Con motivo del Día Mundial de la Contraseña en Business Insider España recopila consejos de expertos para que dejemos de utilizar la típica secuencia de número como 123456 o nuestro nombre o nuestra fecha de cumpleaños como clave para acceder a sitios tan importantes como puede ser nuestro banco o servicios que nos parecen menos importantes pero que para los ciberdelincuentes son la peurta de acceso a todos nuestros datos personales. Las contraseñas antes mencionadas no están elegidas al azar. Las seguimos utilizando, junto a admin o pasword, que dejamos por pereza en algunas ocasiones, son las que menos tiempo cuesta hackearlas. Y ahora en pleno boom de la IA, menos todavía. Aprendamos de una vez por todas cómo generar una contraseña segura y, lo más importante, de la que nos acordemos si no utilizamos los gestores de contraseñas.

Cómo crear una contraseña segura

Construir una buena contraseña “no va de poner símbolos raros, sino de hacerlo resistente a ataques reales y que sea fácil de gestionar”, aseguran desde Panda Security.  Muchas veces es mejor una frase larga que algo críptico. Por eso mismo, es recomendable usar passphrases, que son más sencillas de recordar y mucho más difíciles de romper”. Y aunque es cierto que cada vez más servicios exigen claves de al menos 10 caracteres, con mayúsculas, números o símbolos no hay que desesperarse y construir una contraseña robusta.

En nuestro diseño del mejor password hay que evitar incluir información personal, como fechas de nacimiento, nombres de hijos o equipos de fútbol. “Porque es lo primero que prueban los atacantes”, y nunca reutilizar una contraseña. Esta es la regla más básica”.

Utilizar una sola palabra como contraseña, incluso añadiendo un número o símbolo, sigue siendo una opción débil. Es un patrón demasiado predecible. Lo más recomendable es crear frases de contraseña que combinen varias palabras sin relación entre sí, incorporando números, símbolos e incluso pequeñas variaciones intencionadas. Cuanto más larga, aleatoria e impredecible sea, más difícil será de descifrar. Además, es fundamental activar la autenticación en dos factores siempre que sea posible”, añade Alexey Antonov, experto de Kaspersky.

Hoy en día, una contraseña segura debe tener más de 16 caracteres y combinar letras, números y símbolos de forma aleatoria, sin repeticiones ni patrones. Además, es fundamental que cada cuenta tenga una contraseña única.

Cuánto tardan en hackear tu contraseña

El 60% de las contraseñas puede descifrarse en una hora, y casi el 70% en menos de un día. Así lo recoge un estudio de Kaspersky tras analizar 231 millones de contraseñas filtradas. De todas ellas, el 53% de las contraseñas termina en números, el 17% comienza con cifras, cerca del 12% incluye secuencias que recuerdan a fechas y el 3% utiliza combinaciones simples como “1234”.

Lista de contraseñas menos seguras

Muchos ciberataques empiezan con una llamada

Desde Zepo Intelligence señalan que el problema no es solo la fortaleza de la credencial, sino los métodos de manipulación psicológica que llevan a las personas a entregarla. "El atacante no adivina la contraseña. Pide que se la den", recuerdan. Y es que las técnicas más extendidas que comprometen credenciales en entornos empresariales no dependen de la complejidad de la clave. Dependen de la capacidad del atacante para crear una situación en la que la víctima actúe sin cuestionarla.

El vishing de helpdesk es un ejemplo representativo. El atacante llama haciéndose pasar por soporte técnico interno, informa de una supuesta brecha de seguridad y guía al empleado para que cambie su contraseña a través de un portal falso. La urgencia del contexto, la autoridad percibida de quien llama y la familiaridad del proceso hacen que la persona actúe sin dudar. Así, el ataque funciona, explican los expertos de  Zepo.

El lado oscuro de la IA

Los atacantes utilizan herramientas de inteligencia artificial para personalizar los mensajes de phishing a escala. Correos sin errores ortográficos, con referencias al nombre del empleado, su cargo y su empresa, generados automáticamente a partir de datos disponibles en fuentes públicas. 

El resultado es un mensaje que no activa los patrones de alerta que el empleado ha aprendido a identificar en la formación de concienciación estándar. El problema no es que el empleado no sepa que existe el phishing. Es que el mensaje que recibe no se parece al que le enseñaron a evitar.

Pero no solo. A la hora de poder adivinar posibles contraseñar los ciberdelincuentes tienen como aliada a la IA. Si piensan en contraseñas comunes, como las arriba explicadas les puede pedir numerosas combinaciones hasta encontrar la tuya si es así de débil. 

Fin de las contraseñas

Hoy una persona media gestiona entre 70 y 100 contraseñas en su día a día digital. En entornos más digitalizados o profesionales esta cifra puede elevarse hasta las 120 cuentas. Y la tendencia va en aumento. “Este volumen hace prácticamente imposible que un usuario pueda recordar contraseñas únicas y sólidas para cada servicio, y acabe reutilizándolas en varias cuentas”, advierte Hervé Lambert, Global Consumer Operation Manager de Panda Security. Para frenar este tipo de amenazas existen barreras defensivas "como el MFA o autenticación multifactor, una de las mejores herramientas".

Este contexto explican desde Factum que el auge de nuevas alternativas. La autenticación multifactor (MFA) se consolida como una capa imprescindible, mientras que tecnologías como passkeys y los tokens físicos están redefiniendo el modelo de autenticación.