Kaspersky analizó 193 millones de contraseñas filtradas en la web profunda y midió cuánto tardaría un atacante en adivinarlas. Con el algoritmo más eficiente de los que probó, el 45 % caía en menos de un minuto y el 59 % en menos de una hora. El motivo no es que existan herramientas milagrosas, sino que buena parte de la gente sigue usando patrones tan predecibles como «password» o «123456789».
El dato que más debería preocupar es otro: según ese mismo análisis, solo el 23 % de las contraseñas resistía más de un año. El resto quedaba expuesto en cuestión de horas o minutos, y eso incluye cuentas de correo, paneles de administración de WordPress y accesos a herramientas de trabajo.
Conviene situar las cifras: el estudio se publicó el 18/06/2024, así que los tiempos concretos habrán bajado desde entonces con el hardware actual. La conclusión de fondo, en cambio, no ha cambiado, porque el problema está en los patrones que elige la gente y no en la potencia de cálculo.
Cómo mejorar la seguridad de tus contraseñas
Desde Colorvivo recomendamos estas prácticas, sencillas de aplicar y que reducen mucho el riesgo:
- Nada de datos personales: fechas de nacimiento, nombres de hijos o mascotas son de las primeras combinaciones que prueba un atacante.
- Contraseñas largas y sin patrón: combina mayúsculas, minúsculas, números y símbolos, y cuanto más larga, mejor. Doce caracteres es un buen mínimo hoy en día.
- Un gestor de contraseñas: genera y guarda claves únicas por ti, así no tienes que memorizar ni reutilizar nada.
- Doble factor (2FA) siempre que puedas: aunque roben la contraseña, sin el segundo paso no entran. Es la medida individual que más protege por el esfuerzo que cuesta activarla.
- Una contraseña por servicio: si reutilizas la misma en varias webs, una sola filtración compromete todas tus cuentas a la vez.
- Certificados digitales cuando aplique: para accesos críticos (paneles de administración, VPN corporativa), añaden una capa de identificación que va más allá de usuario y contraseña.
Si tu web corre sobre WordPress, el punto débil suele estar precisamente en el panel de acceso. Hemos escrito una guía detallada sobre autenticación en WordPress: 2FA, tokens y buenas prácticas que va bien complementando estas recomendaciones generales.
Reforzar contraseñas es solo una parte de la ecuación. Si además quieres cerrar otras puertas de entrada habituales, te interesa revisar cómo proteger tu WordPress contra los hackers y, si buscas herramientas que automaticen parte de este trabajo, los mejores plugins de WordPress para mejorar la seguridad de tu web.
Preguntas frecuentes
¿Cuánto debe medir una contraseña segura?
Al menos doce caracteres, mezclando mayúsculas, minúsculas, números y símbolos. Cuanto más larga, más tiempo necesita un atacante para romperla por fuerza bruta.
¿Cuántas contraseñas se descifran en menos de un minuto?
El 45 % de las 193 millones que analizó Kaspersky en 2024, y el 59 % en menos de una hora. Solo el 23 % aguantaba más de un año.
¿Merece la pena pagar por un gestor de contraseñas?
Las versiones gratuitas cubren la mayoría de necesidades personales. Las de pago añaden funciones como compartir credenciales de forma segura en equipo, útil si gestionas varias webs o clientes.
¿El 2FA por SMS es seguro?
Es mejor que no tener nada, pero una app de autenticación o una llave física ofrecen más protección, porque el SMS puede interceptarse mediante técnicas de duplicado de SIM.
¿Con qué frecuencia hay que cambiar las contraseñas?
No hace falta cambiarlas por rutina si son robustas y únicas. Sí conviene cambiarlas de inmediato si el servicio que usas sufre una filtración de datos.
Fuentes:
- Kaspersky (Securelist), «How quickly can attackers guess your password?», 18/06/2024
- Kaspersky, nota de prensa sobre el análisis de 193 millones de contraseñas
