Cómo aprendí a utilizar varias direcciones de correo electrónico para mantener todas mis cuentas digitales protegidas

Hace ya unos cuantos años, cuando me dedicaba a reparar ordenadores a domicilio, se me ocurrió imprimir unas tarjetas de visita profesionales para que mis clientes pudieran contactarme fácilmente. Además de incluir mi número de teléfono, que solo permitía enviar mensajes de texto porque WhatsApp apenas estaba dando sus primeros pasos, agregué mi correo electrónico.

Todavía me recuerdo saliendo de la imprenta con un puñado de tarjetas en las manos, emocionado por empezar a repartirlas. Pero nada más cruzar la puerta, me di cuenta de que había cometido un error: usé mi correo electrónico principal. Hasta ese momento, se había mantenido relativamente en “secreto”, pero eso cambió en el instante en que quedó impreso en mis tarjetas. Y era el mismo correo que utilizaba como puerta de acceso a mi vida digital. Lo acababa de exponer sin darme cuenta.

Una inquietud me invadió al instante, acompañada de varias preguntas sobre los riesgos asociados. ¿Y si alguien intentaba acceder a mis cuentas sin permiso? ¿Podría utilizar el correo que estaba en mis tarjetas junto con la información que había sobre mí en Facebook para intentar adivinar mi respuesta de seguridad? ¿Y qué sucedería con los servicios que tenía vinculados?

Por mínimo que fuera el riesgo, no debía exponer mi correo electrónico principal. Mi reacción inmediata fue crear una cuenta secundaria exclusiva para otros servicios, mientras que la dirección impresa en la tarjeta quedó solo para contacto profesional. Si su seguridad se veía comprometida, el impacto sería limitado. Mis cuentas en plataformas de comercio electrónico, redes sociales y otros servicios seguirían protegidas al tener una cuenta de recuperación distinta a la principal.

Tener una única dirección de correo para todo era un error

Para entender mejor por qué es importante esta precaución, pongámonos por un momento en la mente de un ciberdelincuente. Si como atacante consigo acceso al correo principal de una víctima, puedo explorar fácilmente su bandeja de entrada para descubrir qué otros servicios utiliza. Por ejemplo, al encontrar correos de Amazon o redes sociales, podría solicitar restablecer contraseñas directamente. Si además la víctima cometió el error frecuente de reutilizar la misma contraseña —y de algún modo la he conseguido—, no tendría siquiera que esforzarme mucho: bastaría con probar esa clave para acceder a múltiples plataformas, generando un grave efecto dominó.

La mencionada solución fue solo temporal. Me sirvió durante un tiempo, pero vivimos en un mundo tan dinámico que nos obliga a evolucionar, no solo para aprovechar mejor la tecnología, sino también para garantizar nuestra seguridad y privacidad. Con los años, mantener un correo de contacto y otro “secreto” dejó de ser suficiente. Descubrí que mi correo de contacto no era tan público ni el “secreto” tan privado. Aunque este último no estaba en mi tarjeta, lo confiaba a cualquier servicio online que me pedía registrarme. Y, como sabemos, las empresas, por muy grandes que sean, no siempre protegen adecuadamente los datos de sus usuarios. Ha habido casos notorios de filtraciones, como la de Yahoo de 2016 o la de Quora de 2018.

Aunque nunca lo había compartido directamente con otras personas, la cantidad de spam y correos fraudulentos que recibía me hizo sospechar que mi dirección de correo había sido filtrada en la dark web, esa zona oscura de internet donde la información personal circula como moneda de cambio. A fin de cuentas, probablemente mi correo formaba parte de alguna base de datos vendida al mejor postor. Por supuesto, entre los correos indeseados también aparecían timos clásicos como el del príncipe nigeriano.

LinkedIn, en aquel entonces, mostraba públicamente la dirección de correo electrónico de los usuarios que habilitaban esa opción en la configuración de privacidad. Además, había quienes recolectaban estos datos para envíos masivos, lo que explicaba la cantidad de newsletters y mensajes no solicitados que me llegaban por estar conectado con ciertas personas.

Pronto comprendí que necesitaba algo más que mis propios correos, porque, como muchos, había tenido otros asignados por terceros, como el de la universidad o los del trabajo, que suelen desactivarse al desvincularse de la institución. Decidí tomar las medidas necesarias para mejorar este aspecto de mi vida digital, lo que significó crear otras cuentas de correo. Así quedaron estructuradas:

• Correo de contacto: dirección pública para que cualquiera pueda escribirme.
• Correo privado para servicios: exclusivo para inicio de sesión y recuperación de cuentas.
• Correo de trabajo: para todo lo relacionado con mi actividad profesional.
• Correo para newsletters: para recibir y gestionar suscripciones sin saturar otras cuentas.
• Correo enfocado en la privacidad: cuenta de Proton Mail con cifrado de extremo a extremo y bloqueo de rastreadores.

En todas intenté aplicar las máximas medidas de seguridad: verificación en dos pasos, passkeys, claves de recuperación, contraseñas robustas, etc. Además, incorporé el uso de un gestor de contraseñas para evitar el riesgo de reutilizar credenciales y para generar claves únicas y seguras para cada servicio. Opté por un gestor reputado que me permite almacenarlas de manera segura sin depender de la memoria o de anotaciones físicas que pueden ser vulneradas.

También empecé a usar “Iniciar sesión con Apple” con mi correo privado para servicios, lo que me permite ocultar mi dirección real mediante correos aleatorios (@privaterelay.com). A esto sumé los correos temporales de iCloud+ (@icloud.com), ideales para registros en plataformas que no me inspiran confianza o cuya política de protección de datos me plantea dudas. Para reforzar la seguridad, implementé múltiples métodos de recuperación. Así, si un método no funciona, siempre tengo otra vía de acceso.

Esto es fundamental porque cualquier método de recuperación puede dar problemas. Si pierdo mi teléfono móvil y es mi única vía de acceso a mi cuenta, estaría en un serio inconveniente. Sin embargo, al tener tanto un número de teléfono como un correo electrónico asociado, puedo recuperar el acceso sin depender de un único factor. Lo mismo ocurre con los códigos de verificación alternativos: si no tengo acceso inmediato a mi teléfono, puedo usar uno de esos códigos previamente guardados para iniciar sesión de forma segura.

Tener múltiples métodos de recuperación de acceso no es un lujo, sino una necesidad. En un mundo donde todo pasa por lo digital, perder una cuenta importante puede convertirse en un problema grave. Es como depender de una única puerta de entrada sin salidas de emergencia: si la bloquean o pierdes la llave, podrías quedarte atrapado. Sin embargo, en ciberseguridad no se trata de encontrar una solución infalible, porque creo que no existe. Lo que realmente importa es elevar las barreras lo suficiente para que vulnerar el sistema no merezca la pena, que sea tan costoso y complejo que los atacantes prefieran buscar otro objetivo.

Un ejemplo claro es el SIM swapping, una técnica que permite a los ciberdelincuentes secuestrar un número de teléfono para recibir códigos de recuperación y tomar el control de cuentas ajenas. Este ataque demuestra por qué los SMS como método de autenticación no son tan seguros. Pero este es solo uno de muchos ataques posibles. Las amenazas evolucionan constantemente y sería imposible abarcarlas todas aquí. Lo que ayer era seguro, hoy puede ser un punto débil, y lo que hoy nos protege, mañana podría ser irrelevante.

Imágenes | Brett Jordan | macrovector | Justin Morgan | Giorgio Trovato

.