Preguntas frecuentes sobre la prevención de phishing con Alerta de contraseña

¿Qué es Alerta de contraseña?

La Alerta de contraseña es una extensión de Chrome que ayuda a los usuarios de Google Workspace y Cloud Identity a evitar ataques de phishing, ya que detecta cuando ingresan su contraseña de Google en sitios web que no sean la página de acceso de Google.

Los administradores también pueden implementar el servidor de Alerta de contraseña para habilitar la auditoría de alertas de contraseña, enviar alertas por correo electrónico y obligar a los usuarios a cambiar su contraseña de Google si la ingresan en un sitio web que no es de confianza.

¿Qué es la política de Alerta de contraseña de Chrome y en qué se diferencia?

Puedes obtener muchas de las funciones de la extensión de Chrome de Alerta de contraseña a través de la política de Alerta de contraseña de Chrome. Se implementa de forma nativa en Chrome y permite la implementación y la generación de informes uniformes de políticas en todas las plataformas que admiten Chrome.

Tu organización no necesita Google Workspace ni Cloud Identity para usar la política de Alerta de contraseñas de Chrome. Actualmente, la política de Alerta de contraseña de Chrome no tiene un servidor de Alerta de contraseña para la auditoría y los controles de alertas.

Tú y tus usuarios pueden recibir 2 conjuntos de alertas si configuran tanto la extensión de Chrome como la política de Alerta de contraseña de Chrome. Desactiva la extensión para evitar alertas duplicadas.

¿Puedo reutilizar la contraseña de mi Cuenta de Google administrada para otras cuentas?

No. Ingresar la contraseña de tu Cuenta de Google administrada (por ejemplo, Google Workspace o Cloud Identity) en cualquier sitio que no sea de Google activa la Alerta de contraseña. Recibirás una alerta cada vez que uses esa contraseña por primera vez para otras cuentas. Puedes restablecer la contraseña o ignorar la alerta de la cuenta específica.

Los usuarios de Gmail tienen la opción de silenciar todas las alertas en un sitio web. Si usas la misma contraseña en varias cuentas y una de ellas se ve comprometida, los atacantes suelen intentar usar la contraseña en tus otras cuentas para obtener acceso con credenciales reutilizadas.

¿Qué sucede si no uso Chrome?

La Alerta de contraseña es para los usuarios de Google Workspace y Cloud Identity, y actualmente solo funciona como una extensión de Chrome en el navegador Chrome. Como administrador, puedes implementar la Alerta de contraseña en todos tus dominios con las políticas de Chrome y configurar una instancia de Google App Engine para supervisar las alertas en todos tus dominios. Si usas navegadores heredados, te recomendamos que explores la compatibilidad con navegadores heredados de Chrome.

¿Alerta de contraseña funciona con el acceso múltiple?

La Alerta de contraseña usa el perfil de Chrome activo para determinar qué cuenta se protege, por lo que, si quieres instalar la Alerta de contraseña para varias Cuentas de Google, usa varios perfiles de Chrome.

¿Cuándo entra en vigencia la Alerta de contraseña?

Después de instalar la extensión, Alerta de contraseñas comenzará a funcionar la próxima vez que accedas a accounts.google.com. Se debe habilitar Javascript y los usuarios con Cuentas de Google administradas deben acceder a Chrome.

¿Cómo sabe Alerta de contraseña tu contraseña?

Cada vez que accedes correctamente a tu Cuenta de Google, la Alerta de contraseña tiene acceso temporal a tu contraseña correcta y guarda una miniatura con bits reducidos y sal de tu contraseña en el almacenamiento local de Chrome. Luego, compara esta miniatura con cada contraseña que ingresas en cualquier sitio web que no sea accounts.google.com (o, en el caso de los dominios de Google Cloud, los sitios web que el administrador agregó a una lista de entidades permitidas).

¿Qué otras herramientas puedo usar para proteger mi contraseña?

Para los usuarios de Gmail, una llave de seguridad FIDO Universal 2nd Factor (U2F) es una herramienta muy útil para ayudar a prevenir la suplantación de identidad (phishing) de contraseñas.

¿En qué se diferencia la Alerta de contraseña de las funciones integradas de la Navegación segura de Chrome?

Chrome intenta detectar las páginas de phishing con anticipación, pero es posible que no detecte una página de acceso fraudulenta. La Alerta de contraseña debería detectar cada vez que ingreses tu contraseña en un sitio web que no sea accounts.google.com (o, en el caso de los dominios de Google Cloud, los sitios web que el administrador haya incluido en una lista de entidades permitidas).

¿La Alerta de contraseña admite contraseñas de Google con menos de 8 caracteres?

No, Alerta de contraseña requiere que las contraseñas tengan al menos 8 caracteres. Deberás cambiar las contraseñas heredadas de Google que tengan menos de 8 caracteres.

¿Alerta de contraseña es un registrador de pulsaciones?

No. La Alerta de contraseña no guarda las pulsaciones de teclas en el disco ni las envía a ningún sistema remoto.

¿Se requiere la aplicación Alerta de contraseña para los clientes de Google Cloud?

No, la aplicación Alerta de contraseña solo es necesaria para auditar las alertas, enviar alertas por correo electrónico y obligar al usuario a cambiar su contraseña de Google si la ingresa en un sitio web no confiable.

Configuré Alerta de contraseña para que envíe informes a mi aplicación de Alerta de contraseña. ¿Por qué mis usuarios ya no reciben notificaciones de banner?

Después de configurar Alerta de contraseña para que envíe informes a la aplicación, las notificaciones solo se envían al grupo de seguridad o al usuario por correo electrónico. Consulta la sección Aplicación de la política en el archivo de configuración de la aplicación Alerta de contraseña para obtener más detalles.

¿Cuál es la diferencia entre la aplicación Alerta de Contraseña y la instancia de App Engine?

Google administra la aplicación Alerta de contraseña, mientras que tu equipo administra la instancia de App Engine.

¿Cuál es la diferencia entre Silenciar y Permitir para el estado del organizador en la Consola del administrador?

Permitido: No alerta a la seguridad ni vence la contraseña del usuario. Usas este estado para poner un host en una lista de entidades permitidas para la reutilización de contraseñas.

Silenciar: No alerta a la seguridad, pero vence la contraseña del usuario. Por lo general, se silencian los nombres de host cuando se detecta la reutilización de contraseñas en un sitio web legítimo (por ejemplo, login.yahoo.com).

Desconocido: Alerta a la seguridad y hace que venza la contraseña del usuario. Este es el estado predeterminado para todos los hosts, excepto accounts.google.com y la URL de SSO definida en managed_policy_values.txt (SSO_URL).