Cómo mantener tus cuentas online seguras durante el Mundial

El Mundial de 2026 se celebrará en varias ciudades y atraerá a gente de todo el mundo. Se espera que unos 6,5 millones de aficionados pasen por los estadios, una cantidad que se dispara cuando hablamos de reservas de viajes, búsqueda de entradas de reventa y acceso a la app del Mundial desde las redes wifi de hoteles.

Si vas a reservar vuelos, comprar entradas o iniciar sesión en tus cuentas mientras te desplazas, lo más probable es que estés más expuesto de lo habitual a las estafas. Al final, con todo el jaleo es más posible que uses redes desconocidas y tomes decisiones rápidas, todo eso facilita que pases por alto las señales de alerta de una ciberamenaza.

En esta guía repasamos los riesgos más habituales y las medidas sencillas que puedes tomar para proteger tus cuentas online.

Ciberamenazas más comunes

Los eventos de tal magnitud como un Mundial aumentan la probabilidad de que haya estafas, ya sea debido a la alta demanda, la urgencia o a las multitudes de personas que no conocen bien el entorno. Estas son las estafas más comunes durante el Mundial.

Páginas web falsas de venta de entradas y anuncios especulativos

Las plataformas de reventa suelen vender entradas para el Mundial por miles de dólares, a veces antes de que existan entradas oficiales. Algunas de ellas son ofertas especulativas (el vendedor afirma que conseguirá la entrada más adelante). Otras son estafas sin más.

Por lo tanto, hay que tener presentes algunas reglas al comprar las entradas:

• Las únicas fuentes autorizadas son las plataformas oficiales de venta de entradas.
• Los únicos canales secundarios permitidos son las plataformas oficiales de reventa e intercambio.
• En 2026 no habrá entradas en PDF. Todas las entradas serán digitales y se entregarán a través de la app oficial del Mundial. Si alguien vende un PDF o una entrada impresa, es falsa.
• Las entradas que se adquieran fuera de los canales autorizados pueden cancelarse en cualquier momento y sin previo aviso. Por eso, incluso una entrada “real” comprada en Facebook Marketplace podría quedar anulada antes de llegar al torno.

Más información: Cómo evitar las estafas con entradas para el Mundial

Páginas web falsas de hoteles, vuelos y visados

Si bien las estafas con entradas suelen ser noticias muy sonadas en los medios, también existe un tipo de estafa muy común que es la relacionada con el alojamiento. Los estafadores clonan reservas de viaje, crean fraudes de alojamiento en ciudades con poca disponibilidad o publican anuncios de pago que aparecen en los resultados de búsqueda junto a páginas legítimas.

Estos son los patrones en los que deberías fijarte:

• Precios muy por debajo del mercado. La clave es que están “por debajo” del mercado, no que sean “baratos”.
• Anfitriones que insisten en cobrar fuera de la plataforma: “Escríbeme directamente por WhatsApp y te hago un 20% de descuento”.
• Anuncios recién creados con pocas reseñas o fotos de stock que se pueden encontrar haciendo una búsqueda inversa de imágenes.
• Nombres de dominio con pequeñas faltas de ortografía o variaciones mínimas respecto a los reales.

Algunas páginas web van más allá y aparentan ser páginas de inicio de sesión, en las que se pide a los usuarios que introduzcan su correo electrónico y contraseña. Después, esos datos pueden usarse para la estafa de robo de identidad o el fraude financiero.

Los aficionados que viajen a Estados Unidos también deben estar al tanto de las estafas relacionadas con el Sistema Electrónico de Autorización de Viaje (ESTA). Las páginas web de terceros que se ofrecen a tramitar tu ESTA por un precio no son servicios oficiales del gobierno. Debes solicitarla directamente en esta.cbp.dhs.gov/.

Mensajes de phishing

Cuando ya hayas reservado el viaje o comprado las entradas, puedes convertirte en un objetivo para las técnicas de phishing. Los mensajes de phishing intentan hacerse pasar por comunicaciones de los organizadores del Mundial, aerolíneas, hoteles, bancos o servicios de mensajería para que hagas clic en un enlace.

Algunos de los mensajes más habituales son los siguientes:

• “Tu entrada está en riesgo. Confirma tu cuenta en un plazo de 24 horas”.
• “Cambio de itinerario: revisa tu reserva aquí”.
• “Has ganado una entrada para la final”.
• “Tu paquete está retenido en aduana; paga 5€ para liberarlo”.

Si el mensaje intenta crear la sensación de urgencia y contiene un enlace, trátalo como una señal de alerta. Al hacer clic en el enlace, podrías acabar en una página web falsa o instalar malware.

Wi-Fi pública y puntos de acceso falsos

Las redes wifi públicas de aeropuertos, hoteles y estadios suelen ser seguras para un uso muy puntual y básico. En muchos casos, el verdadero riesgo no es la red oficial, sino una falsa con un nombre parecido.

Por ejemplo, en el aeropuerto podrías ver dos redes: Airport_Free y Airport_Free_WiFi. Una es real, mientras que la otra está controlada por un atacante. A este método se le conoce como ataque de gemelo malicioso. Si el usuario se conecta a la red falsa, el atacante podría monitorizar el tráfico no cifrado o redirigirlo a páginas web falsas.

Incluso cuando las redes son legítimas, las usan varios usuarios distintos al mismo tiempo. En redes mal protegidas, esto puede aumentar el riesgo de interceptación o espionaje.

Más información: Guía completa de seguridad en la red wifi durante el Mundial

Códigos QR peligrosos

Los códigos QR están por todas partes, por lo que se pueden usar con fines muy distintos de los originales. En el llamado phishing con códigos QR (o quishing), los atacantes colocan pegatinas sobre los códigos QR reales de los menús de restaurantes, parquímetros o cargadores de vehículos eléctricos. Los visitantes los escanean con el fin de acceder a una página de pago y la sorpresa viene cuando se encuentran con una página web falsa de inicio de sesión o una descarga maliciosa.

Estafas de SIM swapping

Una estafa de SIM swapping ocurre cuando alguien convence a un proveedor móvil para que transfiera tu número a una SIM o eSIM que controla. Una vez que tiene el número, puede recibir las contraseñas de un solo uso por SMS (OTP) o los códigos de recuperación de cuentas.

Antes de viajar al Mundial

Una parte muy importante de tu seguridad se define en este punto. Un poco de preparación puede marcar una gran diferencia.

Usa contraseñas seguras y únicas

Si reutilizas contraseñas en varias páginas, basta con que se filtre una vez para dar acceso a todas esas cuentas. Usa contraseñas seguras y únicas para cada una de tus cuentas online. Intenta que tengan al menos 12 caracteres, con una combinación de letras, números y símbolos o usa una frase de contraseña: una cadena de palabras no relacionadas, pero que tú puedas recordar, como morado-piano-rábano-acantilado.

Un gestor de contraseñas como ExpressKeys puede generarlas y guardarlas para cada cuenta, además de rellenarlas automáticamente para que no tengas que escribir nada. Dedica algo de tiempo a añadir tus inicios de sesión de correo electrónico, banca, app del Mundial, aerolíneas y hoteles, y deja que genere contraseñas nuevas para las que hayas reutilizado.

Activa la autenticación de dos factores

Activa la autenticación de dos factores (2FA) en cuentas importantes como banca online, correo electrónico y redes sociales. Esto añade un segundo paso de verificación, que impide que los atacantes accedan a las cuentas, aunque tengan la contraseña.

La 2FA basada en SMS es mejor que no usar nada, pero las apps de autenticación o las llaves de hardware son la opción más segura y no se necesita conexión móvil para recibir un código. Si solo vas a activarla en una cuenta, hazlo para proteger tu correo electrónico. El correo electrónico es la llave maestra: cualquiera que tenga acceso a él puede pulsar en “he olvidado mi contraseña” en todos los demás servicios y obtener una contraseña nueva.

Consejo: ExpressKeys puede generar códigos 2FA para que tengas tus contraseñas y códigos de autenticación en un mismo lugar.

Actualiza tu móvil, navegador y apps

Antes de irte de viaje es recomendable instalar las actualizaciones pendientes. Las actualizaciones corrigen vulnerabilidades de seguridad conocidas que los atacantes aprovechan para acceder a tu dispositivo. Cuando estés en el extranjero usando la red wifi del hotel no te apetecerá descargar una actualización de iOS de 2 GB a través de una conexión en la que no confías.

Siempre que sea posible, activa las actualizaciones automáticas para que los parches de seguridad se instalen en cuanto se publiquen.

Instala herramientas de seguridad

Instala y configura herramientas de seguridad como un antivirus y una red privada virtual (VPN) en tu dispositivo. Un antivirus analiza tu dispositivo, incluidas las descargas, para detectar archivos y apps maliciosos.

Una VPN de confianza como ExpressVPN resulta útil porque cifra tu tráfico de Internet, lo cual te protege frente a interceptaciones en redes no fiables. También oculta tu dirección IP, algo que reduce el riesgo de seguimiento y de algunas estafas basadas en la ubicación. Sin embargo, no evita el phishing ni las páginas web falsas, aunque algunas VPN ofrecen protección adicional frente a páginas web maliciosas. Por ejemplo, Threat Manager de ExpressVPN impide que las apps y las páginas web se conecten a dominios maliciosos conocidos, lo cual reduce tu exposición a estafas y rastreadores.

Revisa las apps y los permisos

Antes de viajar, elimina las apps que ya no uses. Esto reduce la cantidad de datos almacenados en tu dispositivo y limita accesos innecesarios.

En las apps que conserves, revisa los permisos en los ajustes del dispositivo. Algunos accesos son necesarios para que funcionen, como el acceso a la cámara para escanear entradas. Otros, como contactos o ubicación, quizá no hagan falta.

Cuando descargues las apps que necesites para el Mundial, hazlo desde tiendas de apps o páginas web oficiales, no desde enlaces que vengan de correos electrónicos. Después de instalarlas, revisa y limita los permisos a lo necesario.

Haz una copia de seguridad de tus datos

Antes de iniciar tu viaje, haz una copia de seguridad de los archivos importantes, como contactos, documentos de viaje, documentos de identidad, confirmaciones de reserva y correos electrónicos. Si pierdes el móvil o te lo roban, esto puede marcar la diferencia entre pasar una mala tarde y que se te arruine el viaje.

También debes activar las funciones de seguimiento o búsqueda del dispositivo:

• iPhone: Ajustes > [your name] > Buscar > activar Buscar mi iPhone > activar la Red de Buscar y Enviar última ubicación.
• Android: Ajustes > Seguridad y privacidad > Encontrar mi dispositivo > activar.

Activa límites y alertas de transacciones

Establece límites diarios y por transacción en tus tarjetas. Esto te ayuda a controlar los gastos y también es lo que podría limitar el daño económico si se te pierde una tarjeta o te la roban.

Activa también las alertas de transacciones en tus apps bancarias. Esto puede ayudar a identificar actividad no autorizada si una cuenta se ve comprometida durante un viaje al Mundial.

Durante el Mundial

Ya has hecho la preparación, ahora toca adoptar algunos hábitos diarios para mantener seguras tus cuentas.

Usa solo apps y páginas web oficiales

¿Vas a revender, intercambiar o transferir una entrada a un amigo? Todo se hace a través de la app oficial. Si alguien te dice que te va a hacer una “transferencia instantánea” de una entrada mediante capturas de pantalla, WhatsApp o cualquier otro método fuera de la app oficial de venta de entradas, huye.

Guarda en marcadores todas las páginas web oficiales de entradas, reservas de viaje y pagos para no depender de los resultados de los buscadores, ya que aquí pueden aparecer páginas web falsas.

Comprueba la URL completa antes de escribir una contraseña. Fíjate en letras de más o dominios poco habituales (la parte final). El icono del candado en la barra del navegador significa que la conexión está cifrada, no significa que la página web sea real.

También debes tener cuidado con los enlaces y códigos QR. Si recibes un mensaje “urgente” de tu aerolínea, hotel o banco, compruébalo en la app o abre la página web en un navegador. Si ves un código QR público que parece rayado, superpuesto o pegado encima de otro, revisa la vista previa de la URL antes de usarlo.

Bloquea tus apps de mensajería

Configura un PIN, una contraseña o un bloqueo biométrico en todas tus apps de redes sociales y correo electrónico. Después, comprueba qué es lo que muestra la pantalla bloqueada cuando llega una notificación. Muchos móviles muestran el contenido de los mensajes por defecto y, en un estadio, tren o fan zone con mucha gente, eso puede exponerte al shoulder surfing, que es cuando alguien lee información privada, como un código de acceso o PIN cuando aparece en tu pantalla bloqueada. Cambia el ajuste a “mostrar notificaciones sin vista previa”.

Comprueba las sesiones activas y los dispositivos vinculados

Apps como Telegram, WhatsApp y LinkedIn permiten que los usuarios mantengan la sesión iniciada en varios dispositivos a la vez. Aunque es cómodo, esto significa que, si te roban un dispositivo, un atacante podría aprovechar esas sesiones activas para acceder a las cuentas.

Abre cada app, busca la lista de dispositivos vinculados y elimina todo lo que no reconozcas. Si pides prestado un dispositivo, cierra sesión en todas las aplicaciones antes de devolverlo.

Las estafas durante eventos de gran repercusión como el Mundial suelen dirigirse a los aficionados. Por ejemplo, un atacante puede enviar un enlace a un “grupo de debate del Mundial en Telegram”. La página pide al usuario que escanee un código QR para unirse al grupo, pero en realidad el código inicia la sesión del atacante en la cuenta desde otro dispositivo.

Desactiva las descargas automáticas

Desactiva las descargas automáticas en las apps de mensajería. Así evitarás que se guarden archivos en tu dispositivo sin que los revises.

Los atacantes suelen distribuir archivos no deseados o potencialmente maliciosos disfrazados de ofertas de entradas, promociones o sorteos. Por lo tanto, revisar los archivos antes de abrirlos puede reducir este riesgo.

Qué hacer si algo sale mal

Ahora ya sabes cómo proteger tus apps de mensajería, correo electrónico, banca y pagos durante el Mundial. No obstante, no hay nada infalible. Así que, si algo sale mal, aquí tienes algunos consejos sobre cómo actuar.

Si pierdes el móvil o te lo roban

Desde otro dispositivo, inicia sesión en Encontrar mi dispositivo de Google o en Buscar de Apple para localizarlo (si está conectado) o ver su última ubicación conocida. Luego, activa Marcar como perdido (Android) o Modo perdido (iOS) para bloquear el dispositivo, mostrar un mensaje de contacto para su devolución y desactivar Apple Pay y Google Pay.

Como último recurso, puedes borrar tu dispositivo de forma remota. Lo malo es que después ya no podrás rastrearlo.

Presenta una denuncia ante la policía local. Los seguros de viaje (y la mayoría de protecciones de compra de las tarjetas de crédito) suelen pedir el número de denuncia.

Si crees que una cuenta ha sido hackeada

Si sospechas que tu cuenta ha sido hackeada:

• Desde otro dispositivo, cambia la contraseña.
• Cierra sesión en todas las sesiones activas.
• Activa la 2FA en las cuentas afectadas. Si ya estaba activada, comprueba que sigue activa y que no se haya cambiado el teléfono ni el correo electrónico de recuperación.
• Realiza un análisis de seguridad en tu dispositivo si hiciste clic en un enlace sospechoso o descargaste un archivo.
• Revisa la actividad reciente para detectar acciones no autorizadas.
• Avisa a tus contactos si se enviaron mensajes o enlaces desde tu cuenta sin que lo supieras.

Si hay dinero en riesgo

Si recibes una alerta de una transacción de algo que no reconoces, comunícalo de inmediato.

• Llama a tu banco para bloquear la tarjeta.
• Reclama formalmente el cargo. Intenta llamar el mismo día para limitar las pérdidas.
• Documenta todo: capturas de pantalla, ID de transacciones, fechas y horas.
• Presenta una denuncia por fraude ante el organismo correspondiente:
  • Estados Unidos: https://reportfraud.ftc.gov/, además de https://www.ic3.gov/ para fraudes específicamente cibernéticos.
  • Canadá: Canadian Anti-Fraud Centre (https://antifraudcentre.ca/) y Competition Bureau.
  • México: Procuraduría Federal del Consumidor (PROFECO).
• Si es probable que tu identidad haya quedado expuesta (pasaporte, permiso de conducir o número completo de la Seguridad Social), quizá puedas solicitar una congelación de crédito para impedir que se abran nuevas cuentas a tu nombre.

Preguntas frecuentes: dudas habituales sobre cómo mantener tus cuentas online seguras durante el Mundial