Mínimo privilegio de información

Publicado el 4 de noviembre de 2026 · Privacidad y ciberseguridad · Lectura: 9 minutos

En este blog no encontrarás mi teléfono, ni mi correo electrónico, ni mi domicilio. No es descuido ni desconfianza hacia quien me lee: es una decisión de seguridad. Aplico a mi propia web el mismo principio que recomiendo en cualquier arquitectura: mínimo privilegio y minimización de datos. Si un dato no es necesario para que me contactes, no se publica. Para hablar conmigo existe un único canal controlado: un formulario con validadores de seguridad.

Resumen ejecutivo

+138.000Consultas al 017 de INCIBE en 2025 (+40 %)

×2Consultas en el 1.^er semestre de 2026 frente a 2025

6.400 → 1Spam recibido: dirección visible frente a ofuscada

0Datos de contacto personales publicados en este blog

• Todo dato publicado es recolectable. Los bots rastrean webs, avisos legales y perfiles para alimentar bases de datos de spam, estafas y venta de datos.
• Una empresa tiene obligaciones y defensas que un particular no tiene: centralita, buzones genéricos, filtros, departamento de seguridad. Un particular solo tiene su móvil y su buzón personal.
• Exponer menos no significa incumplir. La ley exige identificar al titular cuando hay actividad económica, pero no obliga a publicar el móvil personal. Se puede cumplir con el mínimo necesario.

El contexto: el fraude que empieza por un dato de contacto

Las cifras oficiales en España no dejan lugar a dudas. El servicio 017 de INCIBE atendió más de 138.000 consultas en 2025, un 40 % más que el año anterior, y el 89 % procedían de ciudadanos particulares. Los motivos más frecuentes fueron las compras fraudulentas, el vishing (estafa por llamada) y el smishing (estafa por SMS), junto con las estafas basadas en la suplantación de identidad. En el primer semestre de 2026 las consultas casi se han duplicado frente al mismo periodo de 2025.

Ninguna de esas estafas funciona sin un dato de partida: un número de teléfono, una dirección de correo, un nombre asociado a una dirección física. Y una de las fuentes más baratas de esos datos son las propias webs que los publican.

La prueba clásica: en un experimento de la Comisión Federal de Comercio de EE. UU. (FTC), las direcciones de correo publicadas en claro en webs recibieron más de 6.400 mensajes de spam en cinco semanas; las mismas direcciones ofuscadas recibieron uno. Los recolectores automáticos no descansan, y hoy, con herramientas de IA capaces de interpretar casi cualquier formato, es probable que la ofuscación proteja bastante menos que entonces.

Qué hace un atacante con cada dato

Superficie de exposición de una web personal: datos expuestos frente a un único canal controlado.

Dato publicado	Abuso habitual	Consecuencia para un particular
Teléfono móvil	Vishing (falso banco, falso soporte técnico), smishing, WhatsApp "hola, mamá", llamadas comerciales, intentos de SIM swapping	Llamadas a cualquier hora, fraude económico y, si el móvil recibe códigos SMS, riesgo de robo de cuentas
Correo personal	Spam masivo, phishing dirigido con tu nombre, ataques de relleno de credenciales y recuperación de contraseñas	Buzón saturado y un objetivo concreto para robar tus cuentas
Dirección de vivienda	Doxing, fraude de paquetería, ingeniería social ("soy tu vecino", "soy del ayuntamiento"), riesgo físico	Tu seguridad y la de tu familia sale de lo digital
Nombre + foto + profesión	Perfiles falsos, suplantación en redes, estafas a tus contactos en tu nombre	Daño reputacional y víctimas que confían en ti

A esto se suma el efecto acumulativo: cada dato aislado parece inofensivo, pero combinados permiten construir un perfil completo (técnica OSINT, inteligencia de fuentes abiertas). Los atacantes no necesitan hackear nada; les basta con leer lo que tú mismo publicas. Y lo publicado en Internet se copia, se archiva y se revende: borrarlo después no lo borra de las bases de datos que ya lo capturaron.

Empresa frente a particular: no es lo mismo

Es cierto que la mayoría de empresas publican teléfono, correo y dirección. Tienen buenos motivos, y también medios para soportarlo:

Aspecto	Empresa	Particular con web personal
Obligación legal	Sí: la LSSI exige identificar al prestador del servicio (nombre, domicilio, NIF, correo)	Solo si hay actividad económica; una web personal sin ingresos queda fuera de la LSSI
Por qué publica	Confianza, atención al cliente, ventas, verificación de que la empresa existe	No lo necesita para que le lean ni para que le escriban
Qué publica	Datos corporativos: centralita, info@, domicilio social	Serían datos personales: su móvil, su buzón, su casa
Defensas	Centralita y recepción, buzones genéricos, filtros antispam corporativos, equipo de seguridad, formación	Ninguna capa intermedia: el ataque llega directamente a la persona
Impacto de un abuso	Se absorbe en procesos y personal	Recae en su tiempo, su dinero, su familia y su tranquilidad

La diferencia clave no es si se publica, sino qué se publica. Una empresa expone canales corporativos diseñados para recibir volumen. Un particular, si copia ese modelo, expone su vida privada.

Qué dice la normativa

Norma	Qué establece	Qué implica para una web personal
RGPD, art. 5.1.c	Principio de minimización de datos: solo los adecuados, pertinentes y limitados a lo necesario	Si no necesitas un dato para la finalidad, no lo expongas (ni el tuyo ni el de terceros)
RGPD, art. 25	Protección de datos desde el diseño y por defecto	El diseño de la web debe exponer lo mínimo de forma predeterminada
LSSI (Ley 34/2002), art. 10	Información que debe facilitar el prestador de servicios de la sociedad de la información	Solo aplica si hay actividad económica, incluida la publicidad remunerada. Pide identificación y un correo de contacto, no un teléfono personal
Ley 11/2022 General de Telecomunicaciones, art. 66.1.b	Derecho a no recibir llamadas comerciales no consentidas; desarrollado por la Circular 1/2023 de la AEPD	La ley tuvo que intervenir porque las llamadas no deseadas son un problema masivo. Mejor no facilitar el número
LOPDGDD, art. 23	Sistemas de exclusión publicitaria (Lista Robinson)	Herramienta complementaria si tu número ya circula

Matiz importante: si tu web genera ingresos (por ejemplo, con publicidad), la LSSI puede obligarte a identificarte como prestador de servicios. Incluso entonces puedes aplicar mínimo privilegio: un correo dedicado solo para la web, nunca el personal, y un domicilio a efectos de notificaciones en lugar del de tu vivienda cuando sea posible. Ante la duda, consulta con un profesional del derecho: este artículo no es asesoramiento legal.

Mi modelo: mínimo privilegio aplicado a una web personal

En seguridad, mínimo privilegio significa conceder solo los permisos imprescindibles para una tarea. Trasladado a una web, significa exponer solo la información imprescindible para que alguien pueda contactarme, y hacerlo a través de un canal que yo controlo. Así lo he aplicado en este blog:

1. Ningún dato de contacto personal publicado. Ni teléfono, ni correo, ni dirección, tampoco dentro del código de la página, donde los bots también buscan.
2. Un único canal: formulario de contacto con validadores. Varias capas antiautomatización alineadas con OWASP ASVS: campo trampa invisible para personas, tiempo mínimo de envío, límite de envíos por navegador, bloqueo de enlaces, respuestas cerradas y validación también en el servidor, no solo en el navegador.
3. Respuesta bajo mi control. Yo decido si respondo, cuándo y desde qué buzón. Quien me escribe con un propósito legítimo recibe respuesta; un bot no obtiene nada.
4. Aviso legal con el mínimo necesario, adaptado a la situación real del blog y preparado para ampliarse si la ley lo requiere.
5. Comentarios moderados antes de publicarse, para que nadie use el blog para difundir enlaces maliciosos ni datos de terceros.
6. Correo del dominio protegido contra la suplantación con SPF, DKIM, DMARC en rechazo y MTA-STS. Lo explico en detalle en el artículo sobre la seguridad del correo de un dominio.

Los argumentos a favor de publicar, y cómo los resuelvo

Hay razones legítimas para publicar datos de contacto. Conviene tenerlas en cuenta para decidir con criterio:

Argumento	Valoración	Alternativa con mínimo privilegio
"Genera confianza: demuestra que hay alguien real detrás"	Cierto en comercio electrónico; mucho menos en una web de contenido	La confianza se construye con contenido de calidad, perfil profesional verificable y un canal que responde
"Es más cómodo para quien quiere contactarme"	Cierto, pero también es más cómodo para los bots	Un formulario bien diseñado se rellena en menos de un minuto
"Lo exige la ley"	Solo con actividad económica, y no incluye el móvil personal	Correo dedicado y domicilio de notificaciones cuando proceda
"Los formularios también reciben spam"	Cierto si no tienen controles	Las capas antiautomatización y la validación en el servidor lo reducen drásticamente
"Mis datos ya están en Internet"	Puede ser, pero no hay motivo para ampliarlos	Ejercer el derecho de supresión y retirar los datos de los buscadores (ver checklist)

Checklist para tu web o blog personal

1. Busca tu nombre, tu teléfono y tu dirección en buscadores y revisa qué aparece.
2. Retira de tu web el móvil, el correo personal y la dirección, también del código fuente y de los PDF que tengas publicados.
3. Sustitúyelos por un formulario con controles antiautomatización y validación en el servidor.
4. Si necesitas publicar un correo, que sea un buzón dedicado para la web, nunca el personal.
5. Activa la privacidad del registro del dominio (WHOIS) en tu registrador.
6. Elimina los metadatos (EXIF con ubicación GPS) de las fotos antes de subirlas.
7. No uses el SMS como segundo factor en tus cuentas importantes: usa una app de autenticación o passkeys.
8. Solicita a los buscadores la retirada de tus datos de contacto (Google ofrece la herramienta "Resultados sobre ti").
9. Inscribe tu número en la Lista Robinson y ejerce tu derecho de oposición ante cada llamada comercial no consentida.
10. Si recibes un intento de fraude, no respondas ni pulses enlaces: consulta al 017 de INCIBE.

Conclusión

Publicar el teléfono, el correo o la dirección en una web personal es abrir una puerta que no se puede volver a cerrar: los datos se recolectan, se combinan y se revenden durante años. Las empresas lo hacen porque lo necesitan y porque tienen defensas; un particular solo asume el riesgo.

Mi criterio como arquitecto de seguridad es el mismo en una gran infraestructura que en un blog personal: reducir la superficie de exposición, controlar el canal y no publicar lo que no aporta valor. No es esconderse: es ofrecer la vía justa para hablar y negársela a quien solo quiere abusar de ella.

Si quieres comentar este artículo o proponerme un tema, tienes el formulario de contacto. Ahí sí te leo.

Referencias

• El servicio 017 de INCIBE supera las 138.000 consultas en 2025
• Las consultas al 017 de INCIBE casi se duplican en 2026
• INCIBE – Balance de ciberseguridad 2025
• FTC – Estudio sobre recolección de direcciones de correo y spam
• Ley 34/2002 de servicios de la sociedad de la información (LSSI) · Legálitas – Requisitos legales para una web o blog
• Reglamento General de Protección de Datos (RGPD)
• Circular 1/2023 de la AEPD sobre llamadas comerciales no solicitadas
• Lista Robinson · INCIBE – Línea de ayuda en ciberseguridad 017

Artículo de opinión y divulgación basado en buenas prácticas de seguridad y protección de datos. No constituye asesoramiento jurídico. Las cifras proceden de las fuentes citadas en la fecha de publicación.