¿Cómo puedes aumentar la seguridad de tus co­n­tra­se­ñas?

Las co­n­tra­se­ñas son las llaves de nuestras ide­n­ti­da­des digitales. Una co­n­tra­se­ña segura actúa como la primera línea de defensa frente a los ci­be­r­de­li­n­cue­n­tes. Sin embargo, las es­ta­dí­s­ti­cas muestran que dos tercios de los es­ta­dou­ni­de­n­ses usan la misma co­n­tra­se­ña en varias cuentas y un 13 % incluso utiliza la misma co­n­tra­se­ña para todo.

¿Cuáles son los re­qui­si­tos para una buena seguridad de co­n­tra­se­ñas?

Muchas personas siguen uti­li­za­n­do co­m­bi­na­cio­nes poco seguras o fáciles de adivinar como co­n­tra­se­ñas. Para ga­ra­n­ti­zar un alto nivel de seguridad, es im­po­r­ta­n­te tener en cuenta varios factores. Elegir una co­n­tra­se­ña segura y utilizar un gestor de co­n­tra­se­ñas o password manager son dos aspectos fu­n­da­me­n­ta­les para proteger tus cuentas.

¿Qué hace que una co­n­tra­se­ña sea segura?

Aunque las co­n­tra­se­ñas seguras por sí solas no ga­ra­n­ti­zan una pro­te­c­ción absoluta frente a los ataques de los ci­be­r­de­li­n­cue­n­tes, crear una co­n­tra­se­ña segura sigue siendo esencial para proteger tus cuentas. Puedes comprobar si tu co­n­tra­se­ña es segura siguiendo estos criterios:

• Longitud: la longitud de una co­n­tra­se­ña es un factor clave, ya que cuanto más larga sea, más difícil será de­s­ci­frar­la. Una co­n­tra­se­ña segura debe tener al menos entre 12 y 16 ca­ra­c­te­res.
• Co­m­ple­ji­dad: una co­n­tra­se­ña robusta debe incluir letras ma­yú­s­cu­las y mi­nú­s­cu­las, números y ca­ra­c­te­res es­pe­cia­les como @, # o $. Esta variedad complica el trabajo tanto a personas como a he­rra­mie­n­tas au­to­ma­ti­za­das que intentan adi­vi­nar­la.
• Im­pre­vi­si­bi­li­dad: evita patrones simples o palabras comunes, ya que los ci­be­r­de­li­n­cue­n­tes suelen usar los llamados “ataques de di­c­cio­na­rio” para probar co­m­bi­na­cio­nes fre­cue­n­tes.
• Ex­clu­si­vi­dad: no reuti­li­ces co­n­tra­se­ñas en di­fe­re­n­tes servicios o pla­ta­fo­r­mas. Usa una co­n­tra­se­ña única para cada cuenta.
• Ac­tua­li­za­cio­nes pe­rió­di­cas: en el caso de las cuentas con in­fo­r­ma­ción delicada o co­n­fi­de­n­cial, cambiar las co­n­tra­se­ñas de forma regular puede reducir el riesgo de accesos no au­to­ri­za­dos tras una brecha de seguridad.

Elegir el gestor de co­n­tra­se­ñas adecuado

Los gestores de co­n­tra­se­ñas son he­rra­mie­n­tas muy útiles para generar y almacenar co­n­tra­se­ñas complejas de forma segura. A la hora de elegir uno, asegúrate de que ofrezca cifrado de extremo a extremo y funciones como alertas de fi­l­tra­cio­nes o au­di­to­rías de seguridad. Las ac­tua­li­za­cio­nes fre­cue­n­tes también son un buen indicador de que se trata de un gestor fiable.

Fi­l­tra­cio­nes de co­n­tra­se­ñas más im­po­r­ta­n­tes en los últimos años

Cada día confiamos enormes ca­n­ti­da­des de in­fo­r­ma­ción personal a empresas y te­c­no­lo­gías, y las co­n­tra­se­ñas suelen ser la única medida de pro­te­c­ción, aunque parece que no siempre se toma lo su­fi­cie­n­te­me­n­te en serio. Esto queda reflejado en las numerosas vio­la­cio­nes de datos ocurridas en la historia reciente de la web. Los ci­be­r­de­li­n­cue­n­tes han accedido re­pe­ti­da­me­n­te a cre­de­n­cia­les de acceso mediante métodos como el software malicioso o malware, correos de phishing o ataques de fuerza bruta, para robar in­fo­r­ma­ción co­n­fi­de­n­cial de los usuarios. A co­n­ti­nua­ción, te mostramos algunos de los in­ci­de­n­tes más re­le­va­n­tes:

• LinkedIn (2012, 2016): LinkedIn fue hackeado en 2012, lo que resultó en el robo de más de 6.5 millones de co­n­tra­se­ñas cifradas. En 2016, apa­re­cie­ron en la dark web 117 millones más de cre­de­n­cia­les robadas en ese mismo ataque.
• Yahoo (2013, 2014): uno de los mayores ataques de seguridad re­gi­s­tra­dos afectó a Yahoo. Entre 2013 y 2014, se co­m­pro­me­tie­ron un total de tres mil millones de cuentas, in­clu­ye­n­do nombres de usuario, co­n­tra­se­ñas y preguntas de seguridad.
• Adobe (2013): robaron más de 150 millones de cuentas de usuario de Adobe y muchas de las co­n­tra­se­ñas estaban po­bre­me­n­te cifradas.
• Facebook (2019): Facebook reveló que millones de co­n­tra­se­ñas de usuarios se habían al­ma­ce­na­do en texto plano en sus se­r­vi­do­res internos. Aunque los datos no se filtraron al exterior, el incidente puso en evidencia la necesidad de aplicar prácticas seguras incluso a nivel co­r­po­ra­ti­vo.
• Co­lle­c­tion #1-#5 (2019): en enero de 2019, más de dos mil millones de di­re­c­cio­nes de correo y co­n­tra­se­ñas de diversas fuentes (tanto conocidas como fi­l­tra­cio­nes no ide­n­ti­fi­ca­das pre­via­me­n­te) se pu­bli­ca­ron en esta me­ga­fi­l­tra­ción.
• Twitter/X (2022): una brecha de seguridad expuso datos pe­r­so­na­les de más de 5.4 millones de cuentas, que incluían números de teléfono y di­re­c­cio­nes de correo, debido a un fallo en el sistema.
• RockYou (2024): RockYou2024 fue una fi­l­tra­ción masiva, co­n­si­de­ra­da una de las mayores jamás pu­bli­ca­das, con más de 9.9 mil millones de co­n­tra­se­ñas re­co­pi­la­das de distintas fuentes.

Estos eventos subrayan la im­po­r­ta­n­cia crítica de la ci­be­r­se­gu­ri­dad. A pesar de ello, las es­ta­dí­s­ti­cas revelan hábitos preo­cu­pa­n­tes sobre la seguridad de las co­n­tra­se­ñas en Estados Unidos. Solo uno de cada cinco es­ta­dou­ni­de­n­ses (20 %) cambia su co­n­tra­se­ña tras enterarse de una brecha de seguridad, y solo un 34 % dice ac­tua­li­zar­las de forma regular. Sin embargo, alrededor de dos tercios reutiliza co­n­tra­se­ñas en varias cuentas, lo que aumenta si­g­ni­fi­ca­ti­va­me­n­te el riesgo ante posibles fi­l­tra­cio­nes. Además, el 64 % de los usuarios emplea co­n­tra­se­ñas de solo 8 a 11 ca­ra­c­te­res, lo que puede hacerlas vu­l­ne­ra­bles a ataques.

Cómo comprobar la seguridad de tus co­n­tra­se­ñas

Revisar la seguridad de tus co­n­tra­se­ñas es un paso clave para proteger tus cuentas digitales frente a accesos no au­to­ri­za­dos o posibles fi­l­tra­cio­nes de datos. Existen distintos métodos y he­rra­mie­n­tas que te permiten comprobar si tus co­n­tra­se­ñas han sido co­m­pro­me­ti­das, si cumplen con los es­tá­n­da­res actuales de seguridad o si son demasiado débiles.

Servicios online para comprobar fi­l­tra­cio­nes de datos

• Have I Been Pwned (HIBP): una de las pla­ta­fo­r­mas más conocidas y fiables es Have I Been Pwned (HIBP). Aquí puedes comprobar si tu dirección de correo o co­n­tra­se­ña ha estado in­vo­lu­cra­da en alguna fi­l­tra­ción de datos conocida. Solo tienes que in­tro­du­cir tu correo ele­c­tró­ni­co y recibirás una lista de las páginas web afectadas en las que tus datos podrían haber sido robados. La página también permite comprobar co­n­tra­se­ñas di­re­c­ta­me­n­te, ga­ra­n­ti­za­n­do el anonimato gracias a te­c­no­lo­gías de hash es­pe­cia­li­za­das.
• Co­m­pro­ba­ción de seguridad de Google: Google ofrece una función integrada en Chrome para revisar la seguridad de tus co­n­tra­se­ñas guardadas. El navegador te avisa si alguna de ellas ha estado expuesta en una fi­l­tra­ción de datos. También puedes realizar una co­m­pro­ba­ción de seguridad más completa desde tu cuenta de Google, que ide­n­ti­fi­ca co­n­tra­se­ñas débiles o re­uti­li­za­das.
• Funciones de seguridad en gestores de co­n­tra­se­ñas: muchos gestores de co­n­tra­se­ñas modernos incluyen he­rra­mie­n­tas para analizar la seguridad de las co­n­tra­se­ñas al­ma­ce­na­das. Estas funciones permiten detectar co­n­tra­se­ñas débiles, du­pli­ca­das o im­pli­ca­das en fi­l­tra­cio­nes conocidas. Así obtienes una visión clara de cuáles debes ac­tua­li­zar.

Evaluar la fortaleza de una co­n­tra­se­ña

Además de verificar si han sido filtradas, es im­po­r­ta­n­te analizar la fortaleza de tus co­n­tra­se­ñas. Hay muchas he­rra­mie­n­tas que te ayudan a eva­luar­las en función de su longitud, co­m­ple­ji­dad y entropía (es decir, su nivel de alea­to­rie­dad). Algunos servicios también simulan cuánto tiempo tardaría un atacante en descifrar la co­n­tra­se­ña mediante fuerza bruta. Por ejemplo, la co­n­tra­se­ña 123456 puede de­s­ci­frar­se en menos de un segundo, mientras que una co­n­tra­se­ña más robusta como X$4g8JwQ!a_%j podría resistir ataques durante varios años.

Revisión manual y se­gui­mie­n­to

Si sabes que una de­te­r­mi­na­da pla­ta­fo­r­ma ha sufrido una brecha de seguridad, verifica si tienes una cuenta allí. Cambia la co­n­tra­se­ña de inmediato, es­pe­cia­l­me­n­te si la has re­uti­li­za­do en otras páginas web. También es útil seguir noticias de ci­be­r­se­gu­ri­dad o foros como Reddit (por ejemplo, el subreddit [r/netsec]) para estar al tanto de nuevas fi­l­tra­cio­nes. Muchas veces, estos casos se dan a conocer allí antes que en los canales oficiales, lo que te permite tomar medidas pre­ve­n­ti­vas a tiempo. Además, he­rra­mie­n­tas como HIBP ofrecen no­ti­fi­ca­cio­nes por correo cuando tu dirección aparece en una nueva fi­l­tra­ción.