Modelado de amenazas: ¿Cómo podemos usarlo para nuestra ciberseguridad?

El modelado de amenazas es un conjunto de principios y herramientas que los profesionales de la seguridad usan para responder una pregunta engañosamente simple: ¿de qué me tengo que proteger exactamente, y cómo? La buena noticia es que no necesitas un semestre en el MIT para aprovecharlo. La versión doméstica del modelado de amenazas es accesible para cualquiera, y es probablemente el ejercicio con mejor relación esfuerzo-beneficio de toda tu ciberseguridad personal, porque evita los dos errores más comunes: protegerse de fantasmas improbables y descuidar los riesgos reales.

La razón por la que incluso las grandes compañías luchan con el modelado de amenazas es que exige un poco de criminología al principio, algo de filosofía en el medio e ingeniería al final. Para uso personal, basta con un enfoque general de las tres cosas.

Los tres pasos del modelado de amenazas

Paso 1: ¿Qué tengo que valga la pena robar? (Los activos)

Haz inventario de lo que un atacante querría de ti:

• Dinero directo: banca en línea, tarjetas guardadas, criptomonedas, cuentas de pago.
• Identidad: documentos, datos personales, cuentas de correo (la llave que abre todo lo demás).
• Reputación e intimidad: fotos, conversaciones, historial de navegación.
• Acceso: tus credenciales del trabajo, que valen más que las tuyas propias en el mercado negro.

Este paso es pura honestidad: la mayoría subestima lo que tiene. Si usas banca móvil y tu correo concentra los restablecimientos de contraseña de veinte servicios, tienes mucho que proteger.

Paso 2: ¿Quién y por qué me atacaría? (Los adversarios)

Aquí entra la parte de criminología, y conviene ser realista. Para un usuario normal, los adversarios probables son, por orden:

1. Delincuencia automatizada y masiva: phishing, malware, pruebas de contraseñas filtradas. No te eligieron a ti: eligieron a todos. Es la amenaza número uno para todo el mundo.
2. Rastreo comercial: anunciantes y corredores de datos que perfilan tu vida a través de tu IP, cookies e historial. No es "un hackeo", pero es la pérdida de privacidad más constante que sufres.
3. Personas del entorno: exparejas, conflictos personales o laborales. Menos frecuente, pero con acceso y motivación específicos.
4. Vigilancia estatal o corporativa: relevante sobre todo para periodistas, activistas o residentes en países con censura.

El perfil determina la defensa: contra la delincuencia masiva bastan buenas prácticas básicas aplicadas con constancia; contra un adversario dirigido necesitas más disciplina; contra la vigilancia de red necesitas cifrado y ofuscación.

Paso 3: ¿Cómo me protejo sin arruinarme la vida? (Las medidas)

La filosofía del modelado de amenazas es el equilibrio: la seguridad perfecta no existe y la incomodidad infinita tampoco es sostenible. Las medidas se eligen según los pasos anteriores.

El modelo aplicado: la defensa por capas del usuario doméstico

Para el perfil de amenazas de la mayoría de las personas, la ingeniería final se traduce en esta pila de medidas:

Capa 1: La conexión

Todo empieza por la red. Una VPN premium como Le VPN cifra tu tráfico y enmascara tu dirección IP tras un servidor en cualquiera de sus más de 100 ubicaciones. Esto neutraliza de golpe la intercepción en redes WiFi, el registro de tu navegación por parte del ISP y el rastreo por IP de los perfiles publicitarios. Si tu modelo incluye redes que bloquean VPN o censura estatal, el protocolo Stealth WireGuard añade la ofuscación necesaria. Comprueba tu exposición actual en la página pruebe su dirección IP.

Capa 2: Las cuentas

Administrador de contraseñas con claves únicas y autenticación en dos pasos, priorizando el correo. Esto desactiva el ataque masivo más rentable que existe: probar credenciales filtradas.

Capa 3: El dispositivo

Sistema y aplicaciones actualizados, un buen antivirus, descargas solo de fuentes oficiales y permisos de apps bajo control.

Capa 4: El comportamiento

La pausa antes del clic, la desconfianza ante urgencias artificiales y la discreción con los datos que publicas. Ningún software sustituye esta capa.

Revisa el modelo de vez en cuando

Tu modelo de amenazas cambia con tu vida: un nuevo trabajo con información sensible, una mudanza a un país con censura, la llegada de hijos con dispositivos propios. Repite el ejercicio de los tres pasos una vez al año: qué tengo, quién lo querría, qué me falta por cubrir.

Conclusión

El modelado de amenazas convierte la ansiedad difusa (“internet es peligroso”) en un plan concreto y proporcionado. Para la inmensa mayoría, ese plan tiene una base común: sistema actualizado, buen antivirus, contraseñas fuertes y una IP anónima detrás de un túnel cifrado. Le VPN cubre esa base con hasta 5 dispositivos protegidos simultáneamente por cuenta y una garantía de reembolso de 30 días en la primera compra. Modela tus amenazas una vez, y deja que las capas trabajen por ti todos los días.