Seguridad para tu equipo · Parte 1 de 3 · 6 min de lectura
Ocho fallas comunes, una revisión de tu correo y dos evaluaciones para escoger qué resolver primero.
No hay capucha. No hay reloj en cuenta regresiva. Hay un escaneador automático recorriendo una lista de todos los sitios del internet, buscando un número de versión que ya sabe cómo abrir. La mayoría de los compromisos no son ingeniosos: son pacientes, y son baratos.
WordPress corre una porción enorme de la web, y esa base enorme de instalaciones hace que las que están vulnerables sean un blanco atractivo para el escaneo automatizado a gran escala, no porque sea mal software, sino porque un solo exploit que funcione rinde en millones de sitios a la vez. Los atacantes escanean versiones, no te buscan a ti.
Los plugins y temas desactualizados o abandonados son la forma dominante en que estas plataformas se comprometen. Alguien instaló un carrusel en 2019, el autor siguió con su vida, y el código todavía corre con acceso completo a tu base de datos. Nadie lo quitó porque nadie recuerda que existe.
Se lanza un sitio, se paga la factura, y el despliegue entra en una década de silencio. Sin cadencia de parchado, sin monitoreo, sin alertas, sin un respaldo que alguien haya restaurado alguna vez. La primera persona en notar que algo anda mal es un cliente, o un periodista.
El segundo factor es la defensa más barata que existe contra el ataque más común que existe: alguien entrando como tú con una contraseña que compró. “Luego” lleva tres años siendo la respuesta, y a la pantalla de login no le importa tu itinerario.
Reutilizar convierte cualquier brecha en cualquier lugar en una brecha tuya. Se filtra un foro que olvidaste en 2016, y esa misma contraseña entra a tu correo, a tu banco, al administrador de tu CMS. Los atacantes no adivinan: repiten.
Credenciales compartidas en una hoja de cálculo, un mensaje fijado en el chat, o una carpeta compartida que se llama Accesos. Es cómodo, se puede buscar, y está a una laptop comprometida de convertirse en el índice que el atacante tiene de toda tu organización.
El aparato que carga tu correo, tu autenticador y tus sesiones activas no tiene biométricos, no tiene passkeys, y tiene un código de cuatro dígitos que alguien vio por encima del hombro en un café. El móvil es donde vive tu identidad ahora. Merece los mismos candados que la puerta de tu casa.
Exempleados, exsuplidores, exinternos: todavía con cuentas de administrador, todavía en el buzón compartido, todavía en la tubería de despliegue. Dar de baja los accesos es un control de seguridad, y en la mayoría de las organizaciones es un mensaje de Slack que nadie ejecutó.
Nada de esto es exótico. Muchas de estas brechas son rutinarias y baratas de empezar a arreglar, que es exactamente por qué siguen funcionando como puerta de entrada. Otras, como reemplazar una plataforma vieja o migrar un suplidor, son trabajo planificado y no cosa de una tarde. Lo que tienen en común es que son conocidas, y que estar ocupado es como se quedan abiertas.
Casi todo el mundo ha estado en una brecha sin enterarse nunca. No porque hicieran algo mal: porque abrieron un servicio en el que confiaban, y su correo, el hash de su contraseña y lo que fuera acabaron en un archivo que lleva circulando desde entonces.
Pon un correo en el panel. Lo verificamos contra Have I Been Pwned, el índice público de brechas que mantiene el investigador de seguridad Troy Hunt, y te enseñamos exactamente qué salió.
honestamente: el punto de esta herramienta no es el resultado. Es el momento justo después, cuando te das cuenta de que una contraseña que todavía usas estaba en una de estas.
El tuyo, o el buzón compartido de tu organización. Vale la pena saber los dos.
Privacidad: el correo se verifica contra Have I Been Pwned a través de nuestro propio servidor. No lo guardamos en almacenamiento de la aplicación ni en analíticas, y no lo añadimos a ninguna lista. Siendo honestos sobre el límite: sí viaja por nuestro servidor hasta HIBP, y pueden existir registros operativos transitorios en algún punto de esa cadena, cosa que no podemos prometerte que no ocurra.
Datos de brechas provistos por Have I Been Pwned.
Esta es la parte de la página que de verdad nos importa. Tus respuestas se quedan en tu navegador: no hay botón de enviar, ni muro de correo, ni captura de contactos. Nuestras analíticas reciben el resultado derivado, como la puntuación, el nivel, el porcentaje y la categoría más débil, para saber que estas herramientas se usan y más o menos cómo salen. No reciben tus selecciones individuales, ni texto libre, ni tu nombre, ni tu correo, ni el nombre de tu organización. Trabájalas solo, o mejor, pónlas en una pantalla en un salón con tu equipo y discutan las respuestas. El desacuerdo es el hallazgo.
Contesta como eres de verdad, no como te gustaría ser. La puntuación no vale nada si te calificas por las intenciones.
Escrito para quien decide, no para ingenieros. “No estoy seguro” es una respuesta legítima y muy informativa: en la mayoría de las organizaciones, la incertidumbre es el hallazgo de verdad.
Catorce páginas imprimibles que puedes poner sobre una mesa con tu equipo y llenar con un bolígrafo. Sin cuenta, sin formulario de descarga, sin secuencia de seguimiento: es tuyo para copiarlo, adaptarlo y entregárselo a quien maneje operaciones. Si tu gerente de operaciones lo trabaja de principio a fin, vas a saber más de tu propia organización que lo que te diría la mayoría de las evaluaciones. El cuaderno está en inglés.
Edición: 29 de septiembre de 2026. Las investigaciones y fuentes conservan sus fechas; esta edición no representa una nueva revisión de cada dato o norma.