Cada primer jueves de mayo, el mundo recibe el mismo recordatorio y, cada año, lo ignora de la misma manera. Este 7 de mayo se celebra el Día Mundial de la Contraseña, una fecha impulsada por empresas tecnológicas y organismos de ciberseguridad para concientizar sobre uno de los puntos más débiles de la vida digital: las claves de acceso que protegen, o deberían proteger, nuestra información personal, bancaria y laboral.
El informe que alarma: 231 millones de contraseñas analizadas
La firma de ciberseguridad Kaspersky publicó hoy un estudio que analizó 231 millones de contraseñas únicas filtradas en la dark web entre 2023 y 2026. Los resultados señalan que el 60,2% de las contraseñas puede descifrarse en aproximadamente una hora, y el 68,2% en menos de un día, incluso cuando esas claves cumplen parcialmente con los requisitos básicos de seguridad, como incluir números, letras y símbolos.
El problema, según los investigadores, no es solo la debilidad de las contraseñas, sino la predictibilidad de los patrones que usan los usuarios. El 53% de las claves analizadas termina en números; el 17% comienza con ellos. El símbolo más frecuente es la arroba (@), presente en el 10% de los casos. Estos patrones son los primeros que prueban los algoritmos de ataque de fuerza bruta, especialmente los potenciados con inteligencia artificial.
¿Cuáles son los errores más comunes en una contraseña?
Los usuarios siguen cayendo en los mismos errores. Y Kenny Lajara, programador senior experto en seguridad de aplicaciones, lo explica con claridad:
«Los errores comunes son utilizar su nombre, nombre de familiares, nombre de sus hijos. Llegados a ello, utilizar fechas relacionadas con ellos como su fecha de nacimiento o utilizar números de identificación, cosas que de alguna manera se puedan vincular a esa persona. Si yo fuera un atacante, lo primero que intentaría es lanzar un ataque de fuerza bruta, donde voy a intentar automáticamente muchas combinaciones de palabras, y entre esas combinaciones voy a incluir nombre de tus hijos, nombre de tus familiares, tu nombre y tus fechas.»
Lajara advierte también sobre otro error menos obvio pero igual de peligroso: usar palabras que aparecen en el diccionario, aunque no estén relacionadas con la persona.
«Muchas veces estos ataques automáticos, aunque no vayan dirigidos a ti específicamente, utilizan lo que se llama un dictionary attack: toman palabras que se encuentran en un diccionario, las combinan con números y cosas así para encontrar combinaciones que resulten ser, por azar, la contraseña de alguien.»