POR QUÉ tus CONTRASEÑAS ya no bastan (y CÓMO el 2FA puede SALVARTE)

No sé si lo sabías, pero a estas alturas usar contraseñas cortas o repetidas es como cerrar la puerta de casa con un cordel.

Y no estoy exagerando. A los cibercriminales les basta con programas automáticos para descifrar una clave, a veces incluso en segundos, como veremos a continuación.

Y lo peor de todo es que la mayoría de la gente sigue cayendo en los mismos errores, creando contraseñas fáciles de recordar… y de descubrir:

• Que si el nombre del perro o del hijo.
• Que si la fecha de cumpleaños o de nacimiento.
• Que si «123456».

Es más, el último informe anual de NordPass (ES) sobre España y otros países occidentales, realizado en 2024 y publicado este año, muestra que la clave más usada en nuestro país sigue siendo esta misma, “123456”, empleada por 27.374 personas, seguida de otras terriblemente inseguras como “123456789” y “12345678”​. Exactamente igual que ocurre en otros países de habla hispana como México, Colombia o Chile.

Y por si te lo preguntas, los anglosajones deben ser la excepción. En EEUU, por ejemplo, está la segunda de la lista, siendo la más habitual «secret». Y en Reino Unido, la cuarta, ganando tanto «password», como «qwerty123».

Pero el resultado, es el mismo, porque, ¿sabrías decirme cuánto tardaría un experto en ciberseguridad, o un cibercriminal, en descubrirla?

Pues menos de un segundo. Lo que tarde la máquina en escribirla, ya que por razones obvias, serán todas estas de las primeras que pruebe un sistema de ataque por fuerza bruta.

Vamos, que cerramos la puerta con un cordel… de seda.

Afortunadamente, hay alternativas, y en este nuevo episodio del podcast enCLAVE DIGITAL vamos a responder tres preguntas clave:

• ¿Por qué las contraseñas tradicionales ya no son seguras?
• ¿Cómo compruebo si mi contraseña ha sido filtrada?
• ¿Y por qué debería activar sí o sí el segundo factor de autenticación?

¡Vamos al lío!

Pero antes de continuar, te quería recordar que publico un episodio del podcast todas las semanas, y que además acompaño cada artículo que publico en mis webs con un reel/short/tiktok de menos de un minuto en el que resumo su contenido.

Vamos, que no puedo ponerte más fácil el que estés bien informado, con contenido muy documentado sobre nuevas tecnologías, seguridad de la información y negocios digitales.

Si te interesan estos temas, sígueme en Youtube y en la plataforma de podcasting desde donde me escuches, y activa la campanita para que te avise cuando se haya publicado un nuevo contenido.

Además, puedes suscribirte GRATUITAMENTE a mi lista de correo, donde cada semana hago el resumen de todo lo que ha ocurrido en los últimos días. Para colmo, con la suscripción recibirás al instante mi último eBook, de más de 40 páginas, con herramientas de ofuscación en criptomonedas que usa la industria del blanqueo de capitales (y que deberías conocer para evitar caer en fraudes y ciberataques).

Recuerda que esta es la única manera de que tú sigas siendo quien controla la información que consumes.

En tu mano está decidir si quieres o no estar bien informado.

Lo de poner contraseñas fuertes no es un capricho

Este es el primer punto donde quería pararme.

La gente que nos dedicamos a la concienciación somos bastante pesados con esto de que las contraseñas que usemos deben ser únicas y, sobre todo, «complejas».

Hace unos años publiqué en HackerCar, un medio de comunicación centrado en la seguridad de vehículos, un artículo en el que decía lo siguiente:

En la imagen superior tenemos dos ejemplos de contraseñas: «Tr0ub4dor&3» y «correcthorsebatterystaple».

La primera cumple los mandamientos tradicionales de creación de claves -más de 8 caracteres, mayúsculas y minúsculas, con números y otros caracteres no alfanuméricos-, y además -a no ser que por detrás tenga alguna técnica nemotécnica que desconocemos- es dificilísima de recordar.

La segunda, sin embargo, es una mera enumeración de cuatro palabras en inglés: «correcto+caballo+batería+grapa». Terriblemente sencilla de recordar, y que encima se salta a la ligera la mayoría de elementos de la receta de creación de contraseñas que ya conocemos.

Y, sin embargo…, la segunda es muchísimo más segura.

Para la primera un ordenador podría tardar -según los datos de la imagen, que ya se han quedado anticuados- alrededor de 3 días en descubrirla por fuerza bruta. Para la segunda, sin embargo, necesitaría 550 años. La diferencia es sustancial, ¿verdad?

Artículo de Pablo F. Iglesias publicado en HackerCar (ES)

Y es que, ¿cuántos caracteres tiene tu contraseña más importante? ¿La que utilizas, por ejemplo, para acceder a tu cuenta de correo, o la que tienes para entrar en tu entidad bancaria?

Pues si es de menos de 12 caracteres, estás en la cuerda floja.

Lo recomendable hoy en día son, al menos, 16 caracteres, mezclando mayúsculas, minúsculas, números y símbolos.

Y no, tranquilo que no hace falta memorizarlas todas: para eso tenemos los gestores de contraseñas, una de las cinco herramientas de seguridad que recomiendo usar en todos mis talleres de concienciación.

Herramientas como HowSecureIsMyPassword, actualmente alojada en la web de Security.org (EN) te permiten ver cuánto tardaría un atacante en descifrar tu contraseña.

• ¿Una simple de 8 caracteres? Pues segundos.
• ¿Una buena de 16? años.
• ¿Una de las que yo utilizo en mis servicios? 2 trillones de años.

Vamos, que las mías no van a descubrirlas nunca.

Al menos, no con un ataque de fuerza bruta :D.

Al menos, no probando una a una todas las posibles combinaciones, ni tirando de diccionarios de contraseñas conocidas.

Y es que, mira…

Para obtener una contraseña, el ordenador debe generar lo que se denomina ataques de fuerza bruta, que no son más que una sucesión infinita de prueba/error con claves que va generando aleatoriamente hasta que da con la contraseña objetivo.

Y bajo este prisma, si la contraseña tiene más caracteres, parece que a priori será más complicada de descubrir.

Por supuesto los sistemas de fuerza bruta han ido evolucionando con el paso del tiempo y según el caso, se aplican una serie de reglas que los hace más eficientes.

Puede ser, por ejemplo, que un cracker haya diseñado su herramienta de descubrimiento de claves para que pruebe primero combinaciones de palabras más habituales. O que pruebe listados de contraseñas más utilizadas. O que pondere el carácter en base al uso que se le da en una zona geográfica específica.

Es decir, que la entropía informática -la cantidad de información promedio que contienen los símbolos usados, en este caso caracteres en una clave- define la robustez de la contraseña, y a la vez, es la herramienta que utilizarán los malos para descubrirla.

Sí, la entropía informática. Exactamente la misma a la que le dediqué hace tiempo otro episodio del podcast en el que hablábamos de cómo se consigue que generar números realmente aleatorios, y la importancia que estos tienen para la seguridad de todos nosotros en Internet.

Tu PRIVACIDAD en INTERNET depende de 100 LÁMPARAS físicas DE LAVA

Y con Have I Been Pwned (ES), otra de esas herramientas que suelo recomendar en mis charlas, y a la que, por cierto, le dediqué hace poco un episodio del podcast por un problema de seguridad que tuvo su creador, puedes comprobar si tu correo o contraseña ya han sido filtrados alguna vez.

Spoiler: si la página, después de poner tu correo, se vuelve roja, cambia esa clave ya.

En mi caso, por cierto, ya estoy jodido, y en varios filtrados masivos, con los principales correos corporativos y personales que utilizo.

Y eso que utilizo diferentes contraseñas para diferentes servicios. Porque si usas la misma contraseña para varios servicios, un solo fallo en cualquiera de ellos compromete toda tu identidad digital.

Imagina que filtran tu cuenta de una web de recetas que registraste en 2015, y usabas esa misma contraseña para tu correo.

Pues, ya está.

Ya pueden entrar en cualquier otro servicio que tengas.

Por qué tus contraseñas probablemente ya estén expuestas

Cybernews analizó hace poco casi 19.000 millones de contraseñas filtradas en brechas de seguridad.

¿Y a qué conclusiones llegaron?

Pues… escucha:

«Nos enfrentamos a una epidemia generalizada de reutilización de contraseñas débiles. Solo el 6 % de las contraseñas son únicas, lo que deja a otros usuarios muy vulnerables a ataques de diccionario. Para la mayoría, la seguridad depende de la autenticación de dos factores, si es que está habilitada»

Neringa Macijauskaitė, investigadora de seguridad de la información en Cybernews (EN)

Es decir, sólo el 6% eran completamente únicas.

El 94% restante eran combinaciones repetidas o fácilmente predecibles.

Vamos, que lo más probable es que tu clave (o una muy parecida) ya esté pululando por algún foro de la dark web.

Y no hablamos solo de «123456» o «qwerty», ojo.

Términos como «españa» o «barcelona» están entre los más usados en nuestro país, y pueden romperse en fracciones de segundo con ataques automatizados.

Cada vez que hay una filtración (y como saben todos los miembros del Club Negocios Seguros por la newsletter exclusiva que les envío cada jueves, esto ocurre absolutamente todas las semanas…), tus credenciales pueden acabar en uno de esos listados.

Y entonces empieza la fiesta: ataques de fuerza bruta, ataques por diccionario, y lo peor de todo: el credential stuffing.

¿Que qué es?

Pues algo tan sencillo como coger tu usuario y tu contraseña de una web filtrada, y probarla en otras mil.

Si repites clave, estás vendido.

Y lo más sangrante es que este tipo de ataques no requiere de conocimientos técnicos avanzados.

Existen herramientas automáticas de cracking por fuerza bruta con diccionarios adaptados a cada idioma y región del mundo. Esto significa que la contraseña «contrasena» puede reventarse en menos de un minuto, mientras que «contraseña» (con eñe), al no estar tan estandarizada, podría tardar cientos de años.

Y eso sólo si hablamos de ataques por fuerza bruta clásicos, sin filtraciones previas de por medio.

Como ves, se mire por donde se mire, estamos jodido.

O… quizás no tanto como piensas.

Y aquí entra el 2FA a salvarnos el cuello

En todos estos años, tanto en mi blog, como en mis talleres y conferencias, digo lo mismo: El segundo factor de autenticación, también llamado 2FA o la autenticación en dos pasos es, sin duda, la mejor herramienta de seguridad que tenemos.

De hecho, hace unos años se demostró mediante un estudio publicado por Microsoft que el 99,9% de las cuentas comprometidas no tenían el 2FA activado (ES).

Sí, has escuchado bien: casi todas las cuentas hackeadas podrían haberse salvado solo por tener este sistema activo.

Y claro, ahora te preguntarás: ¿Qué es eso del segundo factor de autenticación?

Pues algo que estas hartito de utilizar siempre que intentas, por ejemplo, hacer una compra online con tu tarjeta de crédito.

El 2FA lo que hace es meter una capa extra de seguridad, de tal manera que después de intentar identificarte (por ejemplo, para poder pagar con tu tarjeta), necesitas confirmar que eres tú con un código de una app, un SMS (menos seguro), una llave física o un sistema biométrico.

Es decir, pasamos de un riesgo global (un filtrado masivo a un servicio que utilizas expone tus credenciales de acceso junto con las de miles de otros usuarios o clientes) a uno local (pese a que en ese filtrado masivo tus credenciales estuvieran expuestos, si alguien quiere entrar en tu cuenta, además de conocer esos credenciales expuestos, va a necesitar hackearte a ti para poder bypasear el segundo factor de autenticación).

En el primer caso podemos caer mediante un ataque masivo, que no busca comprometernos a nosotros, sino a miles de usuarios, mientras que en el segundo, tenemos que estar ante un ataque dirigido a nuestra persona, que ya debe ser manual, no pudiendo automatizarse, y por tanto, muchísimo, pero muchísimo menos probable.

Y fíjate, pese a todo esto, lo curioso es que, aún hoy en día, muy pocos usuarios lo usan.

Y eso, ojo al dato, que activarlo en la mayoría de plataformas es tan fácil como ir a ajustes y pulsar un botón.

Lo activas una vez, y generalmente, si no tienes que identificarte desde otro dispositivo, ya nunca más vuelves a saber de él…

Par colmo, cada vez hay más alternativas para implementar 2FA de forma rápida y sin complicaciones: desde aplicaciones móviles como Google Authenticator, Microsoft Authenticator o Authy, hasta llaves físicas USB, como la que reseñé hace años en mi blog, y que ofrecen el máximo nivel de seguridad incluso sin conexión a internet.

Tan solo hay que dedicar un par de minutos para revisar las opciones de seguridad y privacidad de todas tus cuentas, empezando, por supuesto, por el correo electrónico y la cuenta bancaria, y siguiendo por el resto de redes sociales y servicios que utilizamos en nuestro día a día.

Consejos para dejar de ser carne de cañón en Internet

No quería terminar este episodio sin darte algunas recomendaciones que me parecen críticas para mejorar la seguridad de toda tu identidad digital.

A saber:

• 1.- Cambia ya todas las contraseñas repetidas. Y que cada una tenga al menos 16 caracteres. Y recalco que, si te parece una locura tener que recordarlas, puedes usar un gestor de contraseñas. En mi caso, por ejemplo, utilizo Microsoft Authenticator, que es gratuito y que también me da un 2FA. Es decir, que no hay excusa.
• 2.- Activa el 2FA en todas tus cuentas. De verdad te lo digo. El segundo factor de autenticación es el único sistema realmente seguro que tenemos hoy en día. En tu correo, en redes, en bancos, en herramientas del curro… Si un servicio lo ofrece, actívalo. Es gratis hacerlo, y es lo único que nos separa de, el día de mañana, aprender por las malas lo que supone que te usurpen la identidad.
• 3.- Evita el SMS como segundo factor. Esto ya es para nota, pero quédate con la idea de que, a la hora de elegir el tipo de 2FA que usaremos, si podemos utilizar uno de tipo Token, mejor que el clásico de SMS. ¿La razón? Pues que el SMS es vulnerable a una tipología de ataque dirigido llamada SIM Swapping, y que explico en detalle en mis charlas y talleres. Es cierto, recalco, que es un ataque dirigido, y por tanto no está al alcance de cualquiera. Peor aún así, como la mayoría de servicios ofrecen la opción de cambiarlo, usa mejor un 2FA basado en token mediante una app como Authy, Google Authenticator o incluso una llave física.
• 4.- Comprueba si han filtrado tus credenciales de acceso. Para ello, entra en Have I Been Pwned (EN) y revisa tus emails. Si estos aparecen en algún filtrado masivo, cambia contraseña y activa 2FA en TODOS los servicios, no solo en el que se ha filtrado.
• Y 5.- No te relajes. Incluso con buenas contraseñas, el riesgo nunca es cero. Recalco que por muy segura que sean las contraseñas que utilizo yo en mis servicios, estoy igual de expuesto a un filtrado masivo que las exponga que todos esos usuarios que utilizan «123456» como contraseña principal en todos los servicios. La combinación de un 2FA, contraseñas fuertes y sentido común, es tu mejor defensa.

De todo esto, y de mucho más, lo explico también en detalle en el Curso de Fundamentos de Seguridad y Privacidad Digital que diseñé hace unos años, y que voy periódicamente actualizándolo.

Si te interesa tener una base sólida (sin muchos tecnicismos) para proteger tu vida digital, ahí tienes el código QR y el enlace en la descripción para echarle un vistazo.

Porque al final va de eso: de ponérselo difícil al que quiere fastidiarte.

Si con robarte la contraseña no le basta para entrar, probablemente pase de largo.

Y eso, en este mundo que nos ha tocado vivir, ya es ganar.

Pero ahora, turno para ti:

• ¿Usas 2FA en tus cuentas y servicios online?
• ¿Alguna vez has descubierto que tu contraseña estaba filtrada?
• ¿Tienes claro cuál es el método de autenticación más seguro hoy por hoy?

Te leo en comentarios y abramos debate.

Sobre el videopodcast enCLAVE DIGITAL

enCLAVE DIGITAL es el videopodcast de Pablo F. Iglesias, consultor especializado en ayudar a referentes a blindar su reputación, diversificar y escalar su autoridad como marca.

Me puedes leer y escuchar en www.pabloyglesias.com (recuerda que la primera Y de «Yglesias» es «Y griega», que si no me confundís con otro), y me puedes escribir a contacto(at)pabloyglesias.com.

Si este contenido te sirve para estar bien informado sobre la actualidad en materia de negocios digitales, reputación y tecnología, te agradecería que le dieras a suscribirte en mi canal de Youtube o en la plataforma de podcasting desde donde me escuchas, le des a Me Gusta, al botón de hype de Youtube, me dejes un comentario o reseña y lo compartas con aquellos a los que les pueda interesar.

¡Seguimos!

Si utilizas otra plataforma de podcasting, busca «enCLAVE DIGITAL« en la app para localizarlo, o visita la página del videopodcast, donde ofrezco enlaces directos a las principales plataformas actuales: