La recomendación de siempre era usar contraseñas complicadas: mayúsculas, números, símbolos. Resulta que ese nunca fue el problema principal.
El problema real es la reutilización. Y es un problema que la memoria humana no puede resolver.
Cómo te roban la cuenta en realidad
El escenario que imagina la mayoría es alguien intentando adivinar su contraseña a fuerza de intentos. Eso casi no ocurre: los servicios bloquean la cuenta tras unos cuantos fallos.
Lo que sí ocurre se llama relleno de credenciales. Funciona así:
- Un servicio cualquiera sufre una filtración y se publican millones de correos con sus contraseñas.
- Un atacante toma esa lista y la prueba automáticamente en decenas de otros servicios: bancos, correo, redes, plataformas de trabajo.
- Cada persona que usaba la misma contraseña en varios sitios queda comprometida en todos ellos a la vez.
Ahí está el punto: tu contraseña puede ser larguísima e impronunciable, pero si la repites en cinco sitios, basta con que el más descuidado de esos cinco sea vulnerado. Y tú no controlas la seguridad de ninguno de ellos.
Compruébalo ahoraCon ¿Mi contraseña fue filtrada? puedes ver si una contraseña tuya aparece en filtraciones conocidas. No se envía: tu navegador calcula su huella SHA-1 y solo manda los 5 primeros caracteres. Si aparece, cámbiala en todos los sitios donde la repetiste.
Por qué la memoria no da abasto
Una persona promedio tiene entre 80 y 150 cuentas. Para estar realmente protegido necesitarías una contraseña distinta y larga en cada una. Nadie recuerda eso. Así que la gente hace lo único posible: repite, o usa variaciones predecibles del mismo patrón, que los atacantes también prueban.
Qué hace un gestor de contraseñas
Un gestor guarda todas tus contraseñas en una bóveda cifrada. Tú recuerdas una sola: la contraseña maestra. El gestor genera contraseñas largas y aleatorias para cada sitio, y las rellena por ti.
El beneficio no es la comodidad, aunque la hay. Es que hace posible algo que sin él es inviable: tener una contraseña distinta en cada servicio.
La objeción que todo el mundo hace
«¿Y si hackean al gestor? Estaría poniendo todos los huevos en la misma canasta.»
Es una preocupación legítima y merece una respuesta honesta. Los gestores serios usan cifrado de conocimiento cero: el cifrado y descifrado ocurren en tu dispositivo, y la empresa almacena un bloque cifrado que ni sus propios empleados pueden leer. Cuando ha habido filtraciones en estos servicios, lo que se llevaron fueron esas bóvedas cifradas, no las contraseñas en claro.
La comparación correctaNo es «gestor contra sistema perfecto», sino «gestor contra repetir la misma contraseña en cuarenta sitios». En esa comparación no hay duda.
La contraseña maestra y el segundo factor
Tu contraseña maestra es la única que debes memorizar, así que hazla larga y fácil de recordar. Una frase de cuatro o cinco palabras sin relación entre sí es mejor que ocho caracteres con símbolos: más larga, más difícil de adivinar por fuerza bruta, y la recuerdas sin apuntarla.
Para crear la fraseEl generador de contraseñas tiene un modo «Frase de palabras» que arma la frase al azar en tu dispositivo, sin enviarla a ningún servidor. Más difícil de adivinar que una que inventes tú, igual de fácil de recordar.
Prefiere la app al SMSActiva la verificación en dos pasos en el gestor y en tus cuentas críticas. Si puedes elegir, usa una aplicación de autenticación antes que los mensajes de texto: el SMS es vulnerable al robo de línea.
Tres pasos para esta semana
- Instala un gestor y crea la contraseña maestra como frase larga.
- Migra primero las cuentas críticas: correo principal, banco, y el correo de recuperación de todo lo demás.
- Activa verificación en dos pasos en esas mismas cuentas.
El resto lo vas migrando a medida que entras a cada sitio. No necesitas hacerlo todo hoy. Necesitas empezar por donde más duele perder.