El mundo digital en el que vivimos nos obliga a depender de contraseñas para todo: desde el correo electrónico, nuestras redes sociales y cuentas bancarias, hasta servicios de streaming y compras online. Sin embargo, pocas veces nos paramos a pensar realmente cuánto de seguras son nuestros passwords y, sobre todo, cuánto tiempo le podría llevar a un hacker romper una contraseñaa utilizando las técnicas más avanzadas.
En este artículo vas a descubrirlo al detalle, apoyándonos en los últimos estudios, pruebas reales y la experiencia de los principales expertos y empresas de ciberseguridad. La combinación de cifras, letras y símbolos, junto al uso de algoritmos modernos de cifrado, puede marcar la diferencia entre ser hackeado en segundos y mantener tus cuentas protegidas durante siglos.
Cómo funciona el descifrado de contraseñas
Antes de entrar en tiempos concretos, es esencial entender cómo actúan los hackers para romper contraseñas. El método más habitual es el conocido como ataque de fuerza bruta, en el que un programa prueba todas las combinaciones posibles de caracteres una tras otra hasta dar con la clave correcta. Esta técnica ha existido desde los inicios de la informática, pero su eficacia se ha multiplicado gracias a la potencia de las tarjetas gráficas modernas (GPUs) y la disponibilidad de hardware de alto rendimiento en la nube.
Por otro lado, muchas veces no se parte de cero. Si una contraseña ya ha sido filtrada en alguna brecha de datos pasada, puede estar en bases de datos accesibles para ciberdelincuentes, permitiendo ataques más rápidos mediante diccionarios de palabras comunes, contraseñas conocidas o incluso datos personales del usuario. Además, hay técnicas como el uso de tablas arcoíris, que permiten comparar de manera instantánea millones de hashes de contraseñas y acelerar el proceso.
La tabla de tiempos para romper contraseñas: ¿de segundos a milenios?
Los análisis anuales de Hive Systems son la referencia más fiable para medir el tiempo necesario para vulnerar una contraseña, ya que evalúan los tiempos de descifrado según la longitud, la mezcla de tipos de caracteres, el algoritmo de cifrado y el hardware disponible para los atacantes. En 2025, los resultados revelan datos sorprendentes:
- 4 caracteres (de cualquier tipo): descifrado en instantes (menos de un segundo).
- 5 caracteres: si incluye números, mayúsculas y minúsculas, apenas dos horas para ser hackeada.
- 8 caracteres (mezcla de números, símbolos, mayúsculas, minúsculas): pueden tardar 164 años en condiciones óptimas, aunque si la contraseña es débil o común, puede caer mucho antes.
- 12 caracteres (combinando todo tipo de caracteres): el tiempo de descifrado se estima en millones de años.
- 18 caracteres (muy compleja): hablamos de 463 quintillones de años, una cifra totalmente inviable para la tecnología actual, e incluso futura.
Estos datos dependen de que la contraseña no haya sido filtrada antes o no figure en listas habituales. Si un atacante dispone de esa información, puede saltarse toda la parte de fuerza bruta y descifrar la clave al instante.
Los expertos coinciden en que, aunque antes una contraseña de 10 caracteres con letras y números podía durar más de un siglo protegida, hoy, con el avance de las GPUs y el acceso a computación en la nube, ese tiempo se ha reducido drásticamente. Ahora, una contraseña que antes tardaba 100 años en romperse puede caer en semanas o incluso días si no está bien elaborada.
La evolución tecnológica: el hardware que usan los atacantes
El secreto detrás de los asombrosos tiempos de descifrado está en la constante mejora de la potencia computacional de los equipos utilizados para ataques de fuerza bruta. Estudios recientes de Hive Systems se han realizado con 12 GPUs Nvidia RTX 5090, las tarjetas gráficas más potentes del momento. Además, servicios en la nube como Amazon Web Services permiten alquilar clusters de GPU de última generación a precios accesibles para hackers con recursos económicos.
Por ejemplo, alquilar durante una hora ocho GPUs de alta gama cuesta unos pocos dólares, y la velocidad de descifrado aumenta año a año: las nuevas generaciones de tarjetas duplican o triplican la capacidad de las anteriores. Esto obliga a actualizar constantemente las recomendaciones en materia de seguridad.
Programas especializados como Hashcat permiten aprovechar al máximo el hardware para descifrar contraseñas usando diferentes algoritmos y configuraciones, poniendo a prueba la resistencia real de cada contraseña.
El papel del cifrado: qué algoritmos protegen tus contraseñas
El tipo de cifrado con el que se almacenan las contraseñas es clave: no es lo mismo vulnerar un hash protegido con MD5 que uno con bcrypt o algoritmos modernos. Hasta hace unos años, la mayoría de sistemas utilizaban MD5, pero hoy en día las buenas prácticas incluyen:
- Bcrypt: muy empleado actualmente por su resistencia frente a ataques de fuerza bruta y su capacidad para retrasar el proceso de descifrado al aumentar las iteraciones.
- PBKDF2 con SHA-256: estándar recomendado por organismos como NIST para entornos empresariales.
- Argon2: un algoritmo aún más robusto, adoptado en sistemas de última generación.
Las pruebas demuestran que, con hardware avanzado, un hash MD5 puede romperse en minutos, mientras que bcrypt con una configuración adecuada puede resistir años. Por ejemplo, en condiciones óptimas, un hash bcrypt de una contraseña aleatoria de 8 caracteres podría tardar hasta 12 años en ser vulnerado.
Factores que aceleran el robo de contraseñas
Aunque las tablas de Hive Systems y otras referencias parten del escenario ideal para el usuario (contraseña única, aleatoria y sin filtraciones previas), en la realidad hay dos factores principales que facilitan el hackeo de contraseñas:
- Reutilización de contraseñas: si tu clave ha sido filtrada en otra web, el atacante puede acceder a tu cuenta en segundos mediante ataques de diccionario o comprobando si esa contraseña figura en bases de datos robadas. Por eso, revisa si alguna de tus contraseñas ha sido comprometida.
- Contraseñas poco originales o con información personal: nombres, fechas de cumpleaños, palabras comunes, patrones de teclado o secuencias numéricas son extremadamente vulnerables. Los programas especializados las prueban en primer lugar.
Por ello, una contraseña considerada «segura» en teoría puede ser vulnerable si se reutiliza o contiene datos fáciles de adivinar, y puede caer en minutos.
¿Qué recomiendan los expertos para mantenerte protegido?
Lo fundamental es elevar la longitud y la complejidad de tus contraseñas, además de adoptar buenas prácticas en su gestión. Las recomendaciones más habituales incluyen:
- Utiliza al menos 12 caracteres en todas tus contraseñas, preferiblemente 16 o más para mayor protección.
- Combina números, mayúsculas, minúsculas y símbolos en cada clave.
- Evita palabras comunes, datos personales o patrones reconocibles.
- No reutilices contraseñas en diferentes servicios.
- Activa la autenticación en dos pasos (2FA o MFA) usando aplicaciones como Authy o Google Authenticator y llaves físicas como Yubikey.
- Utiliza gestores de contraseñas como LastPass, Bitwarden, 1Password o Keeper para crear y mantener claves fuertes y diferentes para cada cuenta.
- Actualiza periódicamente tus contraseñas y revisa si han sido filtradas en brechas usando servicios como «Have I Been Pwned».
Cómo influye la longitud y el tipo de caracteres
El consenso entre expertos es claro: cuanto más larga y variada sea una contraseña, más segura será. Aquí tienes una estimación del tiempo para crackear diferentes contraseñas con la tecnología de 2025:
- Solo números: pueden ser descifrados en días o semanas si son largas.
- Solo minúsculas: a partir de 15 caracteres, ofrecen cierta seguridad, pero aún vulnerables.
- Mayúsculas y minúsculas: desde 10 caracteres, pueden tardar décadas o siglos en ser hackeadas, aunque si la clave es predecible, aún hay riesgos.
- Combinación completa (números, mayúsculas, minúsculas y símbolos): desde 12 caracteres, el tiempo se dispara a millones o billones de años, siendo prácticamente invulnerable.
La longitud de la contraseña es más importante que la complejidad sola, aunque combinar ambas características ofrece la máxima protección.
El impacto de la nube y los avances en hacking
Los ciberdelincuentes ya no dependen únicamente de sus propios equipos. Los servicios en la nube han revolucionado la capacidad de probar combinaciones a velocidades vertiginosas. Por unos pocos dólares, un atacante puede alquilar varias tarjetas gráficas de última generación y ejecutar ataques a gran escala.
Las nuevas generaciones de GPUs, como las RTX 4090 y 5090, aceleran aún más el proceso de descifrado. Por ello, lo que era seguro hace unos años hoy puede ser vulnerable. Es imprescindible actualizar las prácticas de seguridad y no confiar en recomendaciones desactualizadas para proteger tus cuentas.
Consejos prácticos extra para una seguridad extrema
Para quienes buscan maximizar la protección, aquí tienes algunos consejos adicionales:
- Considera la tecnología passwordless, basada en estándares como FIDO, que elimina las contraseñas y utiliza seguridad biométrica o llaves físicas USB.
- Evita guardar contraseñas en navegadores o blocs de notas; usa siempre gestores especializados.
- Desconfía de los SMS para autenticación en dos pasos; es más seguro emplear aplicaciones dedicadas o llaves físicas.
- Si gestionas contraseñas en una organización, asegúrate de que los hashes estén protegidos con algoritmos robustos y configuraciones avanzadas.
Por último, si quieres mantener tus contraseñas en la mejor forma posible, consulta y evitar riesgos innecesarios.
