Cómo activar la protección contra suplantación en Google y evitar el phishing

Proteger tu cuenta de Google ya no es opcional: es una auténtica necesidad. Cada vez que inicias sesión, concedes permisos a una app o haces clic en un enlace raro del correo, estás abriendo una pequeña puerta a tu información personal. Por suerte, Google ha ido sumando varias capas de seguridad para frenar suplantaciones de identidad, robos de contraseñas y descargas maliciosas antes de que sea demasiado tarde.

En este artículo vas a ver, de forma ordenada y con todos los detalles, cómo funcionan y cómo se activan las distintas protecciones de Google contra el phishing y la suplantación: desde la navegación segura con protección mejorada en Chrome y Gmail, pasando por la extensión Alerta de protección de contraseña para empresas, hasta el programa de Protección Avanzada con llaves de seguridad. Todo explicado en español de España, sin rodeos y con ejemplos prácticos.

Por qué es tan importante activar la protección contra suplantación en Google

Cuando te registras en un servicio nuevo o instalas una app, es muy habitual que te pida acceso a tu cuenta de Google: contactos, ubicación, archivos de Drive, etc. Aunque Google incluye de serie muchas defensas (como comprobar a diario más de mil millones de contraseñas guardadas para detectar filtraciones), los atacantes se las ingenian para parecer de confianza y colarse igualmente.

El problema central es la suplantación de identidad o phishing: un correo que imita al banco, un SMS que parece de una empresa de mensajería o una web casi calcada a la de accounts.google.com. Basta con que escribas tu contraseña donde no toca para que pierdas el control de tu cuenta. Por eso Google ha desarrollado herramientas específicas para limitar qué apps tienen acceso, avisarte cuando introduces tu contraseña en sitios falsos y analizar en tiempo real enlaces, descargas y extensiones.

Todo esto no sustituye al sentido común (no pinchar en cualquier enlace que te llegue “porque sí”), pero sí marca la diferencia entre caer o no caer en una estafa y aprender a evitar estafas de phishing. Activar estas protecciones añade varias capas extra que dificultan la vida a los ciberdelincuentes y reducen al mínimo el margen de error cuando, por prisas o despiste, haces clic donde no deberías.

Protección Avanzada de Google: blindar al máximo tu cuenta

La llamada Protección Avanzada de Google está pensada para usuarios con un perfil especialmente sensible: periodistas, activistas, directivos, personas con alto riesgo de ataques dirigidos, etc. Aun así, cualquier usuario que quiera un nivel de seguridad muy alto puede inscribirse en este programa y endurecer de forma notable la protección de su cuenta.

Con esta función activada, solo las aplicaciones de Google y un conjunto limitado de apps de terceros verificadas pueden acceder a los datos de tu cuenta, y siempre con tu permiso explícito. Esto reduce drásticamente la superficie de ataque, ya que bloquea el acceso de herramientas desconocidas que podrían intentar usar tus credenciales o tus datos sin que te des cuenta.

Para usar la Protección Avanzada en una cuenta gestionada por dominio (por ejemplo, en una organización que verifique la cuenta por correo corporativo), es necesario confirmar que eres el propietario del dominio. De este modo, se evita que alguien active esta capa de seguridad sobre una cuenta que realmente no controla, complicando luego su recuperación o gestión.

Uno de los pilares de este programa es el uso de llaves de seguridad o llaves de acceso. En lugar de depender solo de usuario y contraseña, tu cuenta quedará protegida por dispositivos físicos o mecanismos de autenticación robustos que tendrás que usar cada vez que inicies sesión en un dispositivo nuevo.

Si te interesa esta opción, conviene planificar bien: elegir llaves compatibles con tus dispositivos (Android, iPhone, iPad, ordenadores), guardar una llave de respaldo en un lugar seguro, y tener siempre configurados un número de teléfono y un correo de recuperación. Si pierdes todo eso, Google exigirá verificaciones adicionales antes de devolverte el acceso, precisamente para evitar que un atacante se haga con tu cuenta alegando haber perdido las llaves.

Alerta de protección de contraseña para empresas y Google Workspace

En entornos corporativos, la cosa se complica: no basta con que cada empleado tenga cuidado; la organización debe ser proactiva. Para ello, Google ofrece la extensión de Chrome Alerta de Protección de Contraseña, pensada para dominios de Google Cloud y Google Workspace. Su función es muy clara: detectar si los usuarios introducen la contraseña de Google en sitios que no son la página oficial de inicio de sesión, es decir, fuera de accounts.google.com.

Esta extensión puede desplegarse de forma centralizada por el administrador del dominio, de manera que todos los usuarios de la organización la tengan activada sin tener que hacer nada. Además, complementa su funcionamiento estándar con un servidor opcional de Alerta de Protección de Contraseña, que añade opciones avanzadas de auditoría y respuesta.

Con el servidor desplegado, la organización puede registrar y auditar las alertas, enviar notificaciones por correo cuando alguien introduce su contraseña en una web sospechosa y, si lo considera necesario, forzar el cambio de la contraseña de Google del usuario afectado. De esta forma se corta rápidamente el posible uso fraudulento de esas credenciales robadas.

Conviene tener en cuenta que esta extensión es un proyecto de software libre, pensado para organizaciones que gestionan Google Workspace por su cuenta. Google Workspace Support no ofrece asistencia directa para problemas específicos con la extensión o el servidor. Si surgen incidencias, la vía de ayuda recomendada es la comunidad de Google Workspace o el propio repositorio del proyecto.

Requisitos técnicos para desplegar la Alerta de Protección de Contraseña

Antes de implementar esta solución en un dominio corporativo, hay una serie de requisitos técnicos que el administrador debe cumplir. En primer lugar, es necesario contar con Google Workspace y la gestión de aplicaciones de Chrome, así como con acceso al SDK de administrador de Google para aplicar políticas y, en su caso, forzar el cambio de contraseñas comprometidas.

Además, el servidor de Alerta de Protección de Contraseña se aloja en Google App Engine, por lo que hay que saber cómo desplegar y gestionar aplicaciones en esta plataforma. El administrador tendrá que obtener desde GitHub los archivos de la aplicación del servidor, revisar el código si lo desea y configurar el despliegue en App Engine siguiendo la guía de implementación.

Otro requisito clave es el acceso a Chrome Web Store, ya que la extensión se distribuye a través de esta tienda. Desde la consola de administración de Google, se pueden aplicar políticas para que la extensión se instale automáticamente en los navegadores Chrome de los usuarios del dominio.

Respecto a los usuarios finales, la extensión arranca en cuanto estos inician sesión en su cuenta de Google Cloud dentro de Chrome, siempre que el navegador esté autenticado. Si la empresa quiere que funcione incluso sin que el usuario haya iniciado sesión en Chrome, puede configurarse una clave precompartida y desplegar la extensión junto a una plantilla de políticas en los dispositivos gestionados.

Por último, es importante recordar que los usuarios deben volver a iniciar sesión periódicamente en accounts.google.com para inicializar la extensión y mantenerla activa. Por defecto, se les solicitará el inicio de sesión cada dos semanas, aunque el administrador puede ajustar estas opciones para reforzar la seguridad.

Navegación segura mejorada: el escudo contra phishing y malware

Más allá del entorno empresarial, Google ofrece a cualquier usuario la opción de activar la Navegación segura con protección mejorada, una función que trabaja en segundo plano para detectar y bloquear páginas peligrosas, descargas sospechosas y extensiones maliciosas, tanto en Chrome como en Gmail.

A diferencia de la protección estándar, que se basa principalmente en una lista de URLs peligrosas que se almacena y actualiza en tu dispositivo, la protección mejorada realiza comprobaciones en tiempo real. Esto significa que, cuando visitas un sitio que no está en la lista local, Chrome consulta directamente a los servidores de Google para evaluar si la web representa un riesgo.

Esta diferencia es clave en un escenario donde los atacantes crean constantemente nuevas páginas para intentar engañar a los usuarios. Con comprobaciones en tiempo real, la información sobre sitios maliciosos está mucho más actualizada, reduciendo el margen de tiempo durante el cual una web de phishing recién creada podría funcionar sin ser detectada.

Google combina esta capacidad con funciones adicionales, como el uso de inteligencia artificial y aprendizaje automático para identificar patrones sospechosos, análisis profundo de archivos descargados y una protección reforzada frente a extensiones de Chrome que no cumplen ciertos criterios de confianza.

El resultado es que, al activar la protección mejorada, el navegador y los servicios de Google pueden avisarte con más antelación de intentos de phishing, malware y otros tipos de software malicioso, o incluso bloquear automáticamente el acceso a esos recursos en los casos más graves.

Qué datos analiza Navegación segura mejorada y cómo los usa Google

Para poder darte este nivel de protección, Navegación segura mejorada analiza una serie de elementos de tu actividad en línea. Entre ellos se incluyen URLs que visitas, archivos que descargas, extensiones que instalas, información del sistema y una pequeña muestra de páginas que se cargan en tu navegador.

Cuando tienes la sesión iniciada en tu cuenta de Google, esta información se asocia temporalmente a tu cuenta, lo que permite ampliar la protección a otros servicios, como Gmail, Google Drive u otras aplicaciones de la compañía que utilicen enlaces y archivos potencialmente peligrosos.

Google utiliza estos datos para hacer comprobaciones de seguridad en tiempo real: avisarte si vas a entrar en una web sospechosa, bloquear descargas que puedan incluir malware o advertirte si una extensión intenta realizar acciones poco transparentes. A la vez, esta información sirve para mejorar los sistemas de detección de ataques para todos los usuarios, reforzando la capacidad de detectar nuevas amenazas antes de que se extiendan.

Otra funcionalidad relevante es la protección adicional frente a enlaces peligrosos dentro de las aplicaciones de Google. Por ejemplo, si recibes un correo con un enlace de phishing muy bien camuflado, Navegación segura mejorada puede analizarlo y marcarlo como peligroso, evitando que hagas clic sin querer en algo que te llevaría a una web falsa de tu banco, de una empresa de mensajería o de cualquier servicio conocido.

Es importante tener presente que, aunque la configuración de protección mejorada proporciona una defensa más fuerte, también implica que Google reciba más información sobre tu navegación, que posteriormente se anonimiza tras un tiempo. Es una decisión de equilibrio entre privacidad y seguridad que cada usuario debe valorar.

Cómo activar Navegación segura mejorada en tu cuenta de Google

La opción de Navegación segura mejorada puede activarse a nivel de cuenta, de modo que la protección se aplique allá donde uses tu sesión de Google, especialmente en Chrome y Gmail. El proceso es sencillo y se puede hacer desde la configuración general de tu cuenta.

Para ello, accede a tu Cuenta de Google y entra en el apartado de Seguridad e inicio de sesión. Dentro de ese menú, busca la sección “Navegación segura mejorada para tu cuenta”. Desde ahí podrás gestionar el ajuste y decidir si la quieres activar o no.

Cuando enciendes esta opción, se activa igualmente la protección mejorada en Chrome asociada a tu cuenta (siempre que estés usando el navegador con esa sesión iniciada). Es decir, no solo se protege tu navegación en el ordenador donde la activas, sino que la configuración se extiende a otros dispositivos donde uses tu misma cuenta.

Ten en cuenta que, si desactivas la protección mejorada en la cuenta, el cambio puede tardar hasta 24 horas en aplicarse por completo. Durante ese tiempo, parte de la protección seguirá operativa. Incluso con esta opción apagada, el sistema de Navegación segura estándar continuará bloqueando webs, descargas y extensiones conocidas como peligrosas.

En muchos casos, Google muestra accesos directos o avisos dentro de Gmail o de Chrome para llevarte directamente al panel donde activar la protección mejorada. Si en su momento pulsaste en “No, gracias” por inercia, siempre puedes volver más tarde y activar el ajuste desde la configuración de la cuenta.

Activar la protección mejorada desde Chrome (PC y móvil)

Si prefieres activar la protección mejorada directamente desde el navegador Chrome, puedes hacerlo con un atajo muy cómodo. Basta con escribir en la barra de direcciones el comando chrome://settings/security y pulsar Intro. Esto te llevará de forma directa a la sección de seguridad de Chrome.

Dentro de esa sección verás varias opciones de Navegación segura: sin protección (no recomendable), protección estándar y protección mejorada. Selecciona esta última para activar el análisis en tiempo real de sitios, descargas y extensiones. Al hacerlo, Chrome te mostrará un listado de beneficios y diferencias respecto al modo estándar, como el uso de IA o el análisis reforzado de archivos.

Si utilizas un dispositivo móvil, el proceso es muy parecido. Abre la app de Chrome, toca el icono de los tres puntos, entra en “Configuración” y luego en el apartado de Privacidad y seguridad. Allí encontrarás la opción “Navegación segura”, donde podrás elegir entre los diferentes niveles, incluida la protección mejorada.

Una vez activado en uno de tus dispositivos, este ajuste funciona ligado a tu cuenta, no solo al aparato en cuestión. Por tanto, si te conectas con la misma cuenta en otros móviles, tablets u ordenadores, disfrutarás también de esa capa extra de seguridad mientras tengas la sesión iniciada.

En el día a día, apenas notarás cambios más allá de las advertencias cuando intentes entrar en una web sospechosa, descargar algo raro o instalar una extensión potencialmente peligrosa. Es un “guardaespaldas digital” que está siempre de fondo, sin molestarte, pero que salta cuando ve algo que huele mal.

Navegación segura mejorada aplicada a Gmail

Google ha empezado a promocionar la Navegación segura mejorada directamente desde Gmail. Es posible que en los últimos tiempos hayas visto un aviso al entrar a tu correo, ya sea desde el navegador o desde la app del móvil, invitándote a fortalecer la protección contra webs, descargas y extensiones peligrosas.

Si en su momento aceptaste y pulsaste el botón para activarla, ya tienes tu cuenta de Gmail protegida por esta capa extra. En caso contrario, o si rechazaste el aviso por costumbre, todavía puedes activarla manualmente desde la configuración de “Navegación segura con protección mejorada”, como se ha explicado antes.

Esta protección en Gmail no solo escanea adjuntos, algo que la mayoría de antivirus ya hace, sino que presta una atención especial a los enlaces dentro del correo electrónico. Esa es justo una de las puertas de entrada más comunes de las estafas: correos que imitan a bancos, empresas de mensajería o plataformas de pago.

Gracias al análisis de URLs y al cruce de información en tiempo real, el sistema puede marcar como peligrosos muchos de esos enlaces aunque la web de destino lleve poco tiempo activa. Si detecta que la página de destino es una imitación fraudulenta o distribuye malware, puede llegar a bloquear el acceso, evitando que entres en ella por error.

Combinada con la verificación en dos pasos y con contraseñas robustas, la protección mejorada en Gmail convierte a tu cuenta en un objetivo mucho más difícil de explotar, tanto para ataques masivos de phishing como para intentos de robo de identidad más específicos.

Protección adicional frente a extensiones, descargas y webs maliciosas

Una parte importante de los ataques actuales no llega solo por correo o por SMS, sino también a través de extensiones de navegador, descargas directas y webs que explotan fallos del sistema. La protección mejorada de Chrome intenta cortar estos vectores antes de que te den problemas.

Cuando intentas instalar una extensión que no cumple ciertos requisitos de seguridad o que puede ser potencialmente dañina, Chrome te muestra una advertencia. En algunos casos, si la amenaza es clara, directamente impide la instalación. Esto es especialmente útil para usuarios con menos conocimientos técnicos, que pueden fiarse más de una advertencia automática que de un análisis manual.

En el caso de las descargas, el navegador escanea los archivos tanto en Chrome como en Gmail. Si el archivo tiene comportamiento sospechoso, se parece a muestras de malware conocidas o está alojado en servidores de poca confianza, la protección mejorada puede bloquearlo o marcarlo como peligroso, recomendando no abrirlo.

En cuanto a las webs maliciosas, el sistema aprovecha las comprobaciones en tiempo real para detectar sitios que simulan ser servicios conocidos, que intentan engañarte con formularios falsos o que alojan contenido malicioso. Incluso cuando la apariencia sea prácticamente idéntica a la de una web legítima, la combinación de listas actualizadas, IA y análisis de comportamiento permite a Google destapar el truco y avisarte a tiempo.

Este tipo de protección es especialmente valiosa porque muchos ataques juegan con la psicología: mensajes urgentes, amenazas de cierre de cuenta, avisos de entregas de paquetes inexistentes, etc. Tener a Chrome y Gmail vigilando en segundo plano reduce notablemente las posibilidades de picar cuando estás con prisas o distraído.

Autenticación en dos pasos y medidas complementarias

Aunque todas estas capas de protección son muy potentes, no sustituyen a las medidas básicas de seguridad que deberías tener siempre activas. Una de las más importantes es la Autenticación en dos pasos (2FA), que añade un código adicional o un segundo factor al proceso de inicio de sesión.

Con la autenticación en dos pasos, incluso si un atacante consigue tu contraseña mediante phishing o por una filtración de datos, seguirá necesitando ese segundo factor (un código enviado a tu móvil, una notificación de la app de Google, una llave de seguridad física, etc.) para entrar a tu cuenta.

Cuando combinas la 2FA con la Navegación segura mejorada y, en su caso, con la Protección Avanzada basada en llaves de seguridad, el escenario para un ciberdelincuente se vuelve muy desfavorable. Tendría que superar varias barreras: engañarte para conseguir la contraseña, esquivar los avisos de navegación segura, y además vencer el factor adicional de autenticación.

A modo de buenas prácticas generales, sigue siendo recomendable cambiar las contraseñas con cierta frecuencia, utilizar contraseñas robustas (idealmente diferentes para cada servicio), y desconfiar de cualquier mensaje que te pida datos personales o bancarios con prisas o amenazas.

En el entorno corporativo, conviene combinar estas herramientas de Google con políticas internas claras: formación periódica en ciberseguridad, simulaciones de phishing para concienciar a los empleados y, si es posible, monitorización centralizada de incidentes mediante la extensión Alerta de Protección de Contraseña y otros sistemas de seguridad.

Activar la protección contra suplantación y phishing en Google, ya sea con la Navegación segura mejorada, la Protección Avanzada o las soluciones específicas para empresas, es una de las formas más efectivas de reducir el riesgo de ataques en tu día a día digital; dedicar unos minutos a configurar estas opciones se traduce en muchos quebraderos de cabeza evitados y en una mayor tranquilidad cada vez que abras tu correo, navegues por la web o uses tu cuenta de Google para iniciar sesión en otros servicios.