La verdad incómoda sobre la reutilización de contraseñas, y qué realmente lo soluciona
Aquí una frase que suena dramática pero no es exagerada: si has usado la misma contraseña en más de un sitio web, hay una posibilidad muy real de que ya esté en alguna base de datos filtrada en línea — incluso si nada malo te ha pasado todavía.
Usualmente empieza con algo en lo que apenas piensas
Digamos que te registraste en un servicio de streaming hace años, usando tu correo y una contraseña que has reutilizado varias veces — quizás la misma que usas también para tu cuenta de correo. Ese servicio de streaming sufre una filtración (esto les pasa a empresas grandes y pequeñas, constantemente), y tu combinación de correo y contraseña termina en una base de datos filtrada.
Un atacante no necesita adivinar nada. Simplemente prueba esa misma combinación en tu proveedor de correo. Si coincide, ya está dentro de tu correo — y desde ahí, puede restablecer las contraseñas de tu banco, compras en línea, o redes sociales, ya que la mayoría de los enlaces de "olvidé mi contraseña" van directo a tu bandeja de entrada. Una contraseña reutilizada en un servicio en el que apenas piensas puede terminar comprometiendo las cuentas que más te importan.
Esto no se trata de ser descuidado. Se trata de cómo funcionan realmente las filtraciones, y una vez que entiendes la mecánica, la solución es genuinamente simple.
Por qué esto le pasa a tanta gente
Lo que acabas de leer tiene un nombre: credential stuffing (relleno de credenciales). Funciona porque muchísima gente reutiliza contraseñas en varias cuentas, y no es un caso raro — investigadores de seguridad que estudiaron miles de millones de contraseñas filtradas encontraron que la gran mayoría estaban reutilizadas o duplicadas entre cuentas.
Ese dato importa más que casi cualquier otra cosa en este artículo: la reutilización es lo que convierte la filtración de una empresa en tu problema, aunque tú personalmente no hiciste nada mal cuando esa otra empresa fue hackeada.
Cómo revisar si tu información ya fue expuesta
Existe una herramienta gratuita y confiable para esto llamada Have I Been Pwned (haveibeenpwned.com). Escribes tu dirección de correo, y te dice si esa dirección apareció en alguna filtración de datos conocida — y en cuáles. La administra un investigador de seguridad reconocido y es ampliamente usada y citada por profesionales de seguridad, no un sitio de terceros dudoso.
Si encuentras tu correo en la lista, no entres en pánico — esto es extremadamente común, y no significa que tus cuentas estén comprometidas en este momento. Significa que esa dirección de correo apareció en alguna filtración en algún momento. Lo que importa es qué haces después: cambia la contraseña de esa cuenta, y si usaste esa misma contraseña en algún otro lugar, cámbiala ahí también.
Qué hace realmente un administrador de contraseñas
Un administrador de contraseñas es una herramienta que genera y recuerda contraseñas fuertes y únicas para cada sitio que usas, para que tú no tengas que hacerlo. Solo necesitas recordar una contraseña maestra para desbloquearlo.
Esto es por qué esto importa en la práctica: la razón por la que la gente reutiliza contraseñas no es pereza, es memoria. Nadie puede recordar 80 contraseñas complejas diferentes. Un administrador de contraseñas elimina ese problema por completo — puede generar algo como una contraseña aleatoria de 20 caracteres para tu banco, una diferente para tu correo, una diferente para cada sitio de compras, y nunca tienes que memorizar ninguna.
Opciones populares y confiables incluyen Bitwarden, 1Password, y los administradores de contraseñas ya integrados en Chrome, Safari y Windows. Cualquiera de estos es una mejora significativa sobre reutilizar contraseñas, incluso las opciones gratuitas integradas.
La longitud importa más que la complejidad
Durante años, el consejo fue "usa una mezcla de mayúsculas, números y símbolos." Esa recomendación en realidad cambió. Las guías de seguridad actuales (incluyendo las del NIST, la agencia de EE.UU. que establece estos estándares) ahora enfatizan la longitud por encima de requisitos complicados de caracteres.
Una frase larga y memorable como caballo-correcto-bateria-grapa es genuinamente más difícil de descifrar para herramientas automatizadas que algo como C0ntraseña1, porque la longitud aumenta el número de combinaciones posibles de forma exponencial, mientras que sustituciones "ingeniosas" como @ por a y 0 por o ya están consideradas en la mayoría de las herramientas de descifrado.
La lección práctica: más larga es mejor que más "ingeniosa." Un administrador de contraseñas hace esto fácil ya que puede generar contraseñas largas y aleatorias automáticamente — no tienes que inventar frases ingeniosas tú mismo a menos que quieras.
Dónde esto se conecta con la autenticación de dos factores
Si ya activaste la autenticación de dos factores (2FA) después de nuestro artículo anterior sobre esto — esa es una capa fuerte adicional de protección. Un administrador de contraseñas y la 2FA trabajan juntos: el administrador de contraseñas evita que los atacantes entren con una contraseña robada, y la 2FA los detiene incluso si de alguna forma sí consiguieron tu contraseña. Ninguno reemplaza al otro; cubren debilidades diferentes.
La versión corta
La reutilización de contraseñas, no las contraseñas "débiles," es la razón principal por la que las cuentas realmente terminan hackeadas — porque una filtración en una empresa puede exponer tu contraseña en todos los demás lugares donde la usaste. Revisa haveibeenpwned.com para ver si tu correo apareció en alguna filtración conocida. Usa un administrador de contraseñas para dejar de reutilizar contraseñas, y prefiere frases largas sobre cadenas de caracteres complicadas. Combinado con la 2FA, esto cubre las dos formas más comunes en que las cuentas realmente se ven comprometidas.
