GESTORÍA eMADRID
Cómo evitar fraudes con tu certificado digital: consejos de seguridad y protección
El certificado digital permite realizar trámites importantes. Aprende a protegerlo, detectar engaños y actuar correctamente ante una incidencia.
El certificado digital debe protegerse como una firma personal
El certificado digital permite identificarte ante la Administración y firmar electrónicamente. Por esa razón no debe tratarse como un archivo cualquiera. Quien consiga utilizarlo junto con su contraseña podría intentar actuar en tu nombre.
La mayoría de los problemas no se producen porque el certificado tenga un defecto técnico, sino porque alguien obtiene el archivo, la contraseña o un código de activación. También pueden aparecer riesgos cuando se instala en un ordenador compartido o se envía por canales inseguros.
En este artículo explicamos cómo evitar los fraudes más habituales, qué precauciones conviene adoptar y qué hacer si detectas problemas con el certificado digital.
Principales riesgos relacionados con el certificado digital
Phishing y suplantación
Mensajes que aparentan proceder de Hacienda, la Seguridad Social, una entidad certificadora o una gestoría y solicitan contraseñas, códigos o archivos.
Contraseñas expuestas
Utilizar una contraseña fácil, compartirla o guardarla junto al archivo facilita el acceso de terceros.
Ordenadores inseguros
Un equipo infectado, público o utilizado por muchas personas puede permitir copiar el certificado o registrar las claves.
Pérdida de control
Enviar el certificado digital por canales inseguros o dejarlo almacenado sin protección puede dificultar saber quién ha tenido acceso a él.
Evita enviar el certificado digital por canales inseguros
Una de las recomendaciones más importantes es evitar enviar el certificado digital por email, mensajería instantánea o servicios que no controles cuando no exista un procedimiento seguro y previamente acordado.
Si necesitas facilitar un certificado a una gestoría o profesional autorizado, confirma previamente la identidad del destinatario, el motivo por el que necesita el certificado y el procedimiento seguro de envío.
El archivo y la contraseña deben mantenerse separados. Una Administración Pública no debería pedirte que reveles la contraseña de tu certificado. Si recibes una petición sospechosa, comprueba el remitente y accede directamente a la sede oficial.
0
contraseñas compartidas
Cómo crear una contraseña segura
La contraseña del certificado digital debe ser diferente de las que utilizas para el correo electrónico, la banca online o las redes sociales. Evita nombres, fechas, teléfonos y combinaciones fáciles de adivinar.
Es recomendable utilizar una contraseña suficientemente larga y difícil de relacionar contigo. Cuanto más importante sea el certificado para tu actividad personal o empresarial, mayor debe ser el cuidado con sus credenciales.
No guardes la contraseña en el mismo lugar que el archivo del certificado. Si alguien consigue ambos elementos, podría intentar instalarlo en otro equipo y utilizarlo sin tu autorización.
Si no recuerdas la contraseña, normalmente no puede recuperarse directamente desde el propio certificado. En ese caso debe analizarse si procede utilizar otra copia disponible, renovar el certificado o solicitar uno nuevo. Evita descargar programas de páginas desconocidas que prometan recuperar la contraseña del certificado digital.
Realiza una copia de seguridad correctamente
Una copia de seguridad del certificado digital permite volver a instalarlo si cambias de ordenador o se produce una avería, siempre que el certificado permita su exportación.
La copia debe guardarse en un soporte seguro, protegida con contraseña y separada del equipo de uso diario.
No conviene conservar múltiples copias sin ningún control ni almacenar el archivo en ordenadores públicos o dispositivos compartidos.
Si utilizas una memoria USB, mantenla protegida y guardada en un lugar seguro. En una empresa resulta recomendable saber qué personas pueden acceder al certificado y dónde se conservan las copias.
La copia de seguridad sirve para conservar el certificado, pero no debe confundirse con la posibilidad de recuperar una contraseña olvidada.
Cómo detectar un mensaje fraudulento
Los mensajes fraudulentos suelen utilizar asuntos urgentes, amenazas de bloqueo, supuestas multas, devoluciones de impuestos, problemas con una cuenta o avisos de caducidad para provocar que el usuario actúe rápidamente.
También pueden afirmar que debes activar el certificado digital, renovarlo o confirmar determinados datos inmediatamente.
Antes de pulsar cualquier enlace, revisa el dominio real. No es suficiente con que aparezca el nombre de Hacienda, FNMT, Seguridad Social u otro organismo en el texto del mensaje.
Un enlace aparentemente correcto puede conducir a una página diseñada para imitar una sede oficial.
Si tienes dudas, cierra el mensaje y accede directamente a la página oficial escribiendo la dirección en el navegador o utilizando un acceso que ya conozcas.
No descargues archivos ni introduzcas contraseñas, códigos o datos personales en una página a la que hayas llegado desde un mensaje sospechoso.
Qué hacer si sospechas que alguien ha utilizado tu certificado
Si existe la posibilidad de que una persona no autorizada haya tenido acceso al certificado o a su contraseña, conviene actuar con rapidez y no continuar utilizándolo como si nada hubiera ocurrido.
1. Deja de utilizarlo
No sigas realizando trámites con un certificado cuya seguridad puede estar comprometida.
2. Comprueba su estado
Puedes validar el certificado digital y comprobar si continúa vigente o si ya figura como revocado.
3. Solicita la revocación
Si existe un riesgo real de utilización por terceros, valora anular o revocar el certificado digital.
4. Conserva las pruebas
Guarda mensajes, correos electrónicos, capturas, fechas y cualquier otra información que pueda ayudar a determinar lo ocurrido.
Certificado digital caducado, revocado o comprometido
Certificado caducado
Un certificado digital caducado deja de ser válido para identificarse o realizar determinadas firmas electrónicas. Cuando finaliza su periodo de vigencia será necesario comprobar si todavía puede renovarse o si debe solicitarse uno nuevo.
Certificado revocado
Un certificado digital revocado deja de ser válido antes de su fecha normal de caducidad. La revocación puede ser necesaria cuando existe riesgo de uso no autorizado.
Certificado comprometido
Puede considerarse comprometido cuando existen indicios de que una persona no autorizada ha obtenido el archivo, conoce la contraseña o ha podido utilizar el certificado.
Si no puedes determinar exactamente qué ha ocurrido, conviene analizar la situación y valorar la revocación. Continuar utilizando un certificado comprometido puede aumentar el riesgo.
Precauciones para autónomos y sociedades
La protección del certificado resulta especialmente importante cuando se utiliza en una actividad económica.
En un autónomo, el certificado puede permitir realizar numerosos trámites fiscales y consultar información personal. En una sociedad, un certificado de representación permite realizar actuaciones electrónicas en nombre de la empresa.
La empresa debería determinar quién está autorizado para utilizar los certificados, desde qué equipos pueden utilizarse y cómo se conservan las copias.
También resulta recomendable disponer de un inventario actualizado de certificados y controlar sus fechas de caducidad para evitar incidencias en trámites importantes.
No es recomendable mantener certificados instalados en equipos de antiguos trabajadores, colaboradores o proveedores que ya no necesiten utilizarlos.
Cuando una persona deja de colaborar con la empresa, conviene revisar los equipos, accesos, copias existentes y certificados a los que haya podido tener acceso.
¿Tienes dudas sobre la seguridad de tu certificado?
Cuéntanos tu caso y te informamos sobre la obtención, instalación, renovación o revocación del certificado digital.
También podemos ayudarte si necesitas obtener un nuevo certificado para una persona física, autónomo, administrador o sociedad.
También puedes escribirnos a info@gestoriaemadrid.com
Preguntas frecuentes
¿Puedo enviar el certificado digital a mi gestoría?
Puede ser necesario facilitarlo cuando hayas verificado la identidad de la persona o gestoría, la finalidad concreta y el procedimiento utilizado. Evita enviar el archivo y la contraseña juntos por el mismo canal.
¿Qué hago si he compartido la contraseña?
Si una persona no autorizada conoce la contraseña y también puede acceder al archivo del certificado, debes valorar que el certificado pueda estar comprometido y consultar la posibilidad de revocarlo.
¿Cómo sé si tengo un certificado instalado?
Puedes revisar los certificados instalados en el navegador o en el sistema operativo. Si utilizas un ordenador compartido, evita instalar certificados personales sin valorar previamente la seguridad del equipo.
¿Qué hago si el certificado está caducado?
Comprueba si todavía es posible renovarlo o si es necesario solicitar un certificado nuevo. Un certificado caducado ya no puede utilizarse como certificado vigente.
¿Qué hago si he perdido el archivo del certificado?
Si dispones de una copia de seguridad válida, podrás valorar su instalación en otro equipo. Si no existe ninguna copia utilizable, puede ser necesario obtener un certificado nuevo.
¿Puede otra persona utilizar mi certificado digital?
Si una tercera persona consigue acceder al archivo y a las credenciales necesarias, existe riesgo de utilización no autorizada. Por ello es importante controlar tanto las copias del certificado como sus contraseñas.
Artículos relacionados
Puedes ampliar la información sobre certificados digitales en estos contenidos relacionados:
```
