo. La ola de fraudes posteriores no se hizo esperar. Si depositas tu confianza en “la seguridad del sistema”, solo necesitas un ejemplo así para replantearte todo.

La lista es interminable: filtraciones en hospitales que expusieron los datos de millones de pacientes; robo de información de pasajeros en aerolíneas; ventas de bases de datos con nombres, DNIs y hasta historiales médicos. El peor terror es que muchas veces ni te avisan, ni lo sabrás hasta que un extraño use tu nombre. O peor: el número de tu hijo o tus fotos familiares.

La tecnología avanza y los errores también. La inteligencia artificial guarda y, a veces, suelta datos que nunca deberían haber salido a la luz. Tu propia conversación con un chatbot puede servir para entrenar a sistemas lejanos, y si no se audita cuidadosamente, tus confidencias pueden filtrarse cuando menos lo esperas. El internet inmutable no perdona: lo que ha salido, ya no vuelve.

Nadie te va a proteger por ti

No hay un héroe digital que venga a rescatarnos. Las redes sociales, los bancos y las administraciones públicas son objetivos constantes. Los ataques no distinguen entre una gran empresa o el modesto ayuntamiento de tu ciudad. Si hay datos, hay botines posibles. Cuando cierras una sesión, no desapareces de la Red: tu rastro puede permanecer años, esperando a que alguien lo recoja.

Algunos dicen que exageramos, pero los ejemplos te quitan el sueño: 26.000 millones de cuentas expuestas, hospitales y universidades bloqueados por ransomware, empresas forzadas a pagar rescates para recuperar datos, empleados que venden tu información al mejor postor. La preocupación no es “qué” pueden saber de ti, sino “cuándo” y “cómo” lo usarán en tu contra.

La paranoia está justificada. Hay servicios específicos para comprar información robada. Tu teléfono es objetivo. ¿Has recibido una llamada extraña? Puede que quien te hable sepa perfectamente con quién hablas, cuánto gastas y cuál es tu viaje soñado. Todo porque un proveedor perdió precauciones o porque caíste en un enlace falso. La ingeniería social, los ataques de phishing, el secuestro de tus cuentas son el pan de cada día. Nadie está seguro. Nadie.

Lo más atroz: muchos ataques ni siquiera requieren que hagas nada mal. Un tercero, una caja de servidores en otra ciudad o un becario que deja una laptop sin cifrar en un taxi pueden condenar tu privacidad de por vida. Ni las leyes de protección de datos pueden devolverte la tranquilidad.

¿Cómo no perder la fe (ni los datos)?

No es posible alcanzar protección total, pero sí poner muchas obstáculos. Empieza asumiendo la verdad incómoda: tus datos pueden estar, ahora mismo, a la venta en la dark web. Lo plano: nunca uses la misma contraseña en varias webs. Si tu clave de hace tres años aparece en la red, la usas hoy para el banco y la repites para Netflix, un sistema automático puede tomar el control de tu vida digital en minutos. No pongas contraseñas obvias ni personales.

Los gestores de contraseñas son uno de tus pocos amigos fieles: genera claves largas, distintas para cada sitio y recuerda cambiarlas cada cierto tiempo. Activa la autenticación en dos pasos siempre que puedas, aunque dé pereza. Es tu última trinchera si alguien se apodera de tu contraseña. Hay apps y servicios que te alertan si tu correo o usuario aparece en una filtración: úsalos. Borra cuentas antiguas y elimina apps que no uses jamás.

Nunca descargues archivos de remitentes desconocidos, ni sigas enlaces de mensajes sospechosos, ni creas regalos o herencias mágicas que llegan por WhatsApp. Actualiza tus dispositivos: muchas vulnerabilidades se corrigen, pero si no instalas los parches, sigues con la ventana abierta. Usa antivirus y mantente atento a cualquier acceso extraño.

Lee la letra pequeña. Y sobretodo, desconfía: el que se relaja, pierde.

Recuerda siempre: tu privacidad no es solo tuya, también protege a la gente que quieres. Cada dato recopilado suma, y los criminales no descansan. Así que no lo hagas tú tampoco.


Camiseta recomendada


Referencias

  • Martínez, J. (2025). «Ciberterror: manual de supervivencia moderna». Editorial Hex. Un repaso feroz y realista a los mayores incidentes de ciberseguridad de la era digital, con testimonios de víctimas de brechas de datos reales.
  • Greenberg, A. (2024). «This Is How They Tell Me the World Ends». Bloomsbury. La mejor investigación periodística sobre ciberguerra, ataques masivos y el inevitable desenlace de una sociedad digital sin protección.
  • Timerman, S. (2022). «Guía práctica para sobrevivir a la próxima filtración». Digital Books. Consejos útiles escritos desde la experiencia personal de un hacker ético y orientados a usuarios de cualquier edad.
  • Smith, A. (2024). «El fin de la privacidad». Turner. Análisis divulgativo de los errores más comunes en la gestión de datos personales y cómo prevenirlos a escala doméstica.
  • Hernández, L. (2023). «Los nuevos espías: cómo los datos nos delatan». Editorial Tecnos. Crónica de los métodos de ingeniería social y manipulación a partir de datos filtrados, con ejemplos desde redes sociales hasta bancos.