ACTUALIZACIÓN: Esta entrada, publicada originalmente en May 6, 2021, se ha actualizado para ofrecer una visión más detallada del Día Mundial de la Contraseña. Aunque los aspectos fundamentales de la jornada no han variado, esta actualización incluye información adicional y explicaciones detalladas para mejorar su comprensión de las últimas tecnologías y las mejores prácticas para mantener una sólida seguridad de las contraseñas en el panorama digital actual.
Hoy se celebra el Día Mundial de la Contraseña, que tiene lugar cada año el primer jueves de mayo. Esta jornada anima a particulares y organizaciones a mejorar de forma proactiva la seguridad de sus contraseñas mediante la creación de contraseñas seguras, la adopción de mejores hábitos y el mantenimiento de la información sobre las mejores prácticas en materia de ciberseguridad.
En este Día Mundial de la Contraseña, resulta fundamental reflexionar sobre el panorama cambiante de la ciberseguridad y el papel que desempeñan unas prácticas sólidas en materia de contraseñas a la hora de proteger nuestras identidades en línea y nuestras cuentas personales frente a las ciberamenazas.
Únase a nosotros para celebrar el Día Mundial de la Contraseña, en el que profundizaremos en esta efeméride y analizaremos las últimas novedades en materia de buenas prácticas con las contraseñas, incluyendo un análisis de las contraseñas más utilizadas, la importancia de las contraseñas seguras, los elementos que deben tenerse en cuenta a la hora de crear una buena contraseña y las mejores prácticas que puede empezar a aplicar hoy mismo.
Al adoptar medidas proactivas para reforzar las contraseñas y mejorar su nivel general de ciberseguridad, podemos construir colectivamente un entorno digital más seguro para todos.
Sigamos dando prioridad a la ciberseguridad para proteger lo que más importa.
¿Quién creó el Día Mundial de la Contraseña?
El Día Mundial de la Contraseña, instituido en el año 2013 por Intel, es un recordatorio anual de la importancia de proteger la clave de acceso a nuestras identidades cibernéticas. Desde su creación, esta jornada ha cobrado vida propia, y miles de personas, organizaciones como la Alianza Nacional para la Concienciación sobre la Ciberseguridad y grandes empresas tecnológicas como , Google (se abre en una nueva pestaña),y (que también es patrocinador fundador de la , la Alianza FIDO (se abre en una nueva pestaña),y ) comparten consejos para crear contraseñas seguras y mejorar las prácticas de ciberseguridad.
La evolución del Día Mundial de la Contraseña refleja el creciente reconocimiento de la necesidad de adoptar medidas sólidas de ciberseguridad. Aunque en un principio se centraba en promover el uso de contraseñas seguras, esta jornada destaca ahora también la importancia de la autenticación multifactorial (MFA) (se abre en una nueva pestaña) y de mantenerse informado sobre las mejores prácticas en materia de ciberseguridad. Este cambio pone de relieve los esfuerzos constantes por adaptarse al panorama de las amenazas cibernéticas, en constante evolución, así como la necesidad de mejorar continuamente las prácticas de seguridad digital.
Está claro que la necesidad de contar con contraseñas seguras y únicas nunca ha sido tan importante. Sin embargo, muchas personas siguen utilizando contraseñas débiles y fáciles de adivinar, lo que deja sus cuentas expuestas a las amenazas cibernéticas.
Analicemos las contraseñas más habituales y veamos por qué estas opciones suponen un riesgo considerable para nuestra seguridad digital.
¿Cuál es la contraseña más habitual?
A pesar de los avances tecnológicos, las contraseñas poco seguras siguen constituyendo una vulnerabilidad importante. Las contraseñas habituales, como «Password1», o aquellas que incluyen información personal fácil de adivinar —como fechas de nacimiento, nombres de mascotas, nombres de hijos o equipos deportivos favoritos—, pueden ser descubiertas fácilmente por los piratas informáticos, que a menudo supervisan las cuentas de las redes sociales para recabar este tipo de información.
Además, muchas de las contraseñas que se utilizan con más frecuencia siguen siendo sorprendentemente sencillas. Según el informe « : 2025 Specops Breached Password Report» ( ) (se abre en una nueva pestaña) () (), las contraseñas más robadas en 2024 son, entre otras, 123456, «admin» y «password». El informe también destaca que muchos usuarios tienden a utilizar contraseñas básicas y sencillas, como «admin» o «welcome», que pueden ser fácilmente vulneradas mediante ataques de diccionario.
Al comprender los riesgos asociados a las contraseñas comunes y adoptar medidas proactivas para reforzar las prácticas y políticas en materia de contraseñas, tanto las personas como las organizaciones pueden reducir considerablemente la probabilidad de que se produzcan accesos no autorizados y mejorar su nivel general de ciberseguridad.
En la siguiente sección, analizaremos la importancia de utilizar contraseñas seguras y únicas, y cómo estas pueden mejorar significativamente su nivel de ciberseguridad.
¿Por qué es importante utilizar una contraseña segura?
En una época en la que las amenazas cibernéticas son cada vez más sofisticadas, una sola contraseña comprometida puede acarrear consecuencias devastadoras, como el robo de identidad, pérdidas económicas y el acceso no autorizado a datos confidenciales.
A pesar de los riesgos bien conocidos asociados a las contraseñas débiles, muchas personas siguen utilizándolas o incluso reutilizan la misma contraseña en varias cuentas. Esta práctica aumenta considerablemente su vulnerabilidad frente a los ciberdelincuentes.
Considere este ejemplo: «solarwinds123»; esa es la contraseña que un empleado creó para acceder a un servidor seguro de la empresa de software de gestión de redes SolarWinds.
Todos conocemos el resto: los piratas informáticos irrumpieron en (se abre en una nueva pestaña) y lanzaron uno de los peores ciberataques de la historia de EE. UU., que afectó a 300 empresas y nueve agencias federales, y supuso unos costes de limpieza de hasta 100 000 millones de dólares (se abre en una nueva pestaña) .
«Los hackers no irrumpen, sino que inician sesión.»Índice de inteligencia sobre amenazas IBM X-Force 2025
Según el « » IBM X-Force 2025 Threat Intelligence Index (se abre en una nueva pestaña), también se ha registrado un aumento del 84 % en el número de programas de robo de información difundidos a través de correos electrónicos de phishing cada semana. Los ciberdelincuentes, que aprovechan la inteligencia artificial para ampliar el alcance y aumentar la eficacia de estos ataques de phishing, han propiciado este aumento del malware de robo de información, lo que ha dado lugar a que millones de credenciales robadas estén disponibles en la dark web.
Ahora que hemos dejado claro por qué es fundamental utilizar contraseñas seguras para proteger su identidad digital y su información confidencial, quizá se pregunte: ¿qué es lo que hace que una contraseña sea buena y segura? ¿Y cómo puede crear una que proteja eficazmente sus cuentas?
Analicemos las características clave que definen una buena contraseña, con consejos prácticos que le ayudarán a crear contraseñas que sean a la vez seguras y fáciles de recordar.
¿Qué caracteriza a una buena contraseña?
Tradicionalmente, se cree que añadir caracteres alfanuméricos, como números y los símbolos #, @ y &, es todo lo que se necesita para aumentar la seguridad de una contraseña, y algunas aplicaciones incluso lo exigen.
Sin embargo, lo que muchas personas no tienen en cuenta es que incluso las contraseñas que cumplen los requisitos de complejidad pueden seguir siendo vulnerables si forman parte de una lista conocida de contraseñas comprometidas.
Por ejemplo, una contraseña como «P@ssw0rd!» puede parecer segura, pero si se ha visto expuesta en una filtración de datos, resulta tan arriesgada como una contraseña sencilla. Además, la inclusión de estos caracteres puede, de hecho, dar lugar a una complejidad innecesaria.
Siempre es recomendable partir de la hipótesis más pesimista y consultar , «Have I Been Pwned» (se abre en una nueva pestaña),y para obtener una lista de las filtraciones de datos de empresas y de las direcciones de correo electrónico que han quedado expuestas.
Entonces, ¿por qué el hecho de disponer de una contraseña compleja ya no es el aspecto principal a la hora de garantizar la seguridad?
El Instituto Nacional de Estándares y Tecnología (NIST) ha dado a conocer recientemente un conjunto de directrices revolucionarias en materia de seguridad de las contraseñas, lo que supone un cambio con respecto a las prácticas tradicionales. Estas nuevas recomendaciones, que se detallan en , en la Publicación Especial n.º 800-63B del NIST (se abre en una nueva pestaña), tienen por objeto reforzar la ciberseguridad y, al mismo tiempo, mejorar la experiencia del usuario.
Una de las novedades más significativas del enfoque del NIST es el énfasis que se pone en la longitud de la contraseña, por encima de su complejidad. Alejándose de la idea generalizada de mezclar mayúsculas y minúsculas, números y caracteres especiales, el NIST da ahora prioridad a la longitud de las contraseñas como factor clave para su seguridad. (No obstante, la complejidad puede seguir desempeñando un papel a la hora de prevenir amenazas como los ataques de fuerza bruta (se abre en una nueva pestaña).)
«Las contraseñas más largas suelen ser más seguras y más fáciles de recordar para los usuarios. Estamos dejando atrás las reglas complejas que a menudo dan lugar a patrones predecibles y apostando por fomentar contraseñas únicas y largas.1”El Dr. Paul Turner, experto en ciberseguridad del NIST
El NIST recomienda ahora una longitud mínima de contraseña de 8 caracteres, aunque se recomienda encarecidamente utilizar contraseñas aún más largas. Se recomienda a las organizaciones que permitan contraseñas de hasta, como mínimo, 64 caracteres para dar cabida a frases de contraseña.
En otra actualización importante, el NIST ha eliminado el requisito de cambiar las contraseñas periódicamente de forma obligatoria. El instituto sostiene que los cambios frecuentes suelen dar lugar a contraseñas más débiles y a modificaciones predecibles, lo que refuerza los malos hábitos en materia de contraseñas. Por el contrario, las contraseñas solo deben cambiarse cuando haya indicios de que han sido comprometidas.
«Obligar a los usuarios a cambiar sus contraseñas con regularidad no mejora la seguridad y, de hecho, puede resultar contraproducente», explicó Turner. «Resulta más eficaz vigilar si hay credenciales comprometidas y exigir que se cambien solo cuando sea necesario».
Las nuevas directrices también hacen hincapié en la importancia de comprobar las contraseñas cotejándolas con listas de contraseñas de uso común o que han sido objeto de filtraciones. El NIST recomienda a las organizaciones que mantengan una lista de bloqueo actualizada con contraseñas poco seguras y que impidan que los usuarios elijan cualquier contraseña que figure en dicha lista.
Además, el NIST desaconseja el uso de pistas para contraseñas o preguntas de autenticación basadas en conocimientos, ya que a menudo pueden adivinarse o descubrirse fácilmente mediante técnicas de ingeniería social y phishing.
Estas directrices innovadoras del NIST están llamadas a redefinir lo que significa crear buenas contraseñas que incorporen las últimas innovaciones para que la seguridad de las contraseñas sea más sólida y fácil de usar.
Las mejores formas de mejorar la seguridad de las contraseñas
Sin embargo, no solo los elementos que intervienen en la creación de una contraseña contribuyen a que esta sea más segura; también es importante seguir unas buenas prácticas de seguridad, lo que le ayudará a mejorar la seguridad de su contraseña, entre ellas:
Cambie las contraseñas con menos frecuencia, no con más
Las organizaciones suelen instar a los trabajadores a cambiar sus contraseñas de acceso a la red cada 30 o 45 días. Sin embargo, este enfoque puede resultar problemático, ya que puede dar lugar a patrones predecibles en los cambios de contraseña. Por ejemplo, es posible que los usuarios simplemente cambien su contraseña de « 2024Yankees » a «2025Yankees», lo cual no mejora significativamente la seguridad. Los piratas informáticos pueden averiguar fácilmente esos detalles (mediante el seguimiento de sus cuentas en línea y el uso de su afiliación a un equipo) hasta que den con la combinación correcta.
Es mejor crear una contraseña segura y mantenerla que introducir pequeños cambios en una contraseña débil. Hay una excepción: las contraseñas de los administradores del sistema que gestionan servidores u otros usuarios con cuentas de alto nivel de privilegios deben cambiarse aproximadamente una vez al mes.
¿Por qué? Los roles de usuario, como los de los administradores del sistema, suelen disponer de privilegios elevados y acceso a infraestructuras críticas, lo que convierte a sus cuentas en objetivos prioritarios de los ciberataques. Cambiar estas contraseñas con regularidad ayuda a reducir el riesgo de accesos no autorizados y posibles filtraciones.
De hecho, en , Microsoft describe (se abre en una nueva pestaña) cómo parte de su enfoque de «defensa en profundidad» en materia de ciberseguridad incluye directrices sobre el uso de contraseñas para garantizar que las cuentas con privilegios no solo utilicen contraseñas de alta seguridad, sino que estas se cambien periódicamente para reducir el riesgo de robo de credenciales.
¿Sigue considerándose una buena práctica el uso de un gestor de contraseñas?
Chris Hallenbeck (se abre en una nueva pestaña), director de seguridad de la información (CISO) de Tanium, advierte de que, si bien los gestores de contraseñas son buenas herramientas porque pueden generar una contraseña cifrada para cada aplicación, también requieren una contraseña maestra segura.
Aplique sus medidas de seguridad de forma escalonada
Los modelos de seguridad tradicionales se basan en un perímetro seguro y confían en los usuarios y dispositivos que se encuentran dentro de la red. No obstante, este enfoque presenta limitaciones, especialmente ante las amenazas en constante evolución y el auge del teletrabajo (se abre en una nueva pestaña) y la computación en la nube.
Para subsanar estas brechas de seguridad, las organizaciones están adoptando el acceso con privilegios mínimos y una arquitectura «Zero-Trust» ( ) (se abre en una nueva pestaña) con el fin de ofrecer un enfoque de seguridad más sólido y adaptable, garantizando que el acceso a los recursos se verifique de forma continua y se controle de manera estricta.
El concepto de «privilegio mínimo» es sencillo: los empleados solo deben tener acceso a las aplicaciones y bases de datos que necesiten para desempeñar su trabajo. Por ejemplo, a medida que las organizaciones se pasan a la nube, han tendido a conceder a muchos de los administradores de sistemas acceso a todas las bases de datos de la nube. Lo más recomendable es distribuir las tareas en función de las bases de datos que necesiten los administradores de sistemas. De este modo, si se produce una filtración en una base de datos en la nube, un atacante no tendrá acceso a todos los sistemas de la empresa.
El modelo «Zero Trust» se basa en el principio de «nunca confiar, siempre verificar», lo que exige una autenticación y autorización continuas para cada solicitud de acceso. Parte de la base de que las amenazas pueden provenir de cualquier parte y hace hincapié en unos controles de acceso estrictos y en una supervisión continua.
Además, la combinación del modelo «Zero Trust» y el principio del «privilegio mínimo» con políticas de contraseñas sólidas y la autenticación multifactorial resulta fundamental para crear una estrategia de defensa en varias capas. La autenticación multifactorial (MFA) mejora la seguridad al combinar los inicios de sesión tradicionales con contraseña con aplicaciones de autenticación de terceros a las que los usuarios acceden a través de sus teléfonos inteligentes. Aunque haya quien sostenga que este proceso de varios pasos dista mucho de ser «sin complicaciones», se ha convertido en algo habitual tanto para los consumidores como para los trabajadores. Las aplicaciones de autenticación más populares, como Cisco Duo, Google Authenticator y Authy, se han convertido en nombres muy conocidos, lo que hace que el proceso resulte familiar y sencillo.
Mediante la integración de los principios de «confianza cero», «privilegio mínimo» y la autenticación multifactorial (MFA), las organizaciones pueden crear un marco de seguridad integral:
- El modelo «Zero Trust» ofrece una verificación continua
- El principio del privilegio mínimo garantiza un acceso mínimo
- La autenticación MFA añade niveles adicionales de protección
En conjunto, estos enfoques ayudan a las organizaciones a reducir de forma proactiva los riesgos cibernéticos, a proteger los datos confidenciales y a garantizar el cumplimiento de los requisitos normativos.
Reconsidere el concepto tradicional de contraseña
La buena noticia es que el panorama de la autenticación sigue evolucionando aún más, en un intento por mantenerse al día con las amenazas en constante evolución. Le presentamos la autenticación sin contraseña, un método que elimina por completo la necesidad de utilizar las contraseñas tradicionales. En lugar de introducir y autenticar contraseñas, los usuarios pueden recurrir a las «passkeys» —claves digitales únicas almacenadas en sus dispositivos— o a métodos biométric es, como el escaneo de huellas dactilares y el reconocimiento facial (se abre en una nueva pestaña). Estas técnicas avanzadas no solo mejoran la seguridad, sino que también optimizan la experiencia del usuario, haciéndola a la vez segura y cómoda.
¿Son realmente más seguras la biometría y las claves de acceso que las contraseñas?
De hecho, la biometría y las claves de acceso se consideran más seguras que las contraseñas tradicionales.
biométricas, como las huellas dactilares y el reconocimiento facial, constituyen una forma de autenticación única y difícil de replicar.
Las claves de acceso «», que utilizan claves criptográficas almacenadas en los dispositivos, ofrecen una protección sólida frente a los ataques de phishing y de «credential stuffing». Estos métodos evitan tener que recordar contraseñas complejas y reducen el riesgo de reutilización de contraseñas.
Sin embargo, estos métodos plantean sus propios retos y hacen que algunos expertos en autenticación se pregunten si son realmente seguros (se abre en una nueva pestaña).
La seguridad biométrica puede verse comprometida si se producen robos de datos biométricos. Además, los atacantes pueden utilizar «deepfakes» generados por IA, huellas dactilares sintéticas y clonación de voz para engañar a los sistemas de autenticación biométrica.
Si bien las claves de acceso constituyen una alternativa sólida a las contraseñas tradicionales, requieren una adopción generalizada y compatibilidad entre dispositivos y plataformas. Las claves de acceso tampoco son totalmente inmunes a los ataques. Una posible vulnerabilidad es el uso del phishing para engañar a los usuarios y que revelen su clave de acceso. Además, si un atacante consigue acceder a un dispositivo en el que se almacena la clave de acceso, puede comprometer dicho dispositivo y utilizarlo para autenticarse.
Aunque existen estos retos, las ventajas son significativas: la biometría y las claves de acceso ofrecen una experiencia de autenticación fluida y segura, lo que reduce la dependencia exclusiva del uso de contraseñas tradicionales y mejora la ciberseguridad en general.
[Lea también: El futuro no tendrá contraseñas] (se abre en una nueva pestaña)
Este cambio hacia la autenticación sin contraseña supone una evolución significativa en los hábitos relacionados con las contraseñas y pone de relieve la importancia de adoptar nuevas medidas de seguridad para proteger la información confidencial en un mundo cada vez más interconectado.
Formar y capacitar a los usuarios
Una de las formas más eficaces de mejorar la seguridad de las contraseñas consiste en formar y concienciar periódicamente a los usuarios sobre su importancia. Ofrecer formación continua y recursos es fundamental para mantener unos altos niveles de seguridad en las contraseñas. La organización periódica de talleres, seminarios web y sesiones de formación interactivas permite mantener a los usuarios informados sobre las últimas prácticas recomendadas y las amenazas emergentes.
No obstante, esta formación debe ir más allá de limitarse a indicarles que creen contraseñas seguras; debe consistir en fomentar una comprensión profunda de por qué estas prácticas son fundamentales y de cómo pueden proteger tanto los datos personales como los de la organización. Cuando los usuarios comprenden los riesgos asociados a las contraseñas poco seguras, es más probable que los empleados adopten medidas proactivas para proteger sus cuentas. Además, la implementación de notificaciones y recordatorios discretos sobre las buenas prácticas en materia de contraseñas puede reforzar los buenos hábitos y reducir la probabilidad de que se produzcan brechas de seguridad.
Al invertir en la formación y la capacitación de los usuarios (se abre en una nueva pestaña), se crea un entorno en el que se tiene en cuenta la seguridad y en el que todos desempeñan un papel en la protección de la información confidencial. Este enfoque proactivo no solo mejora la seguridad de las contraseñas, sino que también crea una defensa sólida frente al panorama de las amenazas cibernéticas, en constante evolución.
Ahora que celebramos el Día Mundial de la Contraseña, es el momento perfecto para reforzar su seguridad cibernética. Tanium ofrece soluciones integrales que mejoran la seguridad de las contraseñas y la ciberseguridad en general, al proporcionar una visibilidad y un control totales sobre sus terminales, garantizando así que los dispositivos de su entorno sean seguros y cumplan con la normativa.
Tanium ayuda a identificar y subsanar vulnerabilidades, incluidas las relacionadas con la seguridad de las contraseñas, y facilita la implantación y configuración de medidas de seguridad, como la autenticación multifactorial, en todo su entorno. Esto permite una aplicación coherente de las políticas y la detección en tiempo real de credenciales comprometidas, lo que refuerza aún más su defensa frente a las amenazas.
Con Tanium Autonomous Endpoint Management (se abre en una nueva pestaña), nuestros avances en capacidades de automatización optimizan áreas cruciales como la gestión de parches y los flujos de trabajo de seguridad, lo que reduce el tiempo y el esfuerzo necesarios para gestionar y proteger las contraseñas de forma proactiva. Cuando se produzcan incidentes, podrá poner rápidamente en cuarentena los equipos sospechosos o infectados, lo que acelerará los tiempos de respuesta y mejorará su capacidad para proteger la información confidencial.
No espere a que se produzca una filtración para actuar. Descubra cómo el enfoque proactivo de Tanium en materia de gestión y seguridad de terminales contribuye a mitigar los riesgos asociados a contraseñas débiles o comprometidas, creando un entorno informático más resistente que protege sus activos digitales. Concierte hoy mismo una demostración personalizada en (se abre en una nueva pestaña).
