Auditar tus cuentas en 15 minutos: lista de verificación anual

¿Por qué hacer una auditoría anual de tus cuentas?

La seguridad de tus cuentas se degrada sola con el tiempo. Se filtran servicios que usabas hace años, cambias de número de teléfono y olvidas actualizarlo, autorizas apps que ya no usas, dejas sesiones abiertas en el ordenador de un hotel. Nada de eso es grave por separado, pero se acumula.

Esta lista está pensada para hacerse en un solo bloque de 15 minutos, una vez al año. Elige una fecha fácil de recordar —el día de tu cumpleaños, el primer domingo de enero— y apúntala en el calendario. Si algún paso te lleva más tiempo, anótalo y sigue: el objetivo es recorrer todo, no perfeccionar cada punto.

Minuto 0-2: ¿aparece tu correo en alguna filtración?

Entra en Have I Been Pwned (haveibeenpwned.com) y escribe tu dirección de correo principal, y después las secundarias. El servicio te dirá en qué filtraciones conocidas aparece y qué tipo de datos se expusieron: contraseñas, teléfonos, direcciones, etc.

Lo importante no es la lista en sí, sino qué hacer con ella: si una filtración incluye contraseñas y todavía usas esa misma clave en algún sitio, cámbiala allí. Si quieres el procedimiento completo, tienes nuestra guía sobre cómo saber si tu contraseña fue filtrada.

Minuto 2-4: revisa el informe de salud de tu gestor

Casi todos los gestores de contraseñas incluyen un informe que señala contraseñas reutilizadas, débiles o aparecidas en filtraciones. Según el que uses, lo encontrarás con nombres como «Informes» o «Salud de la caja fuerte», «Watchtower», «Recomendaciones de seguridad» (en el gestor de Apple) o «Revisión de contraseñas» (en el de Google).

En dos minutos no vas a cambiar decenas de contraseñas, y no hace falta. Prioriza:

1. Reutilizadas en cuentas importantes (correo, banca, compras con tarjeta guardada).
2. Filtradas, aunque la cuenta parezca poco relevante.
3. Débiles en cuentas que usas a menudo.

Cambia las tres o cuatro más urgentes ahora con el generador de contraseñas y apunta el resto para los días siguientes. Si todavía no usas gestor, este es el mejor momento para empezar: consulta nuestra comparativa de gestores de contraseñas.

Minuto 4-6: ¿tienes 2FA en las cuentas críticas?

Comprueba que la verificación en dos pasos está activa como mínimo en tres sitios:

• Tu correo principal, porque por él pasan los enlaces para restablecer todas las demás contraseñas.
• Tu banco y cualquier servicio de pagos. En la banca española la confirmación suele hacerse con la app del propio banco; asegúrate de que está vinculada a tu móvil actual.
• Tu gestor de contraseñas.

Si el único método activo es el SMS, valora añadir una app de autenticación o una llave física. El SMS es mejor que nada, pero es vulnerable al duplicado fraudulento de SIM; lo explicamos en el artículo sobre SIM swapping en España.

Minuto 6-8: correo y teléfono de recuperación

Es el paso que más gente se salta y el que más disgustos da. Si cambiaste de número o dejaste de usar un correo antiguo, quien lo herede podría usarlo para recuperar tus cuentas, y tú no podrías.

En tu correo principal, en tu cuenta de Apple, Google o Microsoft y en el banco, revisa:

• Que el teléfono de recuperación sea el actual.
• Que el correo de recuperación exista, sea tuyo y también tenga 2FA.
• Que no haya preguntas de seguridad con respuestas fáciles de averiguar. Si el servicio las obliga, responde con texto aleatorio guardado en el gestor.

Minuto 8-10: sesiones abiertas y apps conectadas

Cada gran plataforma tiene una página con los dispositivos donde has iniciado sesión y otra con las aplicaciones a las que diste acceso. Los nombres cambian de vez en cuando, pero las rutas suelen ser parecidas a estas:

• Google: en tu Cuenta de Google, sección «Seguridad», apartados de «Tus dispositivos» y de conexiones con aplicaciones y servicios de terceros.
• Apple: en los ajustes del iPhone, pulsando tu nombre, verás la lista de dispositivos vinculados al final; en «Iniciar sesión con Apple» aparecen las apps que usan tu cuenta.
• Microsoft: en account.microsoft.com, la sección de dispositivos y, dentro de privacidad o seguridad, las aplicaciones con acceso a tu cuenta.
• Meta (Facebook e Instagram): en el Centro de cuentas, «Contraseña y seguridad», apartado «Dónde has iniciado sesión».

Cierra cualquier sesión en un dispositivo que no reconozcas o que ya no tengas, y revoca el acceso a apps que no usas. Si ves algo realmente sospechoso —un inicio de sesión desde un país en el que no has estado—, cambia la contraseña de esa cuenta en ese mismo momento.

Minuto 10-12: elimina cuentas que ya no usas

Cada cuenta abandonada es un punto de entrada más y un conjunto de datos personales que puede filtrarse. Usa el listado de tu gestor o busca en tu correo palabras como «bienvenido» o «confirma tu cuenta» para recordar dónde te registraste.

En dos minutos no vas a cerrar todas, pero sí las dos o tres más obvias: tiendas en las que compraste una vez, foros que no visitas, apps de prueba. Si un servicio no ofrece forma de borrar la cuenta, en la UE puedes solicitar la supresión de tus datos al amparo del RGPD; mientras tanto, cambia su contraseña por una aleatoria y quita cualquier tarjeta guardada.

Minuto 12-13: códigos de respaldo

Cuando activaste la 2FA, los servicios te dieron códigos de respaldo de un solo uso. Comprueba que siguen donde los guardaste y que no los has gastado. Si dudas, la mayoría de servicios permite generar una lista nueva, que invalida la anterior. Guárdala en el gestor o impresa en un lugar seguro, separada de tus dispositivos.

Minuto 13-15: router y red wifi

El último bloque es para tu casa. Entra en la página de administración del router (la dirección suele venir en una pegatina del propio aparato) y comprueba:

• Que la contraseña de administración no sea la de fábrica.
• Que la red wifi use WPA2 o, mejor, WPA3, con una contraseña larga. Una frase de contraseña funciona muy bien aquí; puedes crearla con el generador de frases.
• Que WPS esté desactivado si no lo usas.
• Que el firmware esté al día. En muchos routers de operador se actualiza solo, pero conviene confirmarlo.

¿Y si encuentras algo raro?

Si durante la revisión detectas accesos que no reconoces, cambia primero la contraseña del correo principal, cierra todas las sesiones y revisa los datos de recuperación. En España puedes pedir orientación gratuita y confidencial a la línea de ayuda en ciberseguridad de INCIBE, en el teléfono 017. Si ha habido un fraude económico, contacta con tu banco cuanto antes y denuncia ante la Policía Nacional o la Guardia Civil.

Y si quieres ir más allá de estos 15 minutos, revisa los errores comunes con contraseñas: muchos aparecen justo en una auditoría como esta.