Qué pasa con sus datos cuando le roban su portátil

Cada año se roban millones de portátiles, y la mayoría de las personas que pierden uno nunca piensan en la seguridad de datos hasta que ya es demasiado tarde. El primer pensamiento suele ser sobre el costo del hardware. El segundo, unos minutos después, es el pánico por lo que había dentro.

La verdad es que perder el portátil en sí es la parte barata. Lo que importa es si los datos que contiene eran legibles.

Su contraseña de inicio de sesión no es una cerradura

La mayoría de las personas suponen que su contraseña de inicio de sesión de Windows o Mac mantiene sus archivos seguros si el portátil es robado. No lo hace. Una contraseña de inicio de sesión evita que alguien se siente y use su sesión; no cifra nada en la unidad. Con acceso físico al hardware, un ladrón tiene al menos dos rutas sencillas alrededor de ella:

• Extraer la unidad. Los portátiles modernos hacen esto más difícil, pero donde el almacenamiento es extraíble, se puede conectar a otra computadora como disco externo. La otra computadora no sabe que su contraseña existe. Simplemente ve archivos.
• Arrancar desde algo más. Inicie la máquina desde un instalador USB o un Linux en vivo y estará navegando por la unidad interna sin que aparezca ningún aviso de inicio de sesión.

Ninguno requiere habilidades especiales. Ambos son guías paso a paso en internet abierto. Una contraseña de inicio de sesión detiene a su compañero de piso; no detiene a alguien que tiene la máquina en un escritorio con un destornillador y una tarde libre.

Lo que realmente pueden leer

Asuma que la unidad no está cifrada. Este es el inventario realista de un portátil de trabajo normal:

• Su carpeta de documentos — declaraciones de impuestos, recibos de sueldo, contratos, escaneos de su pasaporte y licencia de conducir. Los archivos que la mayoría de la gente nunca debería guardar sin cifrar están, estadísticamente, ahí mismo.
• Sus fotos — incluidas las que movió a una carpeta «oculta» o con nombre raro, que no está oculta en ningún sentido significativo. Una casilla de verificación en el gestor de archivos las revela.
• El perfil de su navegador — contraseñas guardadas, direcciones de autocompletar y datos de tarjetas, cookies y los tokens de sesión que pueden mantener a alguien conectado a sus cuentas sin necesitar la contraseña.
• Sus carpetas de nube sincronizadas — las copias locales de Dropbox, OneDrive, Google Drive e iCloud Drive están en el disco en formato legible, y las aplicaciones de escritorio generalmente siguen con sesión iniciada.
• Sus mensajes — las aplicaciones de chat de escritorio guardan historial local. Años de conversación, buscables.

Ese último par es el aguijón. La gente piensa en un portátil robado como perder lo que estaba en el portátil. En la práctica, suele ser un conjunto de llaves a cuentas que viven en otro lugar completamente.

«Pero puedo borrarlo remotamente»

Puede intentarlo, y debería. Find My en macOS y Buscar mi Dispositivo en Windows pueden marcar una máquina para que se borre.

La trampa es que un comando de borrado no es una varita mágica. Se queda en una cola y se ejecuta cuando el portátil se conecte a internet. Un ladrón que mantiene la tapa cerrada, o que formatea y reinstala antes de que se conecte a una red, nunca recibe el mensaje. Alguien que solo quiere la unidad ni siquiera necesita encender el portátil.

Trate el borrado remoto como un billete de lotería que se alegra de tener. No lo trate como su estrategia de protección de datos.

La configuración que realmente decide esto: cifrado de disco completo

Aquí están las buenas noticias. Hay una configuración que cambia todo el resultado, y está integrada en el sistema operativo que ya tiene.

• macOS: FileVault. Configuración del Sistema → Privacidad y Seguridad → FileVault.
• Windows: BitLocker / Cifrado del dispositivo. Configuración → Privacidad y seguridad → Cifrado del dispositivo, o cifrado de unidad BitLocker en las ediciones que lo ofrecen.

Con el cifrado de disco completo activado, toda la unidad es ilegible sin sus credenciales. Extráigala, conéctela en otro lugar, arranque desde un USB — no importa, porque no hay nada legible que leer. El ladrón tiene hardware. Eso es todo lo que tiene.

Dos salvedades que vale la pena conocer:

1. No siempre está activado. Si el cifrado está habilitado de fábrica depende de su versión del sistema operativo, edición, hardware y cómo se configuró la máquina. No asuma — abra la configuración y compruebe.
2. Protege los datos en reposo. El cifrado de disco completo hace su trabajo cuando la máquina está apagada. Si le arrebatan el portátil de una mesa de café mientras está encendido y con sesión iniciada, el disco ya está desbloqueado. Todo lo que hay en él también.

Esa segunda salvedad es la brecha por la que caen muchos robos. Los portátiles rara vez se roban de un cajón cerrado a las 3 de la madrugada. Se roban abiertos, en una mesa, a media frase.

El segundo bloqueo: cifre los archivos que importan

El cifrado de disco completo es el piso, no el techo. Es un candado, en el exterior del edificio, y está abierto todo el tiempo que usa la máquina.

La solución es un segundo bloqueo separado alrededor del pequeño conjunto de archivos que genuinamente dolería perder: documentos de identidad, registros financieros, fotos privadas, material de clientes, cualquier cosa legal o médica. Esos archivos deberían cifrarse individualmente, detrás de su propia credencial, para que permanezcan ilegibles incluso cuando la computadora está desbloqueada y funcionando.

Este es el principio detrás de almacenar archivos sensibles de forma adecuada en Windows y Mac: la minoría sensible recibe un tratamiento más fuerte que la mayoría cotidiana.

Dónde encaja Vaultine

Vaultine es ese segundo bloqueo.

• Su propia credencial, no su inicio de sesión del sistema operativo. La bóveda permanece bloqueada detrás de su patrón o PIN. Iniciar sesión en el portátil no la abre, por lo que una máquina robada completamente despierta aún no entrega la bóveda.
• Cada archivo cifrado individualmente. Cada archivo obtiene su propia clave AES-256. La clave se deriva de su propio patrón o PIN y nunca abandona su dispositivo.
• Sin cuenta que secuestrar. No hay registro ni correo electrónico, por lo que no hay inicio de sesión suyo para que alguien secuestre — y ninguna copia de sus archivos en nuestros servidores para vulnerar o citar legalmente.
• La copia en la nube también es texto cifrado. Su bóveda vive en su dispositivo por defecto. Si elige sincronizar a través de su propio Dropbox, solo suben datos cifrados — por lo que un portátil robado que sigue con sesión iniciada en Dropbox tampoco expone la bóveda.
• La misma bóveda en sus otros dispositivos. Windows, macOS, Android e iPhone. Si el portátil desaparece, los archivos no.

Y si ser obligado a abrirla es parte de su modelo de amenaza, un Decoy Vault abre una bóveda separada con aspecto normal con un PIN diferente, mientras que un Duress Vault abre una vacía y elimina el contenido real.

Su lista de verificación de 20 minutos

Haga esto antes de necesitarlo, no después:

1. Active el cifrado de disco completo. FileVault en macOS, BitLocker o Cifrado del dispositivo en Windows. Guarde la clave de recuperación en algún lugar que no sea el portátil.
2. Configure la pantalla para que se bloquee rápido. De uno a cinco minutos de inactividad, y requerir la contraseña inmediatamente. Esto es lo que reduce la ventana de «robado mientras está encendido».
3. Deje de permitir que el navegador guarde sus contraseñas. Muévalas a un gestor de contraseñas dedicado con su propio bloqueo.
4. Active Find My / Buscar mi Dispositivo. El billete de lotería es gratis.
5. Cifre los archivos que realmente dolerían. Identificaciones, registros financieros, fotos privadas, trabajo de clientes — a una bóveda con su propia credencial.
6. Verifique que su respaldo sea real. El cifrado protege sus datos de ellos. Un respaldo los protege de la pérdida. Quiere ambos.

Si ya se fue

Trabaje en este orden, porque el primer punto desbloquea todos los demás:

1. Cambie la contraseña de su correo electrónico principal y cierre todas las sesiones. El correo electrónico es la ruta de restablecimiento a cada otra cuenta que tiene.
2. Cambie las contraseñas del almacenamiento en la nube, banca y todo lo guardado en el navegador. Los tokens de sesión sobreviven a los cambios de contraseña en algunos servicios, así que cierre sesión en todas partes también.
3. Desvincule el dispositivo de su almacenamiento en la nube y gestor de contraseñas para que la copia sincronizada deje de actualizarse.
4. Active el borrado remoto. Puede que funcione. No cuesta nada intentar.
5. Presente una denuncia policial. Necesitará la referencia para el seguro y para cualquier proveedor de cuentas al que tenga que explicarle esto.
6. Active el cifrado en la máquina de reemplazo el día uno — antes de copiar sus archivos.

En resumen

Un portátil robado solo es un problema de hardware si los datos eran ilegibles. De lo contrario, es un problema de identidad, un problema financiero y un problema de privacidad disfrazados de problema de hardware.

El cifrado de disco completo es la configuración de mayor valor en su máquina, y toma unos dos minutos activarla. Luego ponga un segundo candado alrededor de los archivos que odiaría que un extraño abriera — porque el momento que importa es aquel en que el portátil ya estaba desbloqueado.

Comience con los archivos que más dolerían — Vaultine cifra sus primeros archivos gratis.