¿Quién no ha utilizado contraseñas como 123456, 12345678, 123456789 y 12345? Todas se pueden piratear en menos de un minuto. Otro error que cometemos es tener la misma clave de acceso para todas nuestras cuentas. Las estafas son cada vez más sofisticadas y no nos damos cuentas y por segundo año consecutivo las contraseñas fueron la principal causa de ataque en el 41% de los casos. Sigue estos pasos para no convertirte en la siguiente víctima.
No somos conscientes de lo importante que es una contraseña. Es la primera línea de defensa en la seguridad digital, pero muchas veces no le otorgamos la importancia crítica que merece. Entre los errores más comunes que reflejan la falta de conciencia podemos ver el uso de contraseñas débiles o previsibles, como nombres propios, fechas de nacimiento, formato con palabras comunes. Además, las guardamos de forma incorrecta. ¿Quién no ha apuntado una contraseña en una nota física o en un correo o en un mensaje?
Lo primero que tenemos que saber es que no existe la contraseña definitivamente segura. Así lo desvela a Business Insider España el experto Julián David Delgado, Head of Offensive Security & MDR en Factum. «Es más, incluso una contraseña extremadamente compleja y larga, como una compuesta por 50 caracteres aleatorios, por ejemplo, no es invulnerable. Su seguridad depende de varios factores externos».
Cómo construir una contraseña segura… que no olvides
¿Y como sabemos que tenemos una contraseña segura? «La mejor recomendación para construir una contraseña segura es no recordar cuáles son tus contraseñas», concreta Delgado. PAra ello recomienda el uso de un gestor de credenciales, aunque también está la posibilidad de crearla desde cero. Así lo explica: «Un buen truco es crear una frase larga y personalizada, por ejemplo, “En2025MisHijosJueganAlFútbol!”. Se trata de una contraseña larga, que combina mayúsculas, minúsculas, números y símbolos y, al estar basada en algo personal, pero no obvio, es fácil de recordar, pero difícil de adivinar. Hay que evitar el uso de fechas exactas o nombres que cualquiera pueda deducir».
La peor contraseña
No olvidemos que una de las contraseñas que más utilizamos es una secuencia de números que empieza en el 1. Pero no es la única peor. «Son muchas las contraseñas consideradas débiles, pero las más empleadas son «password», «admin», «qwerty», o «12345678». Año tras año aparecen en las listas de contraseñas más filtradas. Sorprende lo poco que evolucionan».
Explica Delgado las contraseñas que somos capaces de llegar a poner pensando que son seguras. «En ejercicios de red team y auditorías de pentesting, hemos visto muchas casuísticas, cuentas administradoras con contraseñas como “Avengers123”, “paleto2024”, el nombre del usuario más el año, el nombre de la empresa más un carácter especial, etc. Lo más preocupante es verlas repetidas en múltiples accesos», explica.
El error de los datos personales
A la hora de poner una contraseña somos muy dados a utilizar datos personales para empezar a construirla. Y es un gran error. «El uso de fechas de cumpleaños, nombres, matrículas o ciudades son predecibles y fáciles de obtener con técnicas de ingeniería social e incluso diccionarios personalizados. Los atacantes lo saben y lo aprovechan en sus ataques», advierte el experto.
Pero si hay un error por excelencia en el mundo de las contraseñas es utilizar la misma para todo. «Si una sola contraseña cae en manos de un atacante, puede usarse en efecto dominó para acceder a distintas cuentas e identidades digitales de la víctima, como sistemas corporativos, VPN, correos, redes sociales, etc. Es uno de los errores más graves y comunes».
Contraseñas en la empresa
En cuanto a las empresas, hay un progreso notable, especialmente en sectores regulados como la banca o las telecomunicaciones. «Sin embargo, en la pyme española aún se ven prácticas peligrosas, como el uso de contraseñas simples, compartidas, o sin renovación periódica, y solo una parte de las organizaciones ha alineado la ciberseguridad con sus objetivos estratégicos», puntualiza Delgado.
Aunque el uso de gestores de contraseñas y autenticación multifactor está creciendo, su adopción aún no es generalizada, especialmente en las pequeñas y medianas empresas. Esto, sumado al aumento de ciberataques en España, «deja claro que la concienciación y la gobernanza en ciberseguridad todavía deben mejorar».
¿Y cómo mejoramos? El experto aconseja evitar los errores más comunes, que son:
- Contraseñas débiles y reutilizadas. Uso de combinaciones fácilmente predecibles y repetición en múltiples servicios.
- Autenticación multifactor (MFA) insuficiente o mal configurada. A pesar de su efectividad, muchos entornos aún dependen exclusivamente de contraseñas para proteger accesos sensibles.
- Gestión deficiente del ciclo de vida de las contraseñas. No hay políticas de caducidad, rotación, ni revocación inmediata de credenciales en casos de cambios de rol o salida de empleados.
- Almacenamiento inseguro de contraseñas. Persisten prácticas como el almacenamiento en texto plano o en archivos accesibles internamente, sin hash ni cifrado robusto.
- Débil integración de herramientas de monitorización y alertas. Falta de correlación en SIEMs o soluciones de seguridad para detectar anomalías relacionadas con accesos indebidos o intentos de fuerza bruta.
- Baja adopción de tecnologías y modelos de seguridad basados en el principio de mínimo privilegio para gestionar identidades, accesos y permisos de forma segura y eficiente. Los accesos privilegiados, que deberían estar altamente controlados, siguen gestionándose sin segmentación ni registros adecuados, facilitando movimientos laterales en caso de intrusión.
¿Guardamos la contraseña en el ordenador?
Por último, no es la primera vez que estamos introduciendo nuestra contraseña y ha caducado y toca cambiarla. El ordenador nos sugiere recordarla. ¿Lo hacemos? Julián David Delgado, de Factum, invita aquí a reflexionar. «Depende del sistema que las guarde«. Si el navegador o el sistema operativo guarda las contraseñas sin cifrado o con poca protección, no es recomendable. Un malware o un atacante local podría extraerlas fácilmente.
Pero si se usan gestores integrados con cifrado fuerte, como el Llavero de iCloud (Mac), Credential Manager (Windows) o navegadores que cifran las contraseñas (Chrome, Edge, Firefox) protegidos por una contraseña maestra o biometría, «puede ser aceptable, pero no es el método más seguro para entornos sensibles». Y concluye: «Un gestor de contraseñas dedicado ofrece mayor seguridad, control y opciones como auditoría de contraseñas, compartición segura y generación avanzada».