Nos hemos acostumbrado a pensar que nuestras contraseñas deben ser complejas, llenas de símbolos, mayúsculas, números y caracteres especiales para ser seguras. Sin embargo, podríamos estar muy equivocados al centrarnos tanto en la complejidad. Según las directrices publicadas por el Instituto Nacional de Estándares y Tecnología (NIST) de los Estados Unidos, algunos de los consejos que hemos seguido durante años podrían estar haciéndonos más vulnerables en lugar de protegernos mejor.
El NIST, responsable de establecer las normas de seguridad para los sistemas de información del gobierno, ha revisado sus recomendaciones, dejando claro que una contraseña larga y fácil de recordar puede ser mucho más efectiva que una compleja y difícil de memorizar. Un cambio que, como usuarios, nos lleva a repensar por completo cómo gestionamos la seguridad de nuestras cuentas.
El mito de las contraseñas imposibles
Durante años hemos creído que la clave de una buena contraseña estaba en su complejidad. Nos hemos dedicado a crear combinaciones que mezclan símbolos, números y letras mayúsculas y minúsculas, pensando que estas eran las únicas capaces de resistir los ataques. Sin embargo, este enfoque tiene un gran inconveniente: las contraseñas complejas son demasiado difíciles de recordar.
Cuando tratamos de memorizar combinaciones ininteligibles como “4D$ghT#2!”, a menudo terminamos escribiéndolas en lugares donde no deberían estar —en un post-it pegado al ordenador o en una aplicación poco segura, por ejemplo—. Esto crea un punto débil que los atacantes pueden explotar con relativa facilidad. Según las investigaciones del NIST, los riesgos asociados con este tipo de contraseñas suelen superar los beneficios que aportan.
Además, el análisis de bases de datos filtradas con millones de contraseñas ha demostrado que los atacantes suelen recurrir a herramientas que prueban combinaciones comunes, independientemente de lo complejas que sean. Por tanto, una contraseña difícil de recordar no garantiza necesariamente que sea más segura.
Más longitud, menos complejidad
Frente a este panorama, las nuevas recomendaciones del NIST abogan por un cambio de estrategia: priorizar la longitud sobre la complejidad. Una contraseña formada por varias palabras largas y significativas —como “caballoblancocaminandoporelvalle”— es más fácil de recordar y también mucho más difícil de descifrar mediante ataques de fuerza bruta.
Este tipo de contraseñas nos permite mantener la seguridad sin caer en el error de almacenarlas en lugares inseguros. No tenemos que recurrir a notas ni aplicaciones que puedan ser vulneradas. Por otro lado, la longitud aporta una resistencia extra a los ataques automáticos, que necesitan más tiempo para probar todas las posibles combinaciones de caracteres.
En esta línea, el NIST también ha señalado que el uso de las estrictas reglas de combinación de caracteres que aplican algunos sitios web no tiene un impacto en la seguridad real de las contraseñas. Por ello, la recomendación actual es permitir a los usuarios una mayor libertad para que podamos crear contraseñas que podamos recordar, siempre que estas sean lo suficientemente largas.
Más allá de la contraseña: la importancia de la variedad
A pesar de estos cambios en las recomendaciones, hay una que sigue igual: no reutilizar la misma contraseña en múltiples servicios. Incluso una contraseña larga puede convertirse en un riesgo si se utiliza en varias cuentas. En caso de que una de estas plataformas sea blanco de un ataque, todas las demás cuentas quedarían expuestas.
Para evitar esto, es importante utilizar gestores de contraseñas que nos permitan generar claves únicas para cada servicio. Aunque a primera vista pueda parecer contradictorio con la idea de recordar fácilmente nuestras contraseñas, estas herramientas nos liberan de la necesidad de memorizarlas todas y nos ayudan a mantenerlas organizadas. Al tiempo, usar contraseñas largas pero que podamos memorizar nos permite —por lo menos con las cuentas más importantes— acceder a ellas sin necesidad de un gestor que podemos no tener disponible en un momento dado.
Por último en el informe del NIST está que la autenticación en dos pasos sigue siendo un pilar esencial en nuestra seguridad. Un sistema que, igual que las Passkeys, añade una capa adicional de protección, haciendo que incluso si alguien obtiene una contraseña, no pueda acceder a la cuentas sin el segundo factor de verificación.
Las recomendaciones revisadas del NIST nos invitan a reflexionar sobre cómo hemos gestionado nuestra seguridad hasta ahora. Utilizar contraseñas más largas y fáciles de recordar mejorará nuestra protección, simplificará la organización y nos permitirá decir adiós a auténticos galimatías de letras, números y símbolos que no necesariamente mejoran nuestra seguridad. Centrémonos, además de en no repetir ninguna contraseña, en que sea larga. Cuanto más mejor.
