Hoy en día, iniciar sesión en el ordenador o en cualquier servicio online con una clave floja es como dejar la puerta de casa medio abierta. Somos conscientes del riesgo, pero aun así seguimos usando contraseñas fáciles, repetidas y llenas de patrones previsibles. El problema es que las herramientas de ataque han dado un salto brutal. Sobre todo gracias a la potencia de las GPU y al uso de algoritmos e IA, y muchas de las contraseñas que creemos «aceptables» se derriban en cuestión de minutos.
Distintos estudios de compañías de ciberseguridad muestran que la mayoría de las contraseñas reales que usamos en nuestras cuentas puede descifrarse en menos de un día. E incluso en menos de una hora. Y, al mismo tiempo, Microsoft está empujando un cambio de era: dejar atrás las contraseñas débiles y el factor SMS y avanzar hacia métodos más robustos como las passkeys, especialmente en entornos Windows. Si quieres que tu cuenta en Windows (y el resto de tus servicios) no sea la siguiente en caer, te interesa entender qué está pasando.
Por qué una contraseña corta se puede descifrar en menos de un día
Los análisis de grandes filtraciones de credenciales dejan un mensaje claro: la resistencia real de una contraseña frente a ataques automatizados es mucho menor de lo que solemos imaginar. Kaspersky ha estudiado, en distintos periodos, bases de datos de entre 193 y 231 millones de contraseñas expuestas en brechas masivas entre 2023 y 2026, simulando ataques con hardware y algoritmos actuales.
En uno de estos estudios se concluye que alrededor del 60 % de las contraseñas más comunes puede descifrarse en aproximadamente una hora. Y cerca del 68 % puede llegar a descifrarse en menos de un día. En otro análisis similar, con una muestra de 193 millones de claves, los resultados son todavía más preocupantes: un 45 % se rompe en menos de un minuto y solo un 23 % aguanta más de un año frente a ataques sistemáticos de fuerza bruta y algoritmos avanzados. Bastante alarmante.
Estos cálculos se han realizado asumiendo el uso de una sola GPU moderna de alta gama. En la práctica, los ciberdelincuentes suelen combinar varias GPU en paralelo y recurrir a software especializado que exprime al máximo el hardware. Eso significa que los tiempos reales pueden ser todavía menores.
La conclusión técnica es sencilla: una contraseña corta, de hasta 8 caracteres, entra prácticamente siempre en la categoría de “descifrable en menos de un día”. Y lo peor es que muchas de las que superan esa longitud tampoco se salvan si siguen patrones previsibles que las herramientas de cracking ya tienen más que interiorizados.
Cuando se analizan las contraseñas largas de la muestra (por ejemplo, de 15 caracteres), se observa que más del 20 % de ellas también puede romperse en menos de un minuto utilizando algoritmos optimizados y listas de patrones habituales. Esto demuestra que la longitud, por sí sola, ya no es una garantía de seguridad.
Patrones peligrosos: números, símbolos y fechas que delatan tu clave
Los estudios de Kaspersky sobre cientos de millones de claves filtradas muestran que la mayoría no es “aleatoria” en absoluto. Se repiten los mismos patrones una y otra vez. Esto permite a los atacantes recortar brutalmente el espacio real de búsqueda y acelerar el descifrado.
En el caso de los números, los datos son muy claros: más de la mitad de las contraseñas analizadas, alrededor del 53 %, termina en cifras. Otro 17 % comienza con números, y cerca de un 12 % incluye secuencias que recuerdan a fechas entre 1950 y 2030 (años de nacimiento, aniversarios, etc.). Es decir: mucha gente acaba su clave con el año de nacimiento. De locos.
Además, en torno al 3 % de las claves incluye patrones de teclado como «qwerty» o su reverso «ytrewq», y siguen apareciendo secuencias numéricas tan previsibles como «1234» o similares. Son atajos mentales que usamos para recordar la contraseña. Muy útiles, pero también los primeros que prueban las herramientas de ataque.
Con los símbolos pasa algo muy parecido. Entre las contraseñas filtradas que contenían un solo carácter especial, el símbolo más usado con diferencia es la arroba (@), presente en torno a un 10 % de los casos. Le sigue el punto (.) en aproximadamente un 3 % y el signo de exclamación (!) en un porcentaje menor, cercano al 1 %. De nuevo, suelen colocarse al principio o, sobre todo, al final de la clave.
Alexey Antonov, responsable del equipo de Data Science de Kaspersky, resume el problema: si los atacantes conocen cuáles son los patrones más frecuentes, el número de combinaciones que realmente tienen que probar se reduce drásticamente. Ya no necesitan explorar todo el espacio teórico posible, sino centrarse en combinaciones muy probables, lo que convierte en “rápido” el descifrado de muchísimas contraseñas del mundo real.
Palabras emocionales, modas virales y otros atajos previsibles
Más allá de los números y símbolos, una parte enorme de las contraseñas se construye a partir de palabras corrientes. Los estudios de Kaspersky señalan que muchísimas claves se basan en términos con carga emocional o en conceptos de moda en un momento concreto.
Entre 2023 y 2026, por ejemplo, se detectó un aumento llamativo de contraseñas que incorporaban la palabra «Skibidi», un meme muy popular durante ese periodo. A la vez, predominan palabras positivas como “love”, “magic”, “friend”, “team”, “angel”, “star” o “eden”, y también aparecen palabras negativas como “hell”, “devil”, “nightmare” o “scar”.
El problema es que estos términos son tan usados que los diccionarios de contraseñas ya los incluyen de serie. Usar una sola palabra, aunque le añadas un número al final o un símbolo en medio, sigue dejando una estructura muy predecible para los algoritmos de ataque. El software primero prueba las palabras más típicas (con variantes de mayúsculas y minúsculas) y luego empieza a combinarlas con sufijos como “1”, “123”, “!” o años concretos.
Por eso, los expertos recomiendan dejar de usar palabras aisladas, por mucho apego personal que les tengamos. En su lugar, lo más eficaz es usar frases de contraseña largas formadas por varias palabras sin relación aparente, metiendo números y símbolos en posiciones poco obvias e incluso con variaciones pequeñas intencionadas. Esa mezcla de longitud, aleatoriedad y falta de patrón reconocible multiplica el tiempo necesario para descifrarla.
La longitud importa… pero ya no es suficiente
Durante años nos hemos quedado con la idea de que “cuanto más larga la contraseña, mejor”. Esa idea sigue siendo cierta en parte, pero los datos recientes indican que ya no basta con aumentar la longitud si seguimos metiendo patrones que las herramientas de cracking conocen de memoria.
Los análisis de Kaspersky muestran que, aunque las contraseñas largas son en general más resistentes, la longitud por sí sola ha dejado de ser una garantía. Con el apoyo de algoritmos avanzados e incluso técnicas de inteligencia artificial, los atacantes pueden centrarse en estructuras lógicas muy típicas de los usuarios: nombre + año, palabra + número + símbolo, combinaciones de teclado y patrones similares.
De ahí que se den cifras tan llamativas como que más de un 20 % de las contraseñas de 15 caracteres se puede romper en menos de un minuto si mantiene esas estructuras predecibles. En el extremo opuesto, solo alrededor de un 23 % de todas las claves analizadas en uno de los estudios puede considerarse realmente robusta, en el sentido de que necesitaría más de un año para descifrarse por fuerza bruta en las condiciones del experimento.
En la práctica, esto significa que una contraseña de 10 u 11 caracteres que sigue patrones obvios puede ser mucho más débil que una frase aleatoria de 4 o 5 palabras sin relación, que supere fácilmente los 16 caracteres y mezcle letras, números y símbolos de forma poco intuitiva.
El consenso actual entre múltiples actores de seguridad es que, hoy, una contraseña segura debería tener más de 16 caracteres, usar letras mayúsculas y minúsculas, incluir números y símbolos y, sobre todo, no seguir ningún patrón evidente (nada de años significativos, palabras corrientes, secuencias de teclado o sustituciones típicas como “a” por “@”).
Ataques de fuerza bruta, diccionario y pulverización de contraseñas
Para entender por qué todo lo anterior es tan crítico, es útil repasar cómo atacan realmente los delincuentes nuestras cuentas. No hay un único método, sino varias estrategias que se combinan para aumentar las posibilidades de éxito y reducir el riesgo de detección.
En un ataque clásico de fuerza bruta contra una sola cuenta, el atacante intenta todas las combinaciones posibles de caracteres para la longitud dada hasta encontrar la correcta. Aunque parezca lento, con GPU potentes y hashes poco robustos se pueden probar millones o incluso miles de millones de combinaciones por segundo. Sobre todo si antes se han recortado los patrones improbables.
En los ataques de diccionario, en lugar de probar combinaciones totalmente aleatorias, se usan listas enormes de palabras, frases y patrones habituales (nombres, términos populares, fechas frecuentes, etc.), con variantes automáticas (mayúsculas, sustituciones típicas, sufijos numéricos…) para atacar una cuenta concreta. Esto los hace mucho más eficientes porque se centran en cómo realmente creamos las contraseñas.
La pulverización de contraseñas (password spraying) funciona justo al revés: en lugar de insistir contra una sola cuenta, el atacante elige una contraseña común (por ejemplo, «Password123» o «123456») y la prueba en un abanico masivo de cuentas distintas. Con esta técnica, reducen el número de intentos por cuenta, esquivan más fácilmente los bloqueos automáticos y, aun así, encuentran usuarios que siguen recurriendo a claves tremendamente débiles.
Para usuarios particulares, el riesgo es que esta pulverización se aplique sobre servicios cotidianos: correo electrónico, redes sociales, plataformas de compras o banca online. Navegar en internet de forma segura y aplicar medidas básicas reduce mucho el impacto. Una sola combinación afortunada en cualquiera de estas cuentas puede desembocar en robo de identidad, suplantación en redes, cambios de contraseñas encadenados o incluso pérdidas económicas directas.
Reutilizar contraseñas: el error que abre muchas puertas a la vez
Uno de los mensajes que más repiten los expertos es que cada cuenta debe tener una contraseña distinta. Y no es un capricho. En cuanto una de tus claves aparece en una filtración, los atacantes la usan para probar acceso a cualquier otro servicio donde sospechen que puedes tener cuenta (correo, redes, banca, almacenamiento en la nube…).
Este enfoque se conoce como relleno de credenciales (credential stuffing). Se utilizan combinaciones reales de usuario y contraseña obtenidas de una brecha previa y se lanzan contra múltiples páginas y plataformas, confiando en que muchos usuarios reciclan exactamente la misma clave o variaciones mínimas.
Si tu contraseña de Instagram es la misma que la de tu correo, y esa pareja usuario/clave termina filtrada en un ataque, los delincuentes pueden obtener acceso directo a tu correo electrónico, desde el cual es relativamente sencillo resetear contraseñas de otras cuentas, autorizar cambios o hacer ingeniería social haciéndose pasar por ti.
Por eso, uno de los puntos clave de todas las recomendaciones es combinar buenas contraseñas con una política clara de no reutilización. Puede parecer más incómodo al principio, pero se vuelve perfectamente asumible si usas un gestor de contraseñas moderno que se ocupe de todo.
Cómo crear contraseñas realmente seguras hoy
La buena noticia es que no necesitas ser técnico para blindar tus cuentas. Con unas cuantas pautas sencillas se puede elevar muchísimo el nivel de protección, incluso frente a ataques sistemáticos y automatizados.
Para empezar, evita a toda costa el uso de datos personales evidentes: nombres propios, apellidos, apodos triviales, fechas de nacimiento, aniversarios o números de teléfono. Son de lo primero que se prueba tanto en ataques dirigidos como en diccionarios masivos.
En lugar de eso, plantéate usar frases de paso largas (también llamadas passphrases) con varias palabras sin relación directa entre sí, intercalando números y símbolos en posiciones poco previsibles. Juega con mayúsculas y minúsculas de forma irregular, introduce alguna letra sustituyendo a un número poco típico y evita que los números correspondan a fechas con sentido personal.
Algunos consejos prácticos extraídos de las recomendaciones de empresas como Kaspersky o Qualiteasy serían:
- Superar siempre los 16 caracteres cuando te sea posible.
- Mezclar distintos tipos de caracteres (letras, números y símbolos).
- No repetir patrones en diferentes servicios.
- Renovar las claves más sensibles de forma periódica, especialmente si sospechas de alguna brecha.
Para reducir el esfuerzo de recordar docenas de claves complejas, usa un gestor de contraseñas de confianza. Estas aplicaciones guardan todos tus inicios de sesión en una base de datos cifrada a la que accedes con una única clave maestra robusta. Además, suelen incluir generadores automáticos de contraseñas aleatorias y funciones de autocompletado, sincronización entre dispositivos y, en algunos casos, gestión de passkeys.
Compañías como Kaspersky han incorporado también en su web herramientas gratuitas para comprobar si una contraseña ya ha sido filtrada en brechas conocidas y para generar contraseñas seguras de forma automática. Aunque no quieras usar su gestor completo, este tipo de servicios son muy útiles para evaluar el riesgo de tus claves actuales.
Cómo proteger específicamente tu cuenta en Windows
En el entorno Windows, la seguridad de tu cuenta no depende solo de la complejidad de la contraseña. La forma en la que inicias sesión, cómo gestionas las credenciales y qué factores adicionales activas marcan una gran diferencia. Esto es lo que hay que hacer:
- Configurar una contraseña robusta para tu cuenta Microsoft. Es decir, más de 16 caracteres, mezcla de tipos de caracteres, sin datos personales ni patrones típicos. Si mantienes un usuario local, aplícale el mismo criterio de seguridad, aunque solo lo uses esporádicamente.
- Activar la autenticación multifactor (MFA) en tu cuenta Microsoft. Esto añade una segunda comprobación al iniciar sesión en servicios de Microsoft (Outlook, OneDrive, Xbox, etc.). Y en muchos casos también refuerza el proceso de inicio de sesión en Windows si usas tu cuenta online.
- Activar Windows Hello (si tu PC es compatible). Esto permite iniciar sesión mediante reconocimiento facial, huella dactilar o PIN asociado al dispositivo.
- Revisar regularmente la actividad reciente de tu cuenta Microsoft. Mirar si aparecen inicios de sesión desde ubicaciones o dispositivos desconocidos, habilitar las notificaciones de seguridad para que te avisen ante comportamientos sospechosos, etc.
- Verificar que tu equipo cuenta con un buen nivel de protección general. Esto es: Windows Defender actualizado, sistema operativo al día, cuidado con los enlaces de phishing y los archivos adjuntos en el correo, etc.
MFA, TOTP, SMS y el empuje de las passkeys
En los últimos años, Microsoft y otros grandes proveedores han empezado a recomendar un giro importante en la autenticación. Bajo su estrategia de endurecimiento básico de la identidad, animan a evitar ciertos factores de MFA considerados débiles o fácilmente subvertibles.
En particular, desaconsejan usar códigos de un solo uso enviados por SMS, OTP por correo electrónico y también códigos generados por aplicaciones basadas en tiempo (TOTP) como único factor adicional. Los SMS son vulnerables a ataques de intercambio de SIM y secuestro de línea. En cambio, los OTP por correo pierden sentido si el atacante ya tiene acceso al propio buzón de email.
Con respecto a los TOTP, la preocupación principal es que pueden ser objeto de phishing o ataques man‑in‑the‑middle. Si introduces el código en una web falsa o en una sesión interceptada, el atacante puede reutilizarlo en tiempo real para acceder a tu cuenta. Siguen siendo mucho mejores que no tener nada, pero ya no se consideran la meta final en términos de seguridad.
En este contexto, Microsoft recomienda impulsar el uso de passkeys y métodos basados en estándares como FIDO2, que se apoyan en criptografía de clave pública y en dispositivos de confianza (móvil, llave física de seguridad, etc.). Este tipo de soluciones son intrínsecamente resistentes a muchos ataques de phishing.
Eso no significa que tengas que abandonar ya tus aplicaciones TOTP si las estás usando. Sigue siendo una capa de protección muy valiosa frente a ataques sencillos y es mejor que depender solo de la contraseña. Pero, si tienes la opción de activar passkeys o llaves de seguridad físicas en tus cuentas críticas, es un salto de calidad interesante hacia un modelo sin contraseñas tradicionales.
Cómo defenderte de la pulverización de contraseñas y otros ataques
Aunque los ataques puedan sonar muy sofisticados, la mayor parte de la protección está en tus manos con buenos hábitos básicos. No hace falta ser administrador de sistemas para reducir drásticamente las posibilidades de caer en una pulverización de contraseñas o en un relleno de credenciales. Tres consejos:
- Activa en todas las plataformas que lo permitan algún tipo de autenticación multifactor. Aunque algunos métodos no sean perfectos, añaden una barrera extra que suele bastar para frustrar la mayoría de ataques masivos. Prioriza soluciones más seguras cuando estén disponibles (passkeys, llaves físicas, Windows Hello, etc.).
- Habilita alertas de inicio de sesión y notificaciones de seguridad allí donde sea posible. De esa forma, si alguien intenta acceder a tu cuenta desde un país extraño o desde un dispositivo desconocido, recibirás un aviso inmediato. Así podrás reaccionar cambiando contraseñas o cerrando sesiones.
- Adopta una mentalidad de desconfianza saludable. Desconfía de enlaces que piden tus credenciales, aunque parezcan oficiales, evita conectarte desde equipos públicos sin protección. No compartas tu contraseña con nadie y revisa de vez en cuando la configuración de recuperación de tus cuentas (correo alternativo, móvil, preguntas de seguridad) para asegurarte de que no haya cambios sospechosos.
Apostar por contraseñas largas, aleatorias y únicas, apoyarse en gestores de contraseñas, activar múltiples factores de autenticación y, en el caso de Windows, aprovechar opciones como Windows Hello o las passkeys convierte ese “portazo entornado” en una puerta mucho más sólida frente a los ataques automatizados y a los ciberdelincuentes que juegan con ventaja.
