En muchas ocasiones escuchamos casos de personas o empresas a las que les “robaron” el acceso a su correo o sus redes sociales. El problema recurrente es casi siempre el mismo: la contraseña era demasiado fácil de adivinar.

Vamos con un ejemplo.

El problema: contraseñas fáciles de adivinar

Imaginemos una empresa llamada Softcreator, que tiene un punto de acceso Wi-Fi (router) al que se conectan sus empleados. La contraseña para acceder a ese router es softcreator.2016.

Ahora pasemos a algo más delicado. Esa misma empresa tiene una página web, y la contraseña para entrar al servidor y hacer cambios es softcreator.2015.

Suena ilógico, pero existen empresas con este “sistema” de contraseñas, y es un error de seguridad serio.

En usuarios comunes pasa algo parecido: contraseñas con el nombre de un familiar (esposa, hijo, mascota) más una fecha importante (matrimonio, nacimiento). El patrón es el mismo y el resultado también: contraseñas inseguras.

Cómo piensa un atacante: diccionario, fuerza bruta y reutilización

En un ataque de diccionario, el atacante arma una lista de palabras probables y las prueba una por una. Entre las primeras candidatas están, casi siempre, el nombre de la empresa, los nombres de familiares o mascotas, y fechas relevantes. Después, el atacante empieza a combinarlas.

Dos variantes que conviene conocer:

  • Fuerza bruta: en lugar de probar palabras “con sentido”, el atacante prueba combinaciones de caracteres de forma sistemática hasta dar con la correcta.
  • Reutilización de credenciales (credential stuffing): si reusas la misma contraseña en varios sitios, basta con que uno de ellos sufra una filtración para que un atacante la pruebe automáticamente en tus demás cuentas (correo, banco, redes sociales).

Hoy, además, un atacante ni siquiera necesita armar estas listas a mano: puede pedirle a una IA generativa que le sugiera contraseñas probables a partir de datos públicos de una empresa o persona (nombre, ciudad, año de fundación, nombres de proyectos), y obtener en segundos una lista de candidatos bastante certera. El ataque en sí se sigue ejecutando con herramientas especializadas, pero la fase de “imaginar” contraseñas probables se volvió mucho más rápida.

¿Cuánto tardaría alguien en descifrar tu contraseña?

Buena pregunta, y hoy hay datos concretos para responderla. Cada año, la firma Hive Systems publica una tabla de referencia que mide cuánto tarda un atacante en descifrar contraseñas robadas (en forma de hash) usando hardware que cualquiera puede rentar. Según su medición más reciente (2026):

  • A modo de comparación, una contraseña completamente aleatoria de solo 8 caracteres con mayúsculas, minúsculas, números y símbolos tardaría cerca de 132 años en romperse por fuerza bruta.
  • Esa misma longitud, pero usando solo letras minúsculas, cae a apenas dos semanas.
  • Pero si la contraseña es una palabra común, ya apareció en alguna filtración previa, o se repite entre sitios (justo lo que describimos en la sección anterior), el tiempo se desploma a segundos: en pruebas reales con listas de contraseñas filtradas, el quiebre tomó apenas unos tres segundos.

La conclusión es clara: la complejidad por sí sola no salva a una contraseña predecible. Lo que realmente protege es no ser adivinable en primer lugar, y ahí es donde entra la técnica que sigue.

Un dato importante: aunque un sitio te bloquee después de varios intentos fallidos, esa protección solo aplica mientras el atacante intenta entrar por la puerta principal. Si la base de datos del sitio fue robada, el atacante ya tiene el hash de tu contraseña en su propia máquina y puede probar miles de millones de combinaciones por segundo, sin límites ni bloqueos.

Cómo crear una contraseña segura y fácil de recordar

Crear una contraseña aleatoria y anotarla en un papel o archivo es una opción segura (por ejemplo, 7ekiGl6WBq*c), pero no es fácil de recordar. Por suerte hay una alternativa más práctica: construir una passphrase, es decir, una frase larga hecha de palabras sin relación aparente entre sí.

Ejemplo: “El perro que tiene mi vecino no me gusta (es ruidoso, pulgoso y me ladra a cada rato) y se llama Rocky”.

De esa historia puedes sacar varias palabras contraseña — “Rocky”, “ladrador”, “pulgoso” — y encadenarlas junto con un número, sin necesidad de acortarlas ni disfrazarlas con símbolos:

Rocky-Ladrador-Pulgoso-47

Esa combinación es larga (supera los 15 caracteres que recomienda NIST), fácil de recordar porque viene de una historia real, y extremadamente difícil de adivinar para alguien externo.

Un matiz importante: cambiar letras por números o símbolos parecidos (la o por un 0, la a por una @, la e por un 3) ya casi no suma seguridad. Las herramientas de cracking incluyen esas sustituciones como reglas automáticas dentro de sus diccionarios, así que un atacante las prueba sin esfuerzo adicional. Lo que de verdad cuesta romper es la longitud y lo impredecible de la combinación de palabras, no el disfraz visual de los caracteres.

¿Y para las contraseñas de la empresa?

La misma lógica de la passphrase funciona para contraseñas compartidas en un equipo o una empresa. Lo importante es que las palabras no tengan ninguna relación entre sí ni con el negocio — ni el nombre de la empresa, ni el de la competencia, ni nada que alguien pueda deducir investigando un poco sobre el negocio.

Ejemplo: Tostadora-Volcán-Niebla-74

Cuatro palabras sin conexión lógica, encadenadas con un número. No hace falta que la frase tenga sentido — de hecho, entre menos sentido tenga, mejor, porque así se vuelve más difícil de deducir incluso para alguien con contexto interno de la empresa.

Aun así, esta técnica tiene un límite: si la contraseña se comparte entre varias personas o queda escrita en un lugar visible, deja de ser un secreto. Para credenciales de equipo, lo ideal es combinar esta idea con un gestor de contraseñas compartido (ver la siguiente sección) en lugar de depender solo de la memoria colectiva.

Más allá de la contraseña: MFA y gestores de contraseñas

Ninguna contraseña, por buena que sea, debería ser tu única línea de defensa. Dos complementos que hoy se consideran básicos:

  • Autenticación multifactor (MFA/2FA): exige un segundo factor además de la contraseña (una app, una llave física, un código). Aunque un atacante adivine o robe tu contraseña, sin ese segundo factor no puede entrar.
  • Gestores de contraseñas (Bitwarden, 1Password, entre otros): generan y recuerdan contraseñas largas y aleatorias por ti, para que no tengas que inventar ni memorizar una frase distinta por cada servicio.

La combinación de una contraseña fuerte + MFA + gestor de contraseñas es, hoy, el estándar recomendado para proteger cualquier cuenta importante.

¿Y las passkeys?

Cada vez más servicios permiten iniciar sesión sin necesidad de contraseña, usando passkeys: una tecnología que aprovecha tu teléfono, tu computadora o una llave física para autenticarte mediante criptografía, en lugar de una contraseña que tengas que recordar o escribir. Cuando un servicio te ofrezca esta opción, vale la pena activarla — suelen ser más seguras y más cómodas que una contraseña tradicional, porque no hay nada que memorizar ni nada que un atacante pueda “adivinar”.

¿Cuándo deberías cambiar tu contraseña?

Durante años se recomendó cambiar la contraseña cada cierto tiempo (cada 60, 90 o 180 días). Esa práctica ya no se recomienda.

El organismo que define estos estándares en Estados Unidos, el NIST (National Institute of Standards and Technology), actualizó en 2025 su guía de identidad digital — la SP 800-63B, Revisión 4 — y ahí establece explícitamente que no se debe exigir la rotación periódica de contraseñas. La razón es empírica: obligar a cambiar la contraseña cada cierto tiempo produce contraseñas más débiles y predecibles (la típica variación “contraseña1”, “contraseña2”, “contraseña3”…), no más seguras.

La recomendación actual es cambiar tu contraseña solo cuando hay una razón concreta: si sospechas o confirmas que fue parte de una filtración, si la compartiste por error, o si detectas actividad sospechosa en la cuenta.

¿Quieres saber si tu correo apareció en una filtración? Have I Been Pwned permite consultar gratis si una dirección de correo ha sido comprometida en alguna brecha de datos conocida.

Fuera de esos casos, una contraseña larga, única y bien protegida con MFA no necesita fecha de vencimiento.

En resumen

  • Usa una contraseña distinta para cada servicio.
  • Prioriza la longitud por encima de trucos como reemplazar letras por números.
  • Activa MFA en todas las cuentas donde esté disponible.
  • Usa un gestor de contraseñas.
  • Cambia tu contraseña solo cuando exista un motivo real, no por calendario.
  • Si el servicio ofrece passkeys, considera usarlas.

Conclusión

Una contraseña segura no depende de meterle símbolos al azar, sino de que sea larga, única e impredecible. La técnica de la passphrase (como la de “Rocky”) te da algo memorable sin caer en los patrones obvios que cualquier atacante prueba primero. Pero ninguna contraseña, por buena que sea, debería sostener sola la seguridad de tu cuenta: súmale un gestor de contraseñas, activa MFA donde puedas, y considera las passkeys donde estén disponibles. Y olvídate del calendario de cambios — cambia tu contraseña cuando haya una razón real para hacerlo, no por costumbre.