Perder un portátil parece perder un objeto. Calcula lo que cuesta reponerlo, se queja de la franquicia del seguro y pasa página. Pero el hardware suele ser lo más barato de la mochila. La verdadera pregunta es qué puede leer la persona que lo tiene en las manos, y para la mayoría de los portátiles la respuesta sincera es todo.
Esto es lo que realmente pasa con sus datos cuando un portátil desaparece, y la única configuración que decide si algo de eso importa.
Su contraseña de inicio de sesión es una puerta, no una caja fuerte
Este es el malentendido que más daño hace.
Una contraseña de inicio de sesión de Windows o macOS decide quién puede iniciar sesión en el sistema operativo en ejecución. No hace nada a los bytes del disco. Si el disco no está cifrado, un ladrón tiene dos formas triviales de saltársela:
- Extraer el disco. Los portátiles modernos lo ponen más difícil, pero donde el almacenamiento es extraíble, puede conectarse a otro ordenador como disco externo. El otro ordenador no tiene ni idea de que su contraseña existe. Solo ve archivos.
- Arrancar desde otra cosa. Inicie la máquina desde un instalador USB o una memoria con Linux en vivo y estará explorando el disco interno sin una sola pantalla de inicio de sesión a la vista.
Ninguna requiere habilidades especiales. Ambas son guías paso a paso en internet. Una contraseña de inicio de sesión detiene a su compañero de piso; no detiene a alguien que tiene la máquina sobre una mesa, con un destornillador y una tarde por delante.
Lo que realmente pueden leer
Suponga que el disco no está cifrado. Este es el inventario realista de un portátil de trabajo normal:
- Su carpeta de documentos: declaraciones de impuestos, nóminas, contratos, escaneos de su pasaporte y su permiso de conducir. Los archivos que la mayoría de la gente nunca debería guardar sin cifrar están, estadísticamente, justo ahí.
- Sus fotos, incluidas las que movió a una carpeta «oculta» o con un nombre raro, que no está oculta en ningún sentido real. Una casilla en el gestor de archivos las revela.
- Su perfil del navegador: contraseñas guardadas, direcciones y datos de tarjeta de autocompletado, cookies y los tokens de sesión que pueden mantener a alguien con la sesión iniciada en sus cuentas sin necesitar nunca la contraseña.
- Sus carpetas sincronizadas en la nube: las copias locales de Dropbox, OneDrive, Google Drive e iCloud Drive están en el disco en forma legible, y las aplicaciones de escritorio suelen seguir con la sesión iniciada.
- Sus mensajes: las aplicaciones de chat de escritorio guardan el historial localmente. Años de conversaciones, con búsqueda.
Esos dos últimos son el aguijón. La gente piensa que un portátil robado significa perder lo que había en el portátil. En la práctica, a menudo es un juego de llaves de cuentas que viven en otro sitio completamente distinto.
«Pero puedo borrarlo a distancia»
Puede intentarlo, y debería. Buscar en macOS y Buscar mi dispositivo en Windows pueden marcar una máquina para borrarla.
El problema es que una orden de borrado no es una varita mágica. Queda en cola y se ejecuta cuando el portátil se vuelve a conectar a internet. Un ladrón que mantiene la tapa cerrada, o que borra y reinstala antes de que se conecte a una red, nunca recibe el mensaje. Alguien que solo quiere el disco ni siquiera necesita encender el portátil.
Trate el borrado remoto como un billete de lotería que se alegra de tener. No lo trate como su estrategia de protección de datos.
La configuración que realmente lo decide: el cifrado de disco completo
La buena noticia: hay una configuración que cambia todo el resultado, y está integrada en el sistema operativo que ya tiene.
- macOS: FileVault. Ajustes del Sistema → Privacidad y seguridad → FileVault.
- Windows: BitLocker / Cifrado de dispositivo. Configuración → Privacidad y seguridad → Cifrado de dispositivo, o Cifrado de unidad BitLocker en las ediciones que lo ofrecen.
Con el cifrado de disco completo activado, todo el disco es ilegible sin sus credenciales. Sáquelo, conéctelo en otro sitio, arranque desde un USB: no cambia nada, porque no hay nada legible que leer. El ladrón tiene hardware. Es todo lo que tiene.
Dos salvedades que conviene conocer:
- No siempre está activado. Que el cifrado venga activado de fábrica depende de la versión del sistema operativo, la edición, el hardware y cómo se configuró la máquina. No lo suponga: abra el ajuste y compruébelo.
- Protege los datos en reposo. El cifrado de disco completo hace su trabajo cuando la máquina está apagada. Si le arrebatan el portátil de la mesa de una cafetería mientras está encendido y con la sesión iniciada, el disco ya está desbloqueado. Y todo lo que contiene, también.
Esa segunda salvedad es el hueco por el que se cuelan muchos robos. Los portátiles rara vez se roban de un cajón cerrado a las tres de la madrugada. Se roban abiertos, en una mesa, a mitad de una frase.
El segundo bloqueo: cifre los archivos que importan
El cifrado de disco completo es el suelo, no el techo. Es una cerradura, en el exterior del edificio, y está abierta todo el tiempo que usa la máquina.
La solución es un segundo bloqueo, independiente, alrededor del pequeño conjunto de archivos cuya pérdida de verdad dolería: documentos de identidad, registros financieros, fotos privadas, material de clientes, cualquier cosa legal o médica. Esos archivos deberían cifrarse individualmente, tras su propia credencial, para que sigan siendo ilegibles incluso cuando el ordenador está desbloqueado y en marcha.
Este es el principio detrás de almacenar correctamente los archivos sensibles en Windows y Mac: la minoría sensible recibe un trato más fuerte que la mayoría cotidiana.
Dónde encaja Vaultine
Vaultine es ese segundo bloqueo.
- Su propia credencial, no el inicio de sesión del sistema. La bóveda sigue bloqueada tras su patrón o PIN. Iniciar sesión en el portátil no la abre, así que una máquina robada completamente despierta sigue sin entregar la bóveda.
- Cada archivo cifrado individualmente. Cada archivo recibe su propia clave AES-256. La clave se deriva de su propio patrón o PIN y nunca sale de su dispositivo.
- Ninguna cuenta que secuestrar. No hay registro ni correo electrónico, así que no hay un inicio de sesión suyo que alguien pueda secuestrar, ni una copia de sus archivos en nuestros servidores que se pueda vulnerar o requerir judicialmente.
- La copia en la nube también es texto cifrado. Su bóveda vive en su dispositivo por defecto. Si decide sincronizar a través de su propio Dropbox, solo sube datos cifrados, así que un portátil robado que sigue con la sesión de Dropbox iniciada tampoco expone la bóveda.
- La misma bóveda en sus otros dispositivos. Windows, macOS, Android e iPhone. Si el portátil ha desaparecido, los archivos no.
Y si que le obliguen a abrirla forma parte de su modelo de amenazas, un Decoy Vault abre una bóveda distinta, de aspecto corriente, con otro PIN, mientras que un Duress Vault abre una vacía y borra el contenido real.
Su lista de verificación de 20 minutos
Hágalo antes de necesitarlo, no después:
- Active el cifrado de disco completo. FileVault en macOS, BitLocker o Cifrado de dispositivo en Windows. Guarde la clave de recuperación en algún sitio que no sea el portátil.
- Haga que la pantalla se bloquee rápido. De uno a cinco minutos de inactividad, y exija la contraseña de inmediato. Esto es lo que reduce la ventana del «robado mientras estaba encendido».
- Deje de confiar sus contraseñas al navegador. Páselas a un gestor de contraseñas dedicado con su propio bloqueo.
- Active Buscar / Buscar mi dispositivo. El billete de lotería es gratis.
- Cifre los archivos que de verdad dolerían. Documentos de identidad, registros financieros, fotos privadas, trabajo de clientes: a una bóveda con su propia credencial.
- Compruebe que su copia de seguridad es real. El cifrado protege sus datos de ellos. Una copia de seguridad los protege de la pérdida. Quiere las dos cosas.
Si ya ha desaparecido
Siga este orden, porque el primer punto desbloquea todos los demás:
- Cambie la contraseña de su correo electrónico principal y cierre todas las sesiones. El correo es la vía de restablecimiento de todas las demás cuentas que tiene.
- Cambie las contraseñas del almacenamiento en la nube, del banco y de todo lo guardado en el navegador. En algunos servicios los tokens de sesión sobreviven a un cambio de contraseña, así que cierre también la sesión en todas partes.
- Desvincule el dispositivo de su almacenamiento en la nube y de su gestor de contraseñas para que la copia sincronizada deje de actualizarse.
- Active el borrado remoto. Puede que funcione. No cuesta nada intentarlo.
- Presente una denuncia policial. Necesitará la referencia para el seguro y para cualquier proveedor de cuentas al que tenga que explicárselo.
- Active el cifrado en la máquina de reemplazo desde el primer día, antes de copiar sus archivos.
En resumen
Un portátil robado solo es un problema de hardware si los datos que contenía eran ilegibles. Si no, es un problema de identidad, un problema financiero y un problema de privacidad disfrazados de problema de hardware.
El cifrado de disco completo es la configuración de mayor valor de su máquina, y activarla lleva unos dos minutos. Después, ponga un segundo bloqueo alrededor de los archivos que odiaría que abriera un desconocido, porque el momento que importa es aquel en que el portátil ya estaba desbloqueado.
Empiece por los archivos que más dolerían: Vaultine cifra sus primeros archivos gratis.
