Si tu idea de proteger cuenta Google es poner de contraseña "123456" y rezar a San Isidoro de Sevilla (patrón de Internet, sí, existe), tenemos un problema gordo. Tu cuenta de Google es como la llave maestra de tu vida digital: Gmail, Drive, Fotos, YouTube, el historial de búsquedas que nunca querrías que viera tu suegra... Todo está ahí. Y los ciberdelincuentes lo saben. Según el informe de Google Threat Analysis Group de 2025, se bloquean más de 100 millones de intentos de phishing diarios solo en Gmail. Así que si crees que tu seguridad Google está "bien así", déjame decirte —con todo el cariño catalán que me caracteriza— que estás más expuesto que un chiringuito en temporal de levante. Esta guía es tu revisión seguridad Google definitiva: pasos concretos para tener un Google seguro y proteger Gmail como si te fuera la vida en ello. Porque, en cierto modo, te va.
La revisión de seguridad de Google: tu primer paso obligatorio
Google tiene una herramienta que la mayoría ignora como ignora los términos y condiciones: el Panel de revisión de seguridad. Accede desde myaccount.google.com/security-checkup y prepárate para descubrir horrores. Dispositivos conectados que no reconoces, apps de terceros con permisos absurdos, sesiones abiertas en el ordenador del hotel de Salou en 2019... Sí, eso sigue ahí.
Lo que debes revisar en esta revisión seguridad Google:
- Dispositivos con acceso: Si ves un "Windows 7 en Minsk", no eres tú. Cierra esa sesión inmediatamente.
- Eventos de seguridad recientes: Intentos de inicio de sesión, cambios de contraseña que no hiciste tú. Si aparece algo sospechoso, cambia la contraseña YA.
- Apps de terceros: Esa app de "cuál es tu animal espiritual" de 2017 tiene acceso a tus contactos. Revoca permisos a todo lo que no uses activamente.
- Métodos de recuperación: Asegúrate de que tu teléfono y email de recuperación están actualizados. Si sigues con el número de móvil de tu ex, tienes un problema de seguridad Y emocional.
Haz esta revisión cada tres meses como mínimo. Sí, lo sé, es más aburrido que ver secar la pintura, pero es infinitamente menos aburrido que intentar recuperar una cuenta hackeada mientras el atacante está leyendo tus emails del banco.
Contraseñas y verificación en dos pasos: la muralla que necesitas
Vamos al tema que a todos os da pereza: las contraseñas. Para proteger cuenta Google de verdad, necesitas una contraseña que no sea tu fecha de nacimiento, el nombre de tu perro ni —por favor, que ya estamos en 2026— "password123". Una contraseña robusta para un Google seguro tiene mínimo 16 caracteres, combina mayúsculas, minúsculas, números y símbolos, y no se repite en ningún otro servicio.
"Pero es que no me acuerdo de tantas contraseñas". Ya. Para eso existen los gestores de contraseñas. Usa uno:
- Bitwarden: Gratuito, open source, auditado. La opción sensata.
- 1Password: De pago, excelente interfaz, ideal para familias y equipos.
- KeePassXC: Local, sin nube, para los paranoicos nivel "tengo un bunker en Berga".
- Google Password Manager: Integrado en Chrome, mejor que nada, pero no pongas todos los huevos en la misma cesta que estás protegiendo.
Ahora viene lo importante de verdad: la verificación en dos pasos (2FA). Actívala en myaccount.google.com/signinoptions/two-step-verification. Sin 2FA, tu cuenta es como una puerta con cerradura pero sin echar la llave. Opciones de 2FA ordenadas de mejor a peor:
- Llaves de seguridad físicas (FIDO2/U2F): YubiKey, Titan Security Key de Google. Imposibles de phishear. La opción nuclear. Si tu seguridad Google te importa de verdad, gástate los 30€.
- Passkeys: La apuesta de Google para el futuro. Almacenadas en tu dispositivo, resistentes a phishing, sin códigos que teclear. Configúralas en g.co/passkeys.
- Apps de autenticación (TOTP): Google Authenticator, Authy, Aegis. Generan códigos temporales cada 30 segundos. Mucho mejor que SMS.
- SMS: Mejor que nada, pero vulnerable a SIM swapping (los atacantes clonan tu SIM y reciben tus códigos). En 2025, el FBI reportó un aumento del 400% en ataques de SIM swap. Usa SMS solo como último recurso.
Consejo extra: Genera y guarda los códigos de recuperación de Google. Son 10 códigos de un solo uso para cuando pierdas el móvil, la llave o la cordura. Imprímelos y guárdalos en un lugar seguro. No en un post-it en el monitor, por favor.
Si te interesa este tema, te recomendamos leer nuestro artículo sobre Hardening básico de Linux: cómo asegurar un servidor desde la instalación, donde profundizamos en aspectos clave relacionados.
Proteger Gmail: donde vive el peligro real
Tu bandeja de entrada es el campo de batalla principal. El 91% de los ciberataques comienzan con un email de phishing, según datos de Verizon DBIR 2025. Proteger Gmail no es opcional: es supervivencia digital.
Configuraciones esenciales para proteger Gmail que deberías activar ahora mismo:
| Configuración | Dónde | Por qué |
|---|---|---|
| Desactivar acceso IMAP/POP si no lo usas | Gmail → Configuración → Reenvío y POP/IMAP | Cierra puertas de acceso innecesarias |
| Revisar filtros y reenvíos | Gmail → Configuración → Filtros y direcciones bloqueadas | Los hackers crean filtros invisibles para redirigir tus emails |
| Activar modo confidencial | Al redactar → icono candado | Emails con fecha de caducidad y sin opción de reenvío |
| Revisar acceso de apps | myaccount.google.com/permissions | Limita qué servicios leen tu correo |
Ojo con los filtros fantasma. Una técnica clásica de los atacantes es crear un filtro en Gmail que reenvíe automáticamente todos tus emails a su dirección mientras marca los originales como leídos. Tú no ves nada raro, pero ellos están leyendo todo. Ve a Configuración → Filtros y comprueba que no hay reglas que no hayas creado tú. Si encuentras algo sospechoso, elimínalo y cambia la contraseña inmediatamente.
Para los que quieren el nivel máximo de seguridad Google, existe el Programa de Protección Avanzada de Google (landing.google.com/advancedprotection). Requiere llaves de seguridad físicas, bloquea el acceso de apps de terceros al correo y añade verificaciones extra para la recuperación de cuenta. Está pensado para periodistas, activistas y políticos, pero cualquiera puede inscribirse. Es el equivalente digital a vivir en un búnker suizo, pero gratis.
Configuraciones avanzadas que casi nadie conoce
Ya tienes contraseña fuerte y 2FA. Bien. Pero para tener un Google seguro de verdad, hay ajustes que la mayoría desconoce porque Google los entierra en menús que parecen diseñados por alguien que no quiere que los encuentres:
1. Desactiva la actividad web y de aplicaciones selectivamente
Ve a myactivity.google.com. Google registra absolutamente todo lo que haces: búsquedas, sitios visitados, ubicaciones, comandos de voz... Puedes desactivar el registro o configurar la eliminación automática cada 3, 18 o 36 meses. No hace tu cuenta más segura contra hackers, pero sí reduce la cantidad de datos jugosos que encontrarían si entran.
2. Revisa los permisos de Google Drive
Ese documento que compartiste "con cualquiera que tenga el enlace" en 2021 sigue siendo público. Ve a drive.google.com, ordena por "Compartidos" y revisa. Hemos visto documentos con contraseñas, datos bancarios y fotos comprometedoras accesibles para cualquiera con el link. La revisión seguridad Google incluye también tus archivos compartidos.
Si te interesa este tema, te recomendamos leer nuestro artículo sobre Las mejores herramientas de ciberseguridad gratuitas para particulares y pymes, donde profundizamos en aspectos clave relacionados.
3. Comprueba si tus datos han sido filtrados
Ve a haveibeenpwned.com e introduce tu dirección de Gmail. Si aparece en alguna filtración (spoiler: probablemente sí), cambia la contraseña de ese servicio inmediatamente. Google también ofrece una herramienta similar en passwords.google.com → "Revisión de contraseñas" que te avisa si alguna de tus contraseñas guardadas ha aparecido en filtraciones conocidas.
4. Activa las alertas de seguridad por email y móvil
En myaccount.google.com/notifications, asegúrate de que recibes alertas cuando alguien inicia sesión desde un dispositivo nuevo o se detecta actividad sospechosa. No ignores estas alertas como quien ignora las notificaciones de actualización de Windows.
Qué hacer si ya te han hackeado la cuenta
Si has llegado tarde y sospechas que alguien ha entrado en tu cuenta, no entres en pánico. Bueno, un poquito de pánico está justificado. Pero luego sigue estos pasos para proteger cuenta Google y recuperar el control:
- Accede a accounts.google.com/signin/recovery si no puedes entrar con tu contraseña habitual.
- Cambia la contraseña inmediatamente si aún tienes acceso. Pon una nueva, larga, única.
- Revisa y cierra todas las sesiones activas en myaccount.google.com/device-activity. Pulsa "Cerrar sesión" en todos los dispositivos que no reconozcas.
- Revoca tokens de acceso de terceros en myaccount.google.com/permissions. Elimina todo lo que no reconozcas.
- Comprueba los filtros de Gmail (punto que mencionamos antes). Elimina cualquier filtro o reenvío sospechoso.
- Activa 2FA si no la tenías (lección aprendida a las malas).
- Revisa la actividad reciente en myaccount.google.com/notifications para entender qué hizo el atacante.
- Avisa a tus contactos si crees que se enviaron emails de phishing desde tu cuenta.
Dato real: según Google, las cuentas con verificación en dos pasos son un 99.9% menos propensas a ser comprometidas. Ese 0.1% restante requiere un nivel de sofisticación que normalmente se reserva para objetivos de espionaje estatal, no para tu cuenta personal. Así que activa el 2FA y duerme tranquilo.
Preguntas frecuentes
¿Es seguro usar el gestor de contraseñas de Google Chrome?
Es mejor que reutilizar "MiGato2020" en 47 servicios distintos, sin duda. Google encripta las contraseñas y las protege con tu cuenta de Google. El problema es el huevo y la gallina: si comprometen tu cuenta de Google, acceden a todas tus contraseñas. Para proteger Gmail y el resto de tus cuentas, lo ideal es usar un gestor independiente como Bitwarden o 1Password, con una contraseña maestra diferente a la de Google. Así, si cae una, no caen todas.
¿Las passkeys sustituyen completamente a las contraseñas?
Ese es el objetivo de Google a medio plazo, sí. Las passkeys son criptográficamente más seguras que las contraseñas tradicionales y resistentes a phishing. Pero estamos en transición: no todos los servicios las soportan y necesitas un dispositivo compatible. Configúralas como método principal para seguridad Google, pero mantén tu contraseña fuerte y los códigos de recuperación como respaldo. Nunca te quedes sin plan B.
¿Cada cuánto tiempo debo cambiar mi contraseña de Google?
El NIST (Instituto Nacional de Estándares y Tecnología de EE.UU.) actualizó sus directrices: ya NO recomienda cambiar contraseñas periódicamente si son fuertes y únicas. Lo que SÍ debes hacer es cambiarla inmediatamente si: aparece en una filtración (compruébalo en Have I Been Pwned), sospechas de acceso no autorizado, o la compartiste con alguien. Una contraseña de 20 caracteres con 2FA activado es más segura que cambiar "Verano2026!" por "Otoño2026!" cada tres meses.
¿El modo incógnito de Chrome protege mi cuenta de Google?
No. El modo incógnito solo evita que tu navegador guarde el historial localmente. Tu proveedor de Internet, tu empresa (si usas su red) y los sitios web que visitas siguen viéndote perfectamente. Si inicias sesión en Google en modo incógnito, Google registra tu actividad igualmente. Para privacidad real necesitas una VPN de confianza combinada con las configuraciones de privacidad de tu cuenta. El modo incógnito sirve para comprar regalos sin que tu pareja los vea en el historial, poco más.
¿Qué hago si recibo un email de Google diciendo que mi cuenta está comprometida?
Primero: no hagas clic en ningún enlace del email. Los phishers adoran hacerse pasar por Google. Abre una pestaña nueva, escribe manualmente myaccount.google.com y revisa las alertas de seguridad directamente. Si la alerta es real, aparecerá allí. Si no aparece nada, el email era phishing. Márcalo como spam y sigue con tu vida. Y si quieres que un filtro inteligente se encargue de detectar estos emails por ti... bueno, para eso existe MataSpam.
Tu cuenta de Google es probablemente la pieza más crítica de tu identidad digital. Proteger cuenta Google no es un lujo ni algo que puedas dejar "para mañana": es una necesidad urgente en un mundo donde los ataques son cada vez más sofisticados y automatizados. La buena noticia es que con los pasos de esta guía —contraseña fuerte, 2FA con llave física o passkey, revisión periódica y un poco de sentido común— puedes convertir tu cuenta en una fortaleza. Si quieres seguir aprendiendo sobre ciberseguridad sin morir de aburrimiento, explora el resto de artículos del blog. Tenemos guías, análisis de ataques reales y consejos que ojalá hubieras leído antes de hacer clic en aquel enlace sospechoso. Tú sabes cuál.
