Recibimos un correo de seguimiento de un sitio que no reconocemos, hacemos clic sin pensar, y tres días después una cuenta bancaria está comprometida. Este escenario, banal en 2026, ilustra hasta qué punto la protección de datos personales ya no se juega únicamente en los parámetros de privacidad de un navegador. El RGPD sigue regulando la recopilación y el tratamiento de la información por parte de las empresas, pero las amenazas del lado del usuario han cambiado de naturaleza.
Infostealers y phishing avanzado: los verdaderos riesgos para tus datos en 2026
Los competidores detallan extensamente el funcionamiento del RGPD o las obligaciones de las empresas. Vamos a comenzar por el otro lado: lo que amenaza concretamente a un internauta cuando abre su computadora por la mañana.
El informe ENISA Threat Landscape 2026, publicado el 15 de septiembre de 2026, identifica el phishing como la principal técnica de ingeniería social observada en los incidentes analizados en 2025. Los kits de phishing «as-a-service» se han multiplicado, permitiendo a atacantes sin habilidades técnicas lanzar campañas creíbles en pocas horas.
La otra amenaza en aumento son los infostealers. Estos programas maliciosos ya no se limitan a robar una contraseña. Según el mismo informe de ENISA, ahora extraen identificadores, datos de navegación, tokens de autenticación multifactor (MFA) y cookies de sesión. Concretamente, incluso con una contraseña sólida y la autenticación de dos factores activada, un dispositivo infectado puede comprometer todas tus cuentas.
Hemos publicado un dossier complementario sobre los datos personales en dubraz.com a través de Blognet News que detalla las obligaciones de los sitios en materia de recopilación y consentimiento.
Lo que cambia en el día a día: la actualización del sistema operativo y de las aplicaciones no es un consejo genérico, es la primera línea de defensa contra los infostealers. El uso de un gestor de contraseñas también limita la exposición, porque ya no se introducen los identificadores en un formulario potencialmente comprometido.
Controles de la CNIL en 2026: reclutamiento, algoritmos y lo que implica para los usuarios
Se habla a menudo de la CNIL como un gendarme lejano que sanciona a las grandes plataformas. En 2026, sus temáticas prioritarias de control tocan sectores que afectan directamente a los particulares en su vida cotidiana.
Entre los ejes seleccionados este año figuran el reclutamiento y el registro electoral único. En la práctica, esto significa que la CNIL verifica cómo los empleadores recopilan y conservan los datos de los candidatos, y cómo se gestionan los archivos electorales a nivel algorítmico.
Para un internauta que postula en línea, la consecuencia es directa: se puede preguntar a un reclutador qué datos conserva, sobre qué base legal, y durante cuánto tiempo. El derecho de acceso y el derecho a la supresión previstos por el RGPD también se aplican a los CV depositados en una plataforma de reclutamiento hace tres años.
Ejercer su derecho de acceso sin esperar una filtración
La mayoría de los internautas descubren sus derechos después de un incidente. Se puede actuar por adelantado. Cualquier organismo que trate datos personales debe responder a una solicitud de acceso en un plazo establecido por el RGPD.
Algunas situaciones donde este procedimiento tiene un impacto concreto:
- Verificar qué información conserva un antiguo empleador o una agencia de empleo en sus archivos, varios años después de la finalización de un contrato.
- Pedir a un sitio de comercio electrónico la lista completa de datos asociados a tu cuenta, incluyendo el historial de navegación y las preferencias publicitarias.
- Exigir la eliminación de datos en una plataforma de anuncios clasificados donde ya no estás activo desde hace tiempo.
Si el organismo no responde o se niega sin motivo válido, se puede presentar una queja directamente a la CNIL a través de su formulario de queja en línea.
Consentimiento para cookies y rastreadores: lo que realmente ha cambiado
Hacemos clic en «Aceptar todo» por reflejo. El problema es que este gesto a menudo permite a decenas de rastreadores publicitarios recopilar datos de navegación, localización y perfil de compra.
La política de privacidad de un sitio debe detallar la finalidad de cada tratamiento y la base legal utilizada (consentimiento, interés legítimo, ejecución de un contrato). En la práctica, las respuestas varían en este punto: algunos sitios muestran banners conformes pero redirigen a políticas de privacidad redactadas en un lenguaje difícilmente comprensible.
Rechazar cookies no importantes nunca debe ser más complicado que aceptar. Es un principio que la CNIL recuerda regularmente. Si un sitio impone más clics para rechazar que para aceptar, está potencialmente en infracción.
Tres reflexos para limitar el rastreo en el día a día
- Configurar el navegador para eliminar automáticamente las cookies al cerrar, lo que neutraliza la mayoría de los rastreadores persistentes sin bloquear la navegación actual.
- Desconectar las sesiones abiertas en servicios sensibles (banco, mensajería, salud) después de cada uso, especialmente en un dispositivo compartido. Es la medida más directa contra el robo de cookies de sesión por un infostealer.
- Utilizar direcciones de correo distintas para servicios críticos y suscripciones a boletines o promociones, para compartimentar los riesgos en caso de filtración.
Autenticación multifactor: protección útil pero no infalible
Se recomienda en todas partes activar la autenticación de dos factores, y es un buen reflejo. La autenticación multifactor bloquea la gran mayoría de los intentos de acceso no autorizado mediante contraseñas robadas.
El informe ENISA 2026 aporta una matización técnica: los ataques llamados Adversary-in-the-Middle son capaces de desviar tokens de sesión en tiempo real, eludiendo así la protección MFA. Este tipo de ataque sigue siendo más sofisticado que el phishing clásico, pero se está democratizando a través de los mismos kits «as-a-service».
La MFA sigue siendo necesaria, pero no reemplaza la vigilancia sobre los enlaces recibidos por correo o SMS. Un enlace de phishing que redirige a un proxy malicioso puede capturar el token MFA en el momento en que el usuario se autentica legítimamente.
El mejor complemento a la autenticación de dos factores sigue siendo la combinación de un gestor de contraseñas (que se niega a completar un formulario en un dominio desconocido) y un sistema operativo actualizado (que limita la instalación de infostealers). Ninguna medida aislada es suficiente: es la acumulación de capas de protección la que realmente reduce el riesgo de compromiso de tus datos personales.
