OPSEC52 / Semana 3 — Alias de correo

Tu correo es la llave maestra de cada cuenta que lo usa para recuperación. Entrega un alias distinto a cada servicio y ni una filtración, ni un data broker, ni un atacante de soporte podrán saltar de un solo buzón a toda tu vida.

Modelo de amenaza: un correlacionador que cose tus cuentas a través de un correo compartido — data brokers y agregadores de filtraciones que indexan direcciones expuestas, vendedores que comercian con tu grafo de contactos y atacantes de recuperación de cuentas que pivotan desde tu único buzón real.

La semana pasada levantamos el muro: una persona por propósito. Esta semana endurecemos el identificador más reutilizado detrás de esos muros: tu dirección de correo. Es el único dato que casi todo el mundo sigue compartiendo entre contextos, y los vincula a todos en silencio.

Por qué tu correo es la verdadera llave maestra

Un correo reutilizado es peor que un usuario reutilizado, porque no es solo una etiqueta — es un canal de control. Quien posee ese buzón puede restablecer la contraseña de cada cuenta asociada a él. Así que una dirección usada en todas partes hace dos cosas a la vez: correlaciona tus cuentas (la misma cadena aparece en cada filtración y los brokers cruzan por ella) y centraliza tu riesgo (un buzón comprometido lo desbloquea todo). Cuando tu dirección aparezca en la próxima filtración — y aparecerá — cualquiera podrá pegarla en una herramienta de búsqueda de brechas y ver al instante la lista completa de servicios que usas. Esa lista es un perfil.

Alias, no un segundo buzón

La solución no es “crear un segundo Gmail”. Un segundo buzón es solo otra cosa que revisar, y lo seguirás reutilizando. La solución son los alias: una dirección única y desechable por servicio que reenvían todas a un buzón que sí lees. Las respuestas salen desde el alias, así que el servicio nunca conoce tu dirección real. Quema un alias en cuanto empiece a recibir spam o aparezca en una filtración — el buzón subyacente queda intacto y sabes exactamente qué servicio te filtró.

Tres maneras de hacerlo

1. Un servicio de alias — SimpleLogin, addy.io (antes AnonAddy) o los alias integrados de Proton Pass. Genera una dirección aleatoria nueva por registro, reenvía a tu buzón real y responde a través del alias. Los planes gratuitos cubren a la mayoría; es el punto de partida con menos esfuerzo.
2. Un catch-all en tu propio dominio — registra un dominio barato (~30 USD/año), apunta un catch-all a tu buzón e inventa direcciones sobre la marcha: netflix@tudominio, forum-x@tudominio. Sin servicio del que depender, alias infinitos y el espacio de nombres es tuyo. La contrapartida: el dominio mismo es ahora un identificador (seudónimo), así que no lo registres con tu nombre real si los contextos son sensibles.
3. Direccionamiento con plus (tu+netflix@gmail.com) — mejor que nada, pero débil: cualquiera puede quitar +netflix para recuperar tu dirección base, así que da etiquetado pero no no-vinculabilidad. Úsalo para ordenar, nunca para compartimentar.

La prueba de la filtración

Aquí está la recompensa. Con alias por servicio, una filtración se convierte en una señal en vez de un desastre. ¿Llega spam a forum-x@tudominio? Ese foro vendió o filtró tus datos — y solo ese alias queda quemado. Compáralo con el mundo del buzón compartido, donde una brecha en algún sitio que olvidaste hace diez años sigue teniendo tu dirección viva de cada día. Los alias convierten “mi correo está en todas partes” en “cada dirección tiene exactamente un trabajo y puedo revocar cualquiera”.

No vuelvas a unir lo que acabas de separar

Los alias solo aguantan si el resto del muro aguanta. Dos fallos lo deshacen al instante: poner la recuperación del alias de vuelta en ese mismo buzón compartido a tu nombre (has vuelto a centralizar la llave maestra), y emparejar un alias “privado” con un riel de pago con KYC en el mismo checkout. Mantén la ruta de recuperación dentro de la persona y paga los contextos privados con XMR o una tarjeta sin KYC.

Lista de esta semana

• Elige un método de alias — empieza con un servicio si quieres cero configuración, o un dominio catch-all si quieres propiedad.
• Genera un alias nuevo para la próxima cuenta que crees — no migres todo de golpe, solo detén la hemorragia.
• Reemplaza el correo de tus 2–3 cuentas de mayor valor (exchange, recuperación del correo principal, cualquier cosa financiera) por alias dedicados.
• Pasa tu dirección real una vez por una herramienta de búsqueda de brechas, para saber qué ya está expuesto.
• Confirma que la recuperación de ningún alias recae en un buzón compartido a tu nombre real.

Tu correo es el hilo del que cuelga todo lo demás. Córtalo en un hilo por cuenta y no quedará nada que tirar.

Véase también: OPSEC52 Semana 2 — Compartimentación de identidad · OPSEC52 Semana 1 — Disciplina de salida VPN · proveedores de correo privado de xmr.club.

Curated by Cyber Satoshi