Las contraseñas seguras son importantes porque tenemos decenas de cuentas digitales: correo electrónico, banca online, redes sociales, tiendas, plataformas de formación, servicios de streaming, aplicaciones profesionales, administraciones públicas… Y, sin embargo, muchas personas siguen protegiendo una parte importante de su vida digital con la misma contraseña, o con pequeñas variaciones de una contraseña que llevan años utilizando.
La pregunta es sencilla: ¿por qué seguimos utilizando contraseñas débiles y repetidas si sabemos que representan un riesgo para nuestra seguridad?
La respuesta no está únicamente en la falta de conocimientos sobre ciberseguridad. También está en la comodidad, en la dificultad para recordar diferentes claves y en la falsa sensación de seguridad que produce pensar que “a mí no me va a pasar”.
Y esto no es una cuestión de edad.
Una experiencia que se repite desde los 9 hasta los 88 años
Llevo desde 2015 impartiendo formación en diferentes áreas y para sectores muy diversos. Durante estos años he trabajado con personas de perfiles, profesiones y edades muy diferentes: desde niños de 9 años hasta personas de 88.
Hay algo que me ha llamado especialmente la atención y que se repite con una frecuencia sorprendente: la debilidad en la gestión de las contraseñas.
No importa demasiado que estemos hablando de una persona joven acostumbrada a utilizar aplicaciones constantemente o de alguien que está dando sus primeros pasos en el mundo digital. En muchos casos aparecen los mismos comportamientos:
- Utilizar la misma contraseña para diferentes servicios;
- Crear contraseñas fáciles de recordar;
- Utilizar nombres, fechas o información personal;
- Cambiar únicamente algún número o carácter cuando una plataforma obliga a modificarla;
- Guardar las claves en lugares poco seguros;
- y evitar utilizar contraseñas diferentes porque “es imposible acordarse de todas”.
Una de las frases que más escucho en las formaciones es precisamente esa:
“Es que necesito una contraseña que pueda recordar”.
Y es comprensible.
El problema aparece cuando la facilidad para recordar una contraseña se convierte en el principal criterio para decidir si es segura.
El verdadero problema no es tener una contraseña débil: es reutilizarla
Imaginemos que utilizamos la misma contraseña para nuestro correo electrónico, una tienda online, una red social y una plataforma profesional.
La contraseña puede parecer suficientemente segura. Puede tener mayúsculas, números y algún símbolo, en mis clases y consultorías siempre recomiendo el uso de técnicas mnemotécnicas, aunque siguen si ser del todo robustas, esto me lo confirmó personalmente en la WordCamp Madrid 2023 uno de los ponentes: Nestor Angulo, experto en ciberseguridad, pero son mucho más seguras que las típicas fechas de aniversarios e iniciales de familiares cercanos.
La cuenta oficial de Policia en redes sociales también recomienda esta técnica.
En mis formaciones siempre pongo este ejemplo: si esa misma contraseña que se utiliza en Gmail se filtra en una de las plataformas, el problema deja de afectar únicamente a esa cuenta.
Además recalco mucho que esto no lo digo yo, cito fuentes fidedignas como INCIBE, el Instituto Nacional de Ciberseguridad en el que advierte: “debemos considerar la importancia de proteger adecuadamente nuestras cuentas, ya que, si alguien nos las roba, además de acceder a toda nuestra información almacenada, podría dañar nuestra reputación al suplantar nuestra identidad por la Red”.
Los ciberdelincuentes pueden intentar utilizar las credenciales obtenidas en otros servicios. Este tipo de ataque, conocido como credential stuffing, aprovecha precisamente la reutilización de contraseñas.
Por eso, una de las reglas más importantes de la seguridad digital es sencilla:
Una cuenta, una contraseña.
Si una contraseña se ve comprometida, el daño queda limitado a esa cuenta y no se convierte automáticamente en una puerta de entrada al resto de nuestra vida digital.
¿Qué hace que una contraseña sea realmente segura?
Durante mucho tiempo hemos aprendido una especie de fórmula: mayúscula + minúscula + número + símbolo.
Pero la seguridad de una contraseña no depende únicamente de introducir determinados caracteres.
Las recomendaciones actuales ponen especial énfasis en la longitud, la unicidad y la dificultad para ser adivinada.
NIST establece actualmente que las contraseñas utilizadas como único factor de autenticación deben tener al menos 15 caracteres y desaconseja imponer reglas de composición que puedan llevar a los usuarios a realizar modificaciones predecibles.
Por ejemplo, cambiar:
María2025!
por:
María2026!
no supone necesariamente una mejora significativa si alguien ya conoce la estructura de la contraseña.
Este comportamiento es precisamente uno de los problemas que observo habitualmente en formación.
Cuando una plataforma solicita cambiar la contraseña, muchas personas no crean una nueva clave. Simplemente modifican una parte de la anterior.
Cambiar la contraseña no siempre significa mejorarla
Existe una idea muy extendida: “Tengo que cambiar mi contraseña cada cierto tiempo”.
Sin embargo, las recomendaciones actuales han evolucionado.
NIST señala que las reglas que obligan a realizar cambios periódicos pueden provocar que los usuarios hagan modificaciones predecibles, generando contraseñas más débiles.
Por tanto, no se trata simplemente de cambiar una contraseña por otra.
La pregunta correcta debería ser:
¿La nueva contraseña es realmente diferente, suficientemente larga y no está siendo utilizada en ningún otro servicio?
Si la respuesta es no, probablemente solo estamos cambiando la apariencia de la contraseña, no mejorando realmente nuestra seguridad.
Eso sí, si una contraseña ha sido comprometida, existe sospecha de acceso no autorizado o se produce una brecha que pueda haber expuesto las credenciales, debe sustituirse.
“Pero yo no puedo recordar 30 contraseñas”
Este es probablemente uno de los argumentos más habituales para evitar el uso de contraseñas seguras.
Y también uno de los más comprensibles.
Si tenemos que utilizar una contraseña diferente para cada servicio, ¿cómo podemos recordar todas?
La respuesta no debería ser utilizar la misma contraseña para todo.
La solución puede estar en utilizar un gestor de contraseñas.
Estas herramientas permiten generar contraseñas largas y diferentes para cada cuenta y almacenarlas de forma segura, de manera que el usuario no tenga que memorizarlas todas.
Esto cambia completamente la relación que tenemos con nuestras contraseñas.
Ya no necesitamos pensar:
“¿Qué contraseña voy a inventarme para esta página?”
Podemos dejar que el gestor genere una contraseña aleatoria y única.
Nosotros solo necesitamos proteger adecuadamente el acceso al propio gestor.
La contraseña ya no debería ser nuestra única barrera de seguridad
Aunque tengamos una contraseña larga y única, existe otro problema: las contraseñas pueden ser robadas.
Un ciberdelincuente puede obtenerlas mediante phishing, filtraciones de datos, malware u otras técnicas.
NIST recuerda que incluso una contraseña larga y compleja puede verse comprometida si el usuario es engañado para entregarla, por ejemplo, mediante una página falsa de inicio de sesión.
Por eso es tan importante añadir una segunda capa de protección.
La autenticación multifactor (MFA) permite solicitar una segunda prueba de identidad además de la contraseña. Puede consistir, dependiendo del servicio, en una aplicación de autenticación, una notificación en el teléfono, una llave de seguridad o determinados mecanismos biométricos.
Si alguien consigue nuestra contraseña, tener activado MFA puede impedir que acceda directamente a nuestra cuenta.
Y existe una tecnología que está ganando cada vez más protagonismo: las passkeys, que permiten autenticarse sin utilizar una contraseña tradicional y son resistentes a determinadas formas de phishing.
Cinco errores con las contraseñas que deberíamos evitar
Si tuviéramos que resumir los principales problemas de gestión de contraseñas que encuentro en las formaciones, podríamos hablar de cinco:
1. Utilizar la misma contraseña en diferentes servicios
Es uno de los errores más peligrosos.
Una filtración puede terminar afectando a varias cuentas.
2. Crear contraseñas basadas en información personal
Nombre, cumpleaños, mascota, hijos, pareja, ciudad o equipo de fútbol pueden parecer fáciles de recordar, pero también pueden ser fáciles de investigar.
3. Modificar siempre la misma contraseña
Cambiar Password2025! por Password2026! no equivale a crear una contraseña completamente nueva.
4. Guardar las contraseñas sin protección
Un documento llamado “contraseñas”, una nota visible en el escritorio o un archivo sin protección no son soluciones adecuadas para gestionar credenciales.
5. No activar la autenticación multifactor
Una contraseña es una barrera. MFA añade otra.
Utilizar ambas medidas proporciona una protección mucho mayor que confiar exclusivamente en una contraseña.
La seguridad digital también es una cuestión de hábitos
Después de tantos años formando a personas, cada vez tengo más claro que el problema no consiste únicamente en explicar qué es una contraseña segura.
El verdadero reto es conseguir que las personas incorporen buenos hábitos digitales.
Podemos explicar durante una formación que cada servicio debe tener una contraseña diferente. Podemos enseñar cómo funciona un gestor de contraseñas. Podemos explicar qué es el phishing y por qué no debemos introducir nuestras credenciales en cualquier enlace.
Pero si al día siguiente una persona vuelve a utilizar la misma contraseña porque “es más fácil”, el conocimiento no se ha convertido todavía en un hábito.
Y esto afecta a todas las edades.
La transformación digital ha hecho que utilicemos cada vez más servicios online, pero no siempre ha ido acompañada de una transformación equivalente en nuestros hábitos de seguridad.
¿Qué podemos hacer hoy para que nuestras contraseñas sean seguras?
No hace falta cambiar toda nuestra vida digital en una tarde.
Podemos empezar por nuestras cuentas más importantes:
1. Identificar las cuentas críticas.
Correo electrónico, banca, administración pública, almacenamiento en la nube y redes sociales deberían estar entre las primeras.
2. Comprobar si reutilizamos contraseñas.
Si una misma clave aparece en varios servicios, debemos considerarla una prioridad.
3. Crear contraseñas únicas y largas.
Siempre que sea posible, podemos utilizar un gestor para generarlas.
4. Activar MFA.
Especialmente en las cuentas que contienen información personal, financiera o profesional.
5. Revisar las cuentas antiguas.
Las cuentas que ya no utilizamos también pueden representar un riesgo si conservan credenciales reutilizadas.
6. Considerar el uso de passkeys cuando estén disponibles.
Son una alternativa cada vez más extendida frente a las contraseñas tradicionales.
De la seguridad de nuestras cuentas a la seguridad de las empresas
Cuando hablamos de contraseñas solemos pensar en nuestra cuenta personal de correo electrónico, Instagram o Amazon.
Pero el problema adquiere otra dimensión cuando trasladamos estas prácticas al entorno profesional.
Un empleado puede tener acceso a información de clientes, documentación interna, herramientas de gestión, aplicaciones financieras, correo corporativo o sistemas críticos de la empresa.
Por eso, la gestión de contraseñas seguras no es únicamente una responsabilidad individual: forma parte de la estrategia de ciberseguridad de cualquier organización.
Una empresa puede invertir en tecnología, instalar sistemas de protección y contratar servicios de ciberseguridad y, sin embargo, mantener una vulnerabilidad importante si sus usuarios utilizan contraseñas débiles o reutilizadas.
La tecnología puede protegernos de muchas amenazas.
Pero los hábitos de las personas siguen siendo una parte esencial de la ecuación.
La entrevista: qué está pasando realmente en las empresas
Para profundizar precisamente en esta cuestión y conocer cómo está evolucionando la ciberseguridad desde la perspectiva empresarial, hemos hablado con Doris Seedorf, CEO de Softtek para España.
Su experiencia permite ampliar el debate más allá de las contraseñas personales y analizar cuestiones como la evolución de las amenazas, el comportamiento de los empleados, la responsabilidad de las empresas y el papel que están desempeñando tecnologías como la inteligencia artificial en la seguridad digital.
- Como formadora en digitalización, detecto una constante falta de importancia en el uso de las contraseñas. ¿Qué podemos decir a personas y empresas para concienciar sobre el uso de contraseñas robustas?
Aquí debemos puntualizar que la contraseña no es un obstáculo burocrático, sino la primera línea de defensa de nuestra identidad y patrimonio digital. A las personas debemos explicarles que una clave robusta protege su privacidad y sus ahorros, mientras que a las empresas les recordamos que la seguridad es un pilar de la continuidad del negocio. En Softtek promovemos que una contraseña fuerte es, en última instancia, una manera de invertir en tranquilidad con el objetivo de evitar incidentes de alto impacto reputacional y financiero.
- ¿Qué tan seguro es el llavero de contraseñas de Google?
El gestor de contraseñas de Google es una herramienta sumamente robusta para el usuario general, ya que integra estándares de cifrado de alto nivel y se beneficia de la infraestructura de seguridad global de Google. Su eficacia real reside en la protección de la cuenta principal; por ello, siempre subrayamos la necesidad de activar la autenticación en dos pasos. Si la cuenta de Google está bien protegida, el llavero es una muy buena opción para mitigar riesgos en el ecosistema digital.
- ¿Por qué es importante utilizar un gestor de contraseñas?
La importancia de un gestor radica en que permite conciliar la complejidad técnica con la agilidad humana. Al gestionar las claves de forma centralizada, estas herramientas eliminan el error común de reutilizar credenciales en distintos servicios, lo que evita que un fallo de seguridad en una plataforma comprometa toda la identidad digital del usuario. Además, al gestionar la introducción automática de credenciales, los gestores actúan como una barrera crítica contra el phishing.
Esto sucede porque el software vincula de forma criptográfica la contraseña a una dirección URL específica. Si un usuario accede por error a una página web fraudulenta que suplanta la identidad de uno legítimo, el gestor detectará que el dominio no coincide y no facilitará los datos. Esta ausencia de validación automática funciona como un sistema de alerta temprana y ayuda a proteger la información incluso cuando el usuario no percibe el engaño visual.
Si te ha gustado también te puede interesar…
- Adolescentes y rede sociales
- Riesgo de publicar fotos de tus hijos en redes sociales
- Influencers y su impacto en la sociedad
NOTA: La redacción, entrevista y estructura del artículo, así como los enlaces de referencia han sido creados y proporcionados por la redacción de la revista, se ha utilizado la Inteligencia artificial para revisar la estructura final.
Imagen de portada: Canva Pro
