Qué es el robo de identidad digital

El robo de identidad digital (Digital Identity Theft) es un acto delictivo que consiste en obtener ilegalmente la información personal o las credenciales de cuentas en línea de otra persona para actuar suplantando su identidad. La información robada incluye direcciones de correo electrónico, contraseñas, números de tarjetas de crédito, números de identificación personal y cuentas de redes sociales.

Los atacantes utilizan la información robada para realizar fraude financiero, compras no autorizadas, apertura de nuevas cuentas e incluso solicitudes de préstamos a nombre de la víctima. La existencia de la dark web, donde circula gran cantidad de información personal obtenida mediante phishing y filtraciones de datos, se ha convertido en el caldo de cultivo del robo de identidad digital.

Principales métodos y vías de ataque

El robo de identidad digital se ejecuta combinando múltiples métodos.

Phishing: Correos o SMS que suplantan a bancos o proveedores de servicios dirigen a la víctima a un sitio falso para que introduzca sus credenciales o los datos de su tarjeta. Suele ser la puerta de entrada de la suplantación.
Credential stuffing: Con las credenciales filtradas en filtraciones de datos anteriores se intenta iniciar sesión en cuentas donde se reutilizaba la misma contraseña.
Ingeniería social: El atacante contacta al soporte al cliente haciéndose pasar por la víctima y abusa del proceso de recuperación de cuentas para apoderarse de ellas.
Malware: Se infecta el dispositivo de la víctima con un keylogger o un ladrón de información (infostealer) para robar las contraseñas tecleadas y las credenciales guardadas en el navegador.
Intercambio de SIM (SIM swapping): El atacante se hace pasar por la víctima ante la operadora móvil y transfiere el número de teléfono a una SIM bajo su control, superando así la verificación por SMS y tomando el control de las cuentas.

Cabe señalar que estos métodos rara vez se usan de forma aislada; suelen combinarse. La información obtenida mediante phishing sirve de base para la ingeniería social, y el acceso se amplía paso a paso.

Qué hacer si eres víctima

Si descubres que eres víctima de robo de identidad digital, una respuesta rápida evita que el daño se extienda.

Cambio inmediato de contraseñas: Cambiar la contraseña no solo de la cuenta comprometida, sino de todas las cuentas donde se usaba la misma.
Contactar a las instituciones financieras: Si se sospecha un uso fraudulento de la tarjeta de crédito, pedir al emisor que la suspenda y la reemita.
Recuperar las cuentas: Para las cuentas usurpadas, contactar al soporte de cada servicio y seguir su procedimiento de recuperación.
Presentar una denuncia: Denunciar el caso ante la policía o una ventanilla de atención de delitos informáticos. El registro de la denuncia puede ser requerido después en los trámites con emisores de tarjetas o aseguradoras.
Revisar el historial crediticio: Solicitar a las agencias de información crediticia de tu país la divulgación de tus propios registros y comprobar si figuran préstamos, contratos de tarjetas o consultas de solicitud que no reconozcas. Muchas agencias también aceptan una declaración del propio interesado, con la que se puede dejar constancia previa del riesgo de robo o uso fraudulento.

Medidas preventivas y hábitos cotidianos

Para minimizar el riesgo de robo de identidad digital, la base está en acumular hábitos de seguridad cotidianos.

Activar la autenticación de dos factores: Habilitarla en las cuentas importantes. Los códigos recibidos por SMS pueden eludirse mediante el intercambio de SIM, y los códigos de un solo uso de una aplicación de autenticación también pasan en el phishing de intermediario, donde el sitio falso retransmite lo que tecleas directamente al sitio real. Las passkeys y las llaves de seguridad están vinculadas al dominio del servicio, por lo que no pueden usarse en un sitio falso.
Usar un gestor de contraseñas: Generar y gestionar una contraseña única y compleja para cada servicio, erradicando la reutilización.
Limitar el alcance público de tu información personal: Revisar la visibilidad del perfil, las publicaciones y la lista de amigos en las redes sociales. La fecha de nacimiento, la escuela o el nombre de una mascota se usan con facilidad como respuesta a las preguntas de seguridad.
Mantener la cautela ante el phishing: No hacer clic en los enlaces de correos o mensajes sospechosos. Acceder a los servicios legítimos escribiendo la dirección directamente o desde un marcador.
Vigilar las filtraciones de datos: Usar servicios como Have I Been Pwned para comprobar periódicamente si tu dirección de correo aparece en listas filtradas.

La información robada se revende y, en ocasiones, se utiliza solo después de un tiempo. Por eso el daño tiende a descubrirse tarde, y los trámites con las instituciones financieras y con cada servicio acaban alargándose en paralelo. Afianzar primero las medidas que siguen funcionando una vez configuradas (la autenticación de dos factores y el gestor de contraseñas) reduce la carga posterior.

Para obtener más información sobre este tema, consulte Robo de identidad digital - Cómo ocurre y cómo protegerte.

Conceptos erróneos comunes

No soy famoso, así que no seré objetivo de robo de identidad: El robo de identidad digital se realiza de forma indiscriminada. Los atacantes utilizan herramientas automatizadas para probar en masa millones de credenciales filtradas en filtraciones de datos, por lo que cualquier persona puede ser víctima independientemente de su notoriedad o patrimonio.
Si me roban la identidad, basta con cambiar la contraseña: El cambio de contraseña es solo el primer paso. Los datos que no se pueden cambiar como una contraseña - el nombre, la dirección o la fecha de nacimiento - pueden ser utilizados de forma malintencionada durante mucho tiempo. El My Number de Japón (número individual) es una excepción: cuando se reconoce que se ha filtrado y existe riesgo de uso indebido, el alcalde del municipio asigna un número nuevo a petición del interesado o de oficio (artículo 7, párrafo 2 de la Ley de utilización de números de Japón). Es necesario actuar partiendo de que esa información no cambia, por ejemplo solicitando a las agencias de información crediticia la divulgación de tus propios registros y contactando a tus instituciones financieras.

Robo de identidad digital