Un estudio realizado por un antiguo científico de datos de Meta analizó casi 3,5 millones de PINs procedentes de brechas de seguridad y llegó a una conclusión llamativa: uno de cada cuatro códigos PIN de tarjetas bancarias puede adivinarse probando solo 20 combinaciones. Las 20 más frecuentes representan casi el 30% de todos los PINs en uso.
Los 12 PINs más comunes
Si tu PIN está en esta lista, cámbialo ahora:
- 1234
- 0000
- 1111
- 9999
- 8888
- 1212
- 7777
- 1004
- 2000
- 4444
- 2222
- 6969
Qué tipos de combinaciones evitar
- Números repetidos: 1111, 3333, 5555. Son las primeras combinaciones que prueban los atacantes en cualquier ataque de fuerza bruta.
- Secuencias simples: 1234 o 4321 solos representan cerca del 11% de todos los PINs del mundo.
- Fechas de nacimiento: la tuya, la de tu pareja o la de tus hijos en cualquier formato (DDMM, MMYY, YYYY). Cualquiera que sepa algo de ti puede probarlo.
- Referencias culturales conocidas: 0007 (James Bond), 1984 (Orwell), 2001 (Kubrick) o 2468 (secuencia rítmica). Están entre las primeras que se prueban en listas de diccionario numérico.
PINs de 6 dígitos: mucho mejor
Un PIN de 4 dígitos tiene 10.000 combinaciones posibles. Uno de 6 tiene un millón. Si tu dispositivo o banco lo permite, pasa a 6 dígitos ya. No hace falta que sea memorable de inmediato: practicarlo unos días lo fija sin problema.
Más allá del PIN: otras capas de seguridad
El PIN es solo una parte. Combinarlo con otras medidas reduce mucho la exposición:
- Autenticación de dos factores (2FA): añade un segundo elemento de verificación, como un código enviado a tu teléfono. Si el atacante tiene tu contraseña o PIN pero no tu teléfono, no puede entrar. El mismo principio aplicado al correo corporativo lo explicamos en el artículo sobre las buenas prácticas de seguridad en el email empresarial.
- Biometría: reconocimiento facial o huella dactilar como capa complementaria al PIN. Activa las dos en paralelo, no solo una.
- Gestor de contraseñas: herramientas como Bitwarden o 1Password generan y guardan contraseñas complejas sin que tengas que recordarlas. Para el PIN del móvil no sirven directamente, pero sí para el resto de cuentas.
- Actualizaciones de sistema: mantén el software actualizado. Muchos ataques explotan vulnerabilidades que llevan meses parcheadas en versiones recientes.
La seguridad personal y la empresarial van de la mano. Igual que un PIN débil expone tu móvil, una estrategia de backup inadecuada expone los datos de tu empresa. Entender qué es una copia de seguridad inmutable y cómo encaja en una estrategia de protección sólida es el siguiente paso lógico.
Preguntas frecuentes sobre PINs seguros
¿Cuántos intentos tarda un atacante en adivinar un PIN de 4 dígitos?
Depende del sistema de protección. La mayoría de teléfonos y tarjetas se bloquean tras 3-10 intentos fallidos, lo que hace inviable la fuerza bruta directa. El peligro real viene de brechas en bases de datos donde los atacantes ya tienen los hashes de los PINs y pueden probar combinaciones offline a miles por segundo.
¿Es mejor un PIN largo o la biometría?
Lo mejor es usar los dos. La biometría es cómoda y difícil de replicar, pero no es infalible (las fotos o los moldes de silicona han engañado algunos sensores). El PIN largo actúa como respaldo cuando la biometría falla o no está disponible.
¿Con qué frecuencia debo cambiar mi PIN?
No hay un periodo fijo, pero sí hay situaciones que obligan a cambiarlo: si sospechas que alguien lo ha visto, si recibes una alerta de brecha de seguridad en un servicio que usas, o si llevas más de dos años con el mismo. Activar alertas de movimiento en tus cuentas bancarias permite detectar accesos no autorizados antes de que el daño sea mayor.
¿Los PINs con significado personal son siempre malos?
No necesariamente, pero el riesgo está en lo previsibles que son para alguien que te conoce. Un PIN basado en un dato que solo tú conoces (no tu cumpleaños, no tu año de nacimiento) puede funcionar bien. Si eliges uno con significado, que no sea inferible a partir de información pública tuya en redes sociales.
