AI Phishing en 2026: Cómo detectar ataques que suenan como personas reales

1. Las viejas reglas han desaparecido

Antes había una forma fiable de detectar un correo de phishing. Mala gramática. Un príncipe nigeriano pidiendo su cuenta bancaria. “Estimado cliente”. Solicitudes urgentes desde dominios mal escritos. Podía repasarlo en medio segundo y eliminarlo.

Esa versión del phishing murió.

En 2026, el correo que le pide aprobar una transferencia fue escrito por IA — usando el estilo real de redacción de su CFO, extraído de años de publicaciones en LinkedIn, boletines internos y capturas de Slack. El mensaje de voz de su “banco” fue clonado a partir de tres segundos de audio sacados de un podcast. La videollamada con su “CEO” y dos “ejecutivos” fue un deepfake en vivo ejecutado en hardware común. Y la página de phishing en la que aterrizó era un proxy en tiempo real que capturó su contraseña, su código MFA y su cookie de sesión — todo a la vez — antes de que terminara de escribir.

La antigua lista de verificación no necesita una actualización. Necesita ser reemplazada por completo.

Esta guía explica cómo funciona el phishing con IA ahora, cómo se ven las señales de advertencia reales en 2026 y —lo más importante— qué puede hacer al respecto.

2. En cifras: qué tan grave es

La aceleración es asombrosa. En diciembre de 2025, la red de detección de amenazas de Hoxhunt registró un 14× aumento en correos de phishing generados por IA en comparación con el mes anterior — un pico festivo que llevó el phishing asistido por IA de menos del 5% a más del 56% de todos los phishing que llegaron a las bandejas de entrada. Esa proporción se estabilizó en aproximadamente el 40% a principios de 2026, pero la tendencia es clara. Mientras tanto, los ataques adversary-in-the-middle (AiTM) que evaden la autenticación multifactor aumentaron 146% en 2024, y las estafas con vídeo deepfake aumentaron 700% en 2025.

Más del 90% de los ciberataques todavía comienzan con phishing. El empleado medio hace clic en un enlace de phishing en 21 segundos. Y el phishing sigue siendo el vector de ataque inicial más costoso, costando a las organizaciones un promedio de $4.88 million por brecha.

3. Cómo funciona realmente el phishing con IA

Entender el ataque es el primer paso para defenderse. Ahora existen six categorías distintas de phishing potenciado por IA, cada una dirigida a una vulnerabilidad diferente.

3.1 Correos spear phishing generados por IA

El phishing antiguo era un juego de números — enviar millones de correos genéricos y esperar que alguien haga clic. El phishing con IA es quirúrgico.

Los atacantes alimentan un LLM — a veces un modelo legítimo, a veces herramientas criminales diseñadas como WormGPT o FraudGPT — con los datos públicos de su objetivo: perfil de LinkedIn, historial en redes sociales, comunicados de la empresa, ofertas de empleo, commits en GitHub. El modelo genera un correo personalizado que referencia un proyecto real, coincide con el tono del supuesto remitente, usa la terminología interna correcta y no contiene errores gramaticales ni frases torpes.

Investigaciones de IBM encontraron que la IA puede producir un correo spear phishing convincente en cinco minutos. Un atacante humano cualificado tarda dieciséis horas. Eso es una ganancia de eficiencia de 200× — lo que significa que ataques que antes eran rentables sólo contra objetivos de alto valor ahora son rentables contra cualquiera.

Lo que hace diferente a 2026: más de 92% de los ataques polymórficos ahora usan IA para generar cientos de variantes de mensajes contextualmente únicos para una sola campaña. Cada correo es ligeramente distinto en redacción, estructura y formato — por lo que los filtros tradicionales de coincidencia de patrones no pueden agruparlos en campañas para su detección. Los investigadores predicen que este enfoque hará que la detección basada en campañas sea casi imposible para 2027.

Ejemplo del mundo real: Una campaña dirigida a 800 firmas contables usó IA para referenciar los detalles de registro estatales y presentaciones recientes de cada firma. Tasa de clics: 27% — aproximadamente cuatro veces la media de la industria para phishing.

3.2 Llamadas con voz deepfake (Vishing)

La clonación de voz ha cruzado lo que los investigadores llaman el “umbral de indistinguibilidad”. A finales de 2025, los oyentes humanos ya no pueden distinguir de forma fiable voces clonadas de alta calidad de las auténticas. La tecnología requiere tan solo 3 segundos de audio para generar un clon convincente — completo con entonación, ritmo, pausas, respiración e inflexión emocional naturales.

Cómo consiguen ese audio los atacantes: una sola llamada spam donde le piden que diga “sí” o “hola”. Una aparición en un podcast. Una llamada de resultados corporativos. Un saludo en el buzón de voz. Un vídeo de YouTube.

A partir de eso, producen una llamada que suena exactamente como su banco, su jefe o su hijo. Algunos grandes minoristas ahora informan recibir más de 1,000 llamadas de estafa generadas por IA por día.

Patrones de ataque:

• “Estafa al abuelo”: Una llamada paniqueada de una voz que suena exactamente como su nieto, alegando estar en problemas y necesitando dinero inmediatamente. Las voces sintéticas ahora transmiten llanto, miedo y urgencia con una precisión inquietante. Estas estafas dirigidas a familiares aumentaron un 45% en 2025.
• “Fraude del CEO”: La voz clonada de su CFO llama al equipo de finanzas pidiendo una transferencia urgente antes del fin del día. Confidencial. No lo comunique a nadie más. El fraude del CEO ahora apunta a un estimado de 400 empresas por día.
• “Llamada de seguridad bancaria”: Una voz autoritaria del “departamento de fraude de su banco” le dice que su cuenta ha sido comprometida y le guía para mover sus fondos a una “cuenta segura.”

En más del 80 % de los ataques de voz (vishing), los atacantes usan ID de llamadas falsificadas para que la llamada parezca provenir de un número legítimo. El vishing ahora representa más del 60 % de las intervenciones de respuesta a incidentes relacionadas con phishing.

3.3 Videollamadas deepfake

Aquí es donde se vuelve más alarmante — y más caro.

El caso Arup (2024): Un empleado de la firma de ingeniería del Reino Unido Arup se unió a lo que parecía ser una videoconferencia rutinaria con el CFO de la empresa y varios altos ejecutivos. Todos se veían correctos. Todos sonaban correctos. Autorizó 15 transacciones por un total de $25.6 million a cuentas bancarias en Hong Kong. Todas las personas en esa llamada eran deepfakes.

Singapur, marzo de 2025: Un director financiero de una multinacional se unió a una llamada de Zoom con el “CFO” y otros directivos. El CFO incluso había sugerido proactivamente la videollamada — sabiendo que el personal de finanzas había sido advertido sobre deepfakes, los atacantes aprovecharon el mismo paso de verificación destinado a detenerlos. El director autorizó una transferencia de $499,000. Todos los ejecutivos en pantalla eran generados por IA.

Conglomerado energético europeo, principios de 2025: Los atacantes usaron un clon de audio deepfake del CFO para emitir instrucciones en vivo durante una llamada para una transferencia urgente. La voz replicó pausas, tono y cadencia a la perfección. Los fondos — $25 million — se esfumaron en horas.

Estos ataques funcionan porque las videollamadas crean una poderosa sensación de verificación. Ver a alguien se supone que es más confiable que leer su correo. Los atacantes lo han aprendido y ahora apuntan al paso de verificación en sí. Los nuevos modelos deepfake mantienen la consistencia temporal — sin parpadeos, deformaciones ni artefactos del valle inquietante que antes permitían la detección.

3.4 Ataques coordinados multicanal

Las campañas más sofisticadas no dependen de un único vector. Un ataque coordinado podría verse así:

1. Email llega del “CFO” referenciando un proveedor real y un proyecto real, solicitando aprobación de una factura
2. Un mensaje de voz sigue del mismo “CFO” — voz clonada — reforzando la urgencia
3. Se ofrece una videollamada para verificación, con ejecutivos deepfaked
4. Pressure se aplica para eludir los canales normales de aprobación porque el trato es “urgente” y “confidencial”

Cada paso refuerza al anterior. La combinación de canales crea una sensación de realidad que ningún canal por sí solo podría lograr. Se proyecta que el fraude con IA multicanal (combinando voz, vídeo y texto) dominará más del 60% de los ataques para 2027.

3.5 Sitios de phishing impulsados por IA y AiTM

Más allá del correo y las llamadas, se usa IA para generar cientos de sitios fraudulentos — sitios clon que replican exactamente la marca, el diseño y la UX de servicios reales. Estos sitios ahora incluyen páginas de inicio de sesión pixel-perfect para Microsoft 365, Google Workspace y portales bancarios; paneles funcionales que confirman acciones “exitosas”; y comportamiento polimórfico que adapta el contenido del sitio según el navegador del visitante, ubicación y fuente de referencia.

Pero la evolución más peligrosa es el adversary-in-the-middle (AiTM) attack. En lugar de mostrarle una página falsa estática, el sitio de phishing actúa como proxy de la página de inicio real — retransmitiendo sus credenciales y código MFA al servicio legítimo en tiempo real, mientras captura su cookie de sesión. Esa cookie permite al atacante heredar su sesión totalmente autenticada, haciendo inútiles los códigos SMS, las apps autenticadoras y las notificaciones push.

3.6 Phishing-as-a-Service: la escala industrial

Esto es lo que cambió el juego en 2025–2026. El phishing ya no es una operación en solitario — es un negocio por suscripción.

El ejemplo más notorio: Tycoon 2FA, una plataforma de phishing-as-a-service que se especializaba en la omisión de MFA. Por aproximadamente $120, los suscriptores obtenían acceso a una caja de herramientas llave en mano: páginas de inicio de sesión falsificadas, una capa de proxy inverso, paneles de gestión de campañas y recolección de credenciales en tiempo real — todo distribuido vía canales de Telegram.

En su apogeo, Tycoon 2FA tenía aproximadamente 2,000 suscriptores criminales, usó más de 24,000 dominios y generó decenas de millones de correos de phishing por mes. Para mediados de 2025, representó aproximadamente 62% de todo el phishing que Microsoft bloqueó. Apuntó a cuentas de Microsoft 365 y Google Workspace en casi todos los sectores — educación, sanidad, finanzas, gobierno.

El 4 de marzo de 2026, una operación internacional coordinada dirigida por Europol, Microsoft y una coalición de socios del sector privado incautó 330 dominios y desmanteló la infraestructura central de Tycoon 2FA. Pero la actividad de la plataforma volvió a niveles previos a la interrupción en cuestión de días, y sus técnicas subyacentes sobrevivirán al servicio. La lección es estructural: cuando la omisión de MFA sofisticada se puede alquilar por el precio de una cena, la barrera de entrada para el phishing avanzado se ha derrumbado efectivamente.

4. Las nuevas señales de advertencia

Las antiguas señales de alarma — mala gramática, saludos genéricos, archivos adjuntos sospechosos — ya no son fiables. La IA las elimina. Esto es lo que hay que buscar en su lugar.

Para los correos

1. Perfección sospechosa. Los humanos reales cometen pequeños errores. Usan contracciones, empiezan frases con “Y”, ocasionalmente escriben mal. Si su colega que normalmente escribe “hey can u check this” de repente envía un correo formal bien compuesto con puntuación completa, algo anda mal. La perfección ahora es una señal de advertencia, no un consuelo.

2. Detalle inapropiado. La IA raspa sus datos públicos para personalizar los ataques. Si un correo hace referencia a información que el supuesto remitente razonablemente no debería saber — la escuela de su hija, un nombre clave de proyecto específico, una conversación de una conferencia — pregunte cómo la consiguieron. Las relaciones reales tienen límites naturales sobre lo que la gente sabe de otras personas. La IA no entiende esos límites.

3. Combinación de urgencia + secreto. “Esto es urgente y confidencial — por favor no lo comunique a nadie.” Esta combinación casi siempre es manipulación. Las solicitudes legítimas y urgentes rara vez requieren saltarse los procesos normales de aprobación. La petición de mantener silencio es lo que impide la verificación.

4. Solicitud que evita el proceso normal. Cualquier solicitud financiera, de credenciales o de acceso que explícitamente le pida que omita un paso normal debe considerarse sospechosa, sin importar cómo se presente.

5. Dominio del remitente con variación mínima. Los correos generados por IA a menudo provienen de dominios con una variación de un carácter: paypa1.com, microsoft-security.com, amazon-verify.net. Pase el cursor sobre cualquier enlace antes de hacer clic. Compruebe la dirección de correo real del remitente — no el nombre que se muestra.

6. Códigos QR y archivos adjuntos inusuales. El phishing por código QR (“quishing”) aumentó 400% entre 2023 y 2025. Los atacantes incrustan enlaces maliciosos en códigos QR porque muchos filtros de seguridad de correo no pueden leer URLs codificadas en imágenes. Desconfíe de correos inesperados que contengan un código QR, un archivo SVG o una invitación de calendario de un remitente desconocido.

Para llamadas telefónicas

1. Ritmo antinatural. El habla real es desordenada. Respiramos de forma irregular, tropezamos con sílabas, aceleramos cuando estamos emocionados. Las voces de IA a menudo tienen una cualidad de “metrónomo” — ritmo uniforme, transiciones extrañamente suaves. Escuche la ausencia de imperfección.

2. Audio que está demasiado limpio. Una llamada angustiada de un familiar real en una emergencia tendrá ruido de fondo — tráfico, viento, eco de la habitación. El audio deepfake a menudo es sospechosamente limpio, o contiene clip digital tenue al final de las frases.

3. Respuestas instantáneas. Durante una llamada de vishing en vivo, el sistema de IA del atacante necesita una fracción de segundo para generar respuestas. Una latencia sutil de procesamiento — o, por el contrario, respuestas sospechosamente instantáneas sin pausa natural para pensar — puede indicar una conversación sintética.

4. Presión para actuar de inmediato. La urgencia que le impide tomarse un momento para verificar es una táctica psicológica deliberada. Ninguna emergencia legítima requiere que autorice una transferencia en los próximos cinco minutos.

Para videollamadas

1. Inconsistencias en la sincronización labial. A pesar de las mejoras, el deepfake de vídeo todavía muestra a veces desacoples sutiles entre los movimientos de la boca y el audio, más visibles en las consonantes — sonidos "p", "b", "m" donde los labios claramente se cierran.

2. Parpadeo y movimiento ocular antinaturales. Los rostros generados por IA pueden parpadear con patrones que carecen de aleatoriedad humana. El movimiento ocular durante el pensamiento o al escanear la habitación a menudo está ausente o es estilizado.

3. Artefactos en los bordes. El cabello, los pendientes y el borde entre la cara y el fondo pueden mostrar distorsión sutil — ligero desenfoque, nitidez inconsistente. Confíe en la sensación del “valle inquietante” si algo parece un poco raro.

4. Inconsistencia en la iluminación. Si la iluminación en la cara de alguien no coincide con su entorno aparente, o cambia de formas que no corresponden al movimiento de la cámara, eso es una señal técnica.

5. Lo que realmente puede hacer

La detección se está volviendo más difícil a medida que la IA mejora. La defensa tiene que centrarse cada vez más en procesos que funcionen independientemente de si puede detectar el engaño.

Para individuos

Establezca una palabra clave familiar. Elija una palabra o frase conocida sólo por su familia inmediata. Cualquiera que llame afirmando ser un familiar en apuros debe proporcionarla antes de que usted actúe. Este simple paso derrota virtualmente todas las estafas al abuelo.

Cuelgue y devuelva la llamada a un número que ya tenga. Si recibe cualquier llamada de una institución financiera, agencia gubernamental o cualquier persona que afirme autoridad — cuelgue. No devuelva la llamada al número que le dieron. Llame al número que aparece en el reverso de su tarjeta, en el sitio web oficial o en los contactos guardados de su teléfono. Los llamantes legítimos lo entenderán.

Nunca haga clic en enlaces de mensajes — vaya directamente. Ya sea una alerta bancaria, una notificación de Microsoft o una actualización de entrega: no haga clic en el enlace. Abra una nueva pestaña del navegador y escriba la dirección usted mismo. Si realmente hay un problema con su cuenta, lo verá cuando inicie sesión directamente.

Sea escéptico con los códigos QR. No escanee códigos QR de correos inesperados, mensajes de texto o anuncios públicos sin verificar la fuente. Los atacantes incrustan cada vez más URLs maliciosas en códigos QR precisamente porque sus filtros de correo no pueden detectarlas.

Active MFA en todas partes — pero entienda sus límites. La autenticación multifactor bloquea la gran mayoría de los ataques automatizados de robo de credenciales, y sigue siendo esencial. Use una app autenticadora (no SMS cuando sea posible) para cuentas importantes. Pero sepa que MFA ya no es infalible — los ataques adversary-in-the-middle pueden interceptar tokens de sesión en tiempo real. Llaves de seguridad hardware (YubiKey, Titan) usando FIDO2 son el único método de autenticación totalmente resistente al phishing AiTM, porque están vinculadas criptográficamente al dominio legítimo y se niegan a autenticarse en un sitio proxy. Vea nuestra Guía completa de configuración de 2FA and Guía definitiva de Passkeys.

Reduzca su huella pública de audio y vídeo. Cuanto menos audio y vídeo suyo exista públicamente, más difícil será clonarlo. Entrevistas largas en vídeo, apariciones en podcasts y grabaciones de reuniones de la empresa son fuentes principales para la clonación de voz.

Para organizaciones

Verificación fuera de banda para cualquier solicitud financiera. Ninguna transferencia, cambio de credenciales ni pago a proveedor debe autorizarse basándose únicamente en un correo o llamada, sin importar lo convincente que parezca. Una verificación separada — llamar al solicitante a un número conocido, obtener un segundo aprobador, consultar con el helpdesk de TI — debe ser innegociable.

Umbrales de aprobación por varias personas. Cualquier transacción por encima de una cantidad establecida requiere que dos personas aprueben de forma independiente. Este es el control único más eficaz contra el fraude del CEO. Incluso si una persona está completamente convencida, un segundo aprobador rompe el ataque.

Cree una cultura de “permiso para cuestionar”. Los empleados necesitan permiso organizacional explícito para verificar solicitudes inusuales — incluso de ejecutivos — sin temor a parecer obstructivos. Los atacantes explotan el instinto humano de deferir ante la autoridad.

Implemente autenticación resistente al phishing. La incautación de Tycoon 2FA dejó claro: la MFA tradicional puede ser burlada a escala industrial. Las llaves hardware FIDO2 son la protección más eficaz contra ataques AiTM. Se niegan a autenticarse en un sitio proxy que suplanta el dominio legítimo. Priorice su despliegue para administradores, equipos financieros y ejecutivos primero.

Autenticación de correo: SPF, DKIM, DMARC. Estos protocolos impiden que los atacantes suplantan su propio dominio — haciendo imposible que un correo que afirme venir de yourcompany.com pase la autenticación si en realidad no se originó en sus sistemas.

Actualice la formación anti-phishing con ejemplos actuales. La mayoría de los programas de concienciación de seguridad todavía usan ejemplos de phishing de la era 2020 con señales evidentes. Las organizaciones con programas de formación continuos y basados en comportamiento reducen las tasas de clics hasta un 1.5%. Las que dependen de formación anual genérica ven mejoras insignificantes. La formación debe usar simulaciones realistas generadas por IA, y debe ser continua.

Monitoree tokens de sesión y credenciales robadas. Incluso después de restablecer contraseñas, las cookies de sesión robadas siguen siendo explotables hasta que se revocan explícitamente. Implemente monitoreo continuo de credenciales expuestas en ecosistemas criminales y actividad de inicio de sesión anómala.

6. Qué pueden y no pueden hacer las tecnologías de detección

Varias herramientas ahora intentan detectar contenido generado por IA en tiempo real:

• McAfee Deepfake Detector: Afirma 96% de precisión marcando audio sintético, funcionando localmente en el dispositivo en menos de 3 segundos
• Hiya Deepfake Voice Detector: Extensión de navegador y herramienta móvil que asigna una “puntuación de autenticidad” a las llamadas entrantes
• Pindrop Pulse: Herramienta empresarial para centros de llamadas que detecta voces sintéticas antes de autorizar transacciones
• Content Provenance (C2PA): Un estándar respaldado por coalición para firmar criptográficamente los medios en el punto de creación, estableciendo cadenas de procedencia a prueba de manipulación

Estas herramientas ayudan, pero úselas con cautela. Las herramientas de detección basadas en IA pierden hasta 50% de su precisión en condiciones reales frente a entornos de laboratorio controlados — precisamente la brecha entre una demo de investigación y un ataque real. Gartner predice que para 2026, el 30% de las empresas considerará poco fiables las soluciones de verificación de identidad independientes por sí solas.

El problema fundamental es que la generación de deepfakes y la detección están en una carrera armamentista, y la generación va ganando actualmente. Las defensas basadas en procesos — protocolos de verificación, requisitos de múltiples aprobadores, palabras clave, llaves FIDO2 — funcionan independientemente de lo buenos que sean los deepfakes. Las herramientas técnicas de detección son una capa útil pero no la defensa principal.

La línea significativa de defensa se está desplazando de la evaluación humana hacia protecciones a nivel de infraestructura: medios firmados criptográficamente en la fuente, autenticación resistente al phishing y intercambio de inteligencia de amenazas entre sectores. Simplemente mirar más de cerca los píxeles ya no será suficiente.

7. La mecánica psicológica

Entender por qué funcionan estos ataques le ayuda a resistirlos incluso cuando no puede detectar el engaño.

El phishing con IA específicamente apunta a tres palancas psicológicas:

Authority. Un mensaje de su CEO, su banco, su hijo — alguien con poder legítimo sobre su comportamiento — desencadena instintos de cumplimiento que anulan la evaluación crítica. En el 95% de los ataques por voz, el atacante se hace pasar por una figura de autoridad.

Urgency. “Dentro de la próxima hora.” “Antes del cierre del día.” “O su cuenta será cerrada permanentemente.” La urgencia impide la pausa que requiere la verificación. El empleado medio hace clic en un enlace de phishing en 21 segundos — apenas hay margen para la evaluación racional.

Secrecy. “No discuta esto con nadie más.” Esta es la que siempre debe ser una señal roja. El secreto elimina la segunda opinión que atraparía el ataque.

Cuando las tres aparecen juntas — autoridad, urgencia y secreto — trátelo como un ataque casi seguro, sin importar lo convincente que parezca la fuente.

8. Referencia rápida: qué hacer ahora mismo

En los próximos 5 minutos:

• Establezca una palabra clave familiar para verificar llamadas de emergencia
• Active la autenticación de dos factores en su correo y cuentas bancarias

Esta semana:

• Pida una llave de seguridad hardware FIDO2 (YubiKey, Google Titan) para sus cuentas más críticas
• Audite su audio y vídeo disponibles públicamente
• Instale una app autenticadora en todas las cuentas principales que no admitan llaves hardware

Para su lugar de trabajo:

• Comparta esta guía con su equipo
• Establezca o refuerce la verificación fuera de banda como paso obligatorio para solicitudes financieras
• Compruebe si su correo electrónico usa autenticación DMARC (su equipo de TI puede verificarlo)
• Comience un programa piloto de llaves hardware FIDO2, empezando por los equipos de finanzas y administración

Si cree que ha sido objetivo:

• Detenga toda comunicación con el atacante sospechoso inmediatamente
• Contacte a su institución financiera si hubo dinero de por medio
• Repórtelo a la FTC en ReportFraud.ftc.gov (EE. UU.), o a la autoridad nacional de denuncia de ciberdelitos de su país
• Notifique a su equipo de TI o seguridad para que otros en su organización puedan ser advertidos
• Si introdujo credenciales en un sitio sospechoso, cambie su contraseña inmediatamente y revoque todas las sesiones activas

9. La cruda realidad honesta

No podrá detectar de forma fiable un ataque de phishing con IA de alta calidad solo con la vista. La tecnología es demasiado buena y mejora muy rápido. Sólo 0.1% de las personas en un estudio reciente pudieron identificar correctamente todos los deepfakes que se les mostraron. La precisión humana en voces clonadas de alta calidad está por debajo del 30%. Las señales visuales en vídeo deepfake se eliminan con cada actualización de modelo.

Lo que puede hacer es volver la detección irrelevante. Los ataques que tienen éxito son aquellos donde una sola persona, en un momento de urgencia, actúa sola. Los ataques que fracasan son los que encuentran un segundo paso — una devolución de llamada, un segundo aprobador, una palabra clave, una llave FIDO2 que se niega a autenticar en el dominio equivocado — donde la ilusión se rompe.

Construya procesos que asuman que la comunicación que recibe podría ser falsa. Verifique a través de canales independientes. Desacelere cuando le digan que se apresure. Cuestione cuando le pidan que guarde silencio.

Los criminales usan IA. Su mejor defensa es obstinadamente humana: escepticismo, una segunda opinión y una llamada que usted inicie.

Guías relacionadas: Guía de respuesta a brechas de datos · Buenas prácticas de seguridad de contraseñas · Guía completa de configuración de 2FA · Mejores gestores de contraseñas 2026 · ¿Ha sido hackeado mi correo? (Comprobador de brechas)

❓ Preguntas frecuentes