Las contraseñas de ocho caracteres llevan años sin ofrecer protección real, y la mayoría de la gente lo desconoce. Un ordenador moderno equipado con una tarjeta gráfica de gama alta puede probar miles de millones de combinaciones por segundo, lo que convierte en papel mojado cualquier clave corta. La seguridad de las contraseñas tiene una debilidad estructural que el sector tecnológico conoce desde hace tiempo pero que ha tardado en comunicar con claridad.
Durante años, el estándar recomendado fue el de ocho caracteres con mayúsculas, minúsculas, números y algún símbolo. La lógica parecía sólida: las combinaciones posibles son teóricamente enormes. El problema es que esa lógica ignoraba cómo evolucionaría la capacidad de cómputo, y también cómo se comportan los humanos cuando eligen contraseñas.
¿Cuánto tarda un ordenador en descifrar una contraseña de ocho caracteres?
Una contraseña de ocho caracteres que combine letras mayúsculas, minúsculas, números y símbolos tiene alrededor de 200.000 millones de combinaciones posibles. Parece mucho. Una tarjeta gráfica como la Nvidia RTX 4090, usada en ataques de fuerza bruta con herramientas como Hashcat, puede probar hasta 164.000 millones de combinaciones por segundo en hashes MD5, uno de los algoritmos de cifrado más extendidos históricamente. El tiempo necesario para romperla se reduce a poco más de un segundo.
No todos los sistemas usan MD5, y los más modernos emplean algoritmos como bcrypt o Argon2, diseñados precisamente para ralentizar estos ataques. Pero muchas bases de datos robadas en los últimos años usaban hashes débiles, y las contraseñas cortas que contenían palabras del diccionario caían en cuestión de milisegundos. La longitud importa, y ocho caracteres dejó de ser suficiente hace más de una década.
El Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST) actualizó sus directrices en 2024 y lleva años recomendando contraseñas de al menos 16 caracteres. La Agencia de Ciberseguridad de la Unión Europea (ENISA) apunta en la misma dirección. El consenso técnico existe; lo que falla es la transmisión de ese mensaje al usuario medio, que sigue usando “Madrid2016!” creyendo que está protegido.
¿Por qué los humanos somos tan predecibles eligiendo contraseñas?
Los seres humanos seguimos patrones muy estables cuando creamos contraseñas, y los atacantes lo saben perfectamente. Los análisis de bases de datos filtradas, como las que aparecen cada cierto tiempo en foros de la dark web, revelan siempre las mismas tendencias: palabras comunes, nombres propios, fechas y la adición de un número al final. “123456”, “password” y “qwerty” siguen apareciendo entre las más usadas año tras año según los informes anuales de NordPass.
Esto hace que los ataques de diccionario sean tan eficaces como los de fuerza bruta. En un ataque de diccionario, el sistema no prueba todas las combinaciones posibles sino que usa listas de contraseñas reales extraídas de filtraciones anteriores, combinadas con variaciones conocidas (“e” por “3”, “a” por “@”, mayúscula al principio). La herramienta ya sabe que “M4drid2016!” es exactamente el tipo de transformación que hace una persona real.
Las filtraciones de datos alimentan este ciclo de forma constante. Cuando una empresa sufre una brecha y sus contraseñas quedan expuestas, esos datos acaban formando parte de las listas que usan los atacantes en los siguientes ataques. Hay bases de datos con más de 10.000 millones de contraseñas reales en circulación, como la conocida como “RockYou2024”, publicada en 2024. Uno de los mitos más extendidos es que una contraseña con sustituciones de caracteres resulta difícil de adivinar para un software especializado; la realidad es que esas variaciones ya están incluidas en los diccionarios de ataque.
¿Qué hace que una contraseña sea realmente difícil de romper?
La longitud es el factor que más influye en la resistencia de una contraseña, por encima de la complejidad. Una frase larga de palabras aleatorias como “cielo-tractor-naranja-hospital” es estadísticamente más difícil de romper que “X9#mP2$q”, aunque esta última parezca más segura a simple vista. La entropía sube de forma exponencial con cada carácter añadido, mientras que añadir un símbolo especial a una clave corta apenas mueve la aguja.
El método de las “passphrases” (frases de contraseña) lleva tiempo siendo recomendado por expertos en seguridad como Bruce Schneier. La idea es encadenar cuatro o cinco palabras aleatorias que no formen una frase con sentido, lo que genera una clave larga, memorable y extremadamente difícil de atacar por fuerza bruta. El gestor de contraseñas Bitwarden, por ejemplo, incluye un generador de frases de contraseña precisamente por esta razón.
Los gestores de contraseñas son la solución práctica para la mayoría de usuarios. Aplicaciones como 1Password, Bitwarden o KeePass generan y almacenan contraseñas largas y aleatorias para cada servicio, de forma que el usuario solo necesita recordar una única clave maestra robusta. La evolución de los sistemas de autenticación apunta precisamente a reducir la dependencia de contraseñas memorizadas, pero mientras eso no sea universal, un gestor es la alternativa más accesible.
La autenticación en dos pasos añade otra capa de protección que compensa muchas debilidades. Aunque alguien obtenga tu contraseña, necesitará también acceso a tu teléfono o a tu aplicación de autenticación para entrar. No es perfecta: los ataques de SIM swapping pueden comprometer los códigos enviados por SMS. Sin embargo, incluso con esa limitación, activar el segundo factor reduce drásticamente el riesgo frente a no tenerlo.
¿Reutilizar contraseñas es tan peligroso como dicen?
Reutilizar la misma contraseña en varios servicios es, en la práctica, uno de los comportamientos más arriesgados que puede tener un usuario. Cuando una plataforma sufre una brecha y sus credenciales quedan expuestas, los atacantes las prueban automáticamente en cientos de otros servicios mediante técnicas conocidas como “credential stuffing”. Si la contraseña es la misma en todos lados, una sola filtración compromete todo.
La escala del problema queda clara con los números. El informe “Data Breach Investigations Report” de Verizon de 2024 señala que las credenciales robadas o filtradas estuvieron implicadas en más del 77% de las brechas analizadas ese año. No siempre se trata de ataques sofisticados: en muchos casos, el acceso se consigue con contraseñas ya conocidas, probadas en un servicio diferente al original.
Vale la pena recordar que las empresas también tienen responsabilidad en esto. Una plataforma que almacena contraseñas en texto plano o con hashes débiles está poniendo en riesgo a sus usuarios independientemente de lo buena que sea la clave elegida. Algunos de los errores más costosos de la historia tecnológica tienen que ver precisamente con decisiones de seguridad que parecían suficientes en su momento y que después resultaron catastróficas. La seguridad de las contraseñas es una responsabilidad compartida, aunque al usuario le cueste verlo así cuando recibe el correo de “hemos detectado acceso no autorizado a tu cuenta”.
Los servicios que permiten contraseñas de ocho caracteres como máximo, o que rechazan caracteres especiales y frases largas, están limitando activamente la seguridad de sus usuarios. Es una práctica heredada de decisiones de diseño antiguas que nunca se actualizaron, y sigue siendo más habitual de lo que debería en 2025.
¿Hay alternativas reales a las contraseñas que ya estén funcionando?
Las passkeys son la alternativa más madura que existe hoy. En lugar de una contraseña, el sistema genera un par de claves criptográficas: una pública, que guarda el servicio, y una privada, que queda en el dispositivo del usuario. La autenticación se hace sin transmitir ningún secreto, lo que elimina el riesgo de que una filtración exponga credenciales. Apple, Google y Microsoft adoptaron las passkeys en 2022 y 2023, y el número de servicios compatibles ha crecido desde entonces.
La adopción masiva avanza con lentitud porque implica cambios en infraestructuras que muchas empresas no están dispuestas a abordar con urgencia, y porque los usuarios desconfían de lo que no conocen. Hay también preguntas sin respuesta clara sobre qué ocurre cuando pierdes el dispositivo que almacena tu clave privada, aunque los sistemas actuales incluyen mecanismos de recuperación. El trabajo de los especialistas en seguridad ofensiva es precisamente el que va encontrando los puntos débiles de estos nuevos sistemas antes de que los encuentren quienes quieren explotarlos.
La biometría, el reconocimiento facial y el uso de tokens físicos como las llaves YubiKey son otras opciones que llevan tiempo en el mercado, con distintos grados de adopción según el contexto. En entornos corporativos son más habituales; para el usuario de a pie, todavía no han llegado de forma natural.
El panorama está cambiando, aunque más despacio de lo que la gravedad del problema exigiría. Mientras tanto, los métodos de ataque siguen refinándose, y la ingeniería social convierte en irrelevante cualquier contraseña cuando el propio usuario acaba entregándola sin saberlo.
¿Seguiremos discutiendo lo mismo dentro de diez años?
La debilidad estructural de las contraseñas lleva décadas siendo conocida y, sin embargo, el mundo digital sigue organizado en torno a ellas. Las alternativas existen, los gestores son accesibles, las passkeys llevan años disponibles en los principales sistemas operativos. Y aun así, millones de cuentas se siguen protegiendo con claves de ocho caracteres que un ordenador descifra en segundos. La pregunta real no es técnica: es por qué la distancia entre lo que sabemos que funciona y lo que la gente realmente hace sigue siendo tan grande, y quién tiene la responsabilidad de cerrarla.
Los datos personales que circulan tras cada filtración no desaparecen: una vez que tus credenciales están fuera, permanecen en circulación indefinidamente, combinándose con información de otras brechas. Eso hace que el problema de la seguridad de las contraseñas y su debilidad acumulada sea cada vez mayor, no menor, a medida que pasan los años. La pregunta es si llegaremos a resolverlo antes de que el daño sea demasiado difícil de reparar, o si simplemente seguiremos cambiando la contraseña y poniendo una con nueve caracteres.
Preguntas frecuentes
¿Cuántos caracteres debería tener una contraseña segura hoy?
El NIST recomienda desde 2024 un mínimo de 16 caracteres. Cuantos más, mejor, especialmente si se combinan palabras aleatorias en lugar de frases con sentido. La longitud protege más que la complejidad: una contraseña larga con palabras simples es más difícil de romper que una corta llena de símbolos.
¿Es seguro usar un gestor de contraseñas?
Los gestores de contraseñas como Bitwarden, 1Password o KeePass son considerados seguros por la comunidad de ciberseguridad. El riesgo principal es olvidar la contraseña maestra o que el propio gestor sufra una brecha, algo que ha ocurrido en casos como el de LastPass en 2022. Aun así, el balance es favorable frente a reutilizar contraseñas débiles.
¿Qué es un ataque de fuerza bruta exactamente?
Un ataque de fuerza bruta consiste en probar sistemáticamente todas las combinaciones posibles de caracteres hasta encontrar la contraseña correcta. Con hardware moderno, las contraseñas cortas caen en segundos o minutos. Los ataques de diccionario son una variante más eficiente que usa listas de contraseñas reales extraídas de filtraciones anteriores.
¿Las passkeys son realmente más seguras que las contraseñas?
Sí, en términos técnicos. Las passkeys eliminan el riesgo de filtraciones de contraseñas porque nunca se transmite un secreto al servidor: la autenticación usa criptografía de clave pública. No son perfectas (dependen del dispositivo donde se almacena la clave privada), pero resuelven los problemas más habituales ligados a las contraseñas tradicionales.
¿Cómo sé si mis contraseñas ya han sido filtradas?
El servicio Have I Been Pwned (haveibeenpwned.com) permite comprobar si tu dirección de correo o una contraseña concreta aparece en bases de datos de filtraciones conocidas. Es gratuito y está mantenido por el investigador de seguridad Troy Hunt. Muchos gestores de contraseñas incluyen esta comprobación de forma automática.
¿Sirve de algo cambiar la contraseña cada tres meses?
El NIST revisó esta recomendación y ya no aconseja cambios periódicos obligatorios, porque en la práctica llevan a los usuarios a elegir contraseñas peores y más predecibles. Lo que sí tiene sentido es cambiarla cuando hay una filtración conocida o cuando existe sospecha de acceso no autorizado, no de forma rutinaria sin motivo.
