2Cambia la contraseña, expulsa los dispositivos conectados y pasa el doble factor a app o clave física
El pago de la multa falsa es solo la puerta de entrada. La web que suplanta a la DGT pide número de tarjeta, fecha de caducidad y CVV, simula una validación por SMS con un código que nunca llega, reclama después el PIN y, para ganar tiempo, redirige al portal real del organismo: cuando la víctima reacciona, sus datos ya están en circulación. De ahí que la contraseña de la banca online y, sobre todo, la del correo electrónico —la llave maestra para restablecer casi cualquier otro acceso— tenga que cambiarse desde otro dispositivo y con una clave nueva, no con una variante de la anterior. Y de ahí el paso que casi todos omiten: expulsar las sesiones abiertas. Los menús de seguridad del banco y del correo incluyen una opción de cerrar sesión en todos los dispositivos que invalida los tokens ya emitidos; sin ese clic, quien entró hace diez minutos sigue dentro aunque tú tengas otra contraseña.
El segundo movimiento es el que convierte el susto en un cierre real: trasladar el doble factor del SMS a una aplicación de autenticación o, mejor, a una llave física o passkey. El código por mensaje de texto es el eslabón débil, como demuestra el SIM swapping: en 2024 la Guardia Civil desarticuló una red que había estafado 3.381.000 euros en 102 ciberdelitos duplicando tarjetas SIM, y otra operación, con un centenar de suplantados, interceptó códigos para transferir 429.000 euros. La Agencia Española de Protección de Datos ha sancionado a operadoras por expedir duplicados a impostores. Las aplicaciones de códigos temporales esquivan ese robo, pero siguen expuestas a una web falsa que retransmita el código en tiempo real; los estándares FIDO2 y WebAuthn, en cambio, autentican el dominio, así que la llave no responde ante un clon. Al cambiar de método, como recuerda INCIBE, registra y prueba el nuevo antes de borrar el antiguo, guarda los códigos de respaldo y, si optas por hardware, enrola una segunda llave.
