Contraseñas en riesgo: los errores más comunes y el método más seguro para proteger tus cuentas

El primer jueves de mayo se conmemora en todo el mundo el Día de la Contraseña. Y si bien los "día de" suelen ser convenciones comerciales, es una nueva oportunidad para recordar sobre la importancia de proteger nuestras cuentas digitales y dejar atrás claves débiles como el clásico —y aún popular— "123456". Además de activar siempre el segundo factor de autenticación en nuestras cuentas.

En un contexto donde las filtraciones de datos en Argentina han sido alarmantes, esta fecha cobra más relevancia que nunca. Sólo por nombrar casos recientes, en 2024, un ciberdelincuente publicó en un foro especializado una base de datos con 59 millones de registros del Renaper.

Durante 2024 se registraron 1.700 millones de credenciales robadas (es decir, usuario/password) compartidas en foros de la dark web, según estadísticas de FortiGuard Labs (Fortinet). Y otro estudio toma un muestreo que denota que el 59% de las claves usadas se pueden adivinar en menos de una hora.

La seguridad de las contraseñas está en el centro del debate: según Nordpass, la contraseña "123456" todavía se usa mucho y una encuesta de seguridad online realizada por Google y Harris Poll antes de la pandemia reveló que al menos el 65 % de las personas reutilizan sus contraseñas en varios sitios, si no en todos, lo que las expone a ataques de robo de credenciales a gran escala.

"En una época donde las fugas de datos y el malware de robo de datos son moneda corriente, una estrategia de seguridad autenticándose solo con contraseñas representa un riesgo alto, ya que si las credenciales son robadas, el atacante puede llegar a suplantar la identidad del usuario. En esa línea, es clave adoptar una estrategia de confianza cero, donde se debe validar la identidad del usuario por múltiples formas. Herramientas como el doble factor de autenticación o la autenticación sin contraseñas pasaron de ser deseable utilizarlas a volverse necesario adoptarlas", cuenta a Clarín Alejandro Botter, Security Engineering Manager de la empresa de ciberseguridad Check Point.

Si ya era normal que se filtraran passwords antes del boom de la IA, con esta nueva irrupción el panorama se complejiza aún todavía más.

Un dato a tener en cuenta es que el reporte de inteligencia de Fortiguard subraya un crecimiento de ciberataques durante 2024, a partir del uso de herramientas de automatización que facilitan el trabajo a los cibercriminales: programan bots que permiten realizar múltiples ataques en simultáneo, con 36.000 escaneos por segundo. Esto hace que, ante la pregunta clásica del usuario de "¿y por qué querrían entrar a mis cuentas?" ya no tenga sentido: toda nuestra información vale para los cibercriminales.

Kaspersky detectó más de 32 millones de intentos de ataque con “ladrones de contraseñas” en América Latina durante 2023, una cifra apenas por debajo de los más de 40 millones registrados en 2022. Según los resultados de otra investigación, el 45% de todas las contraseñas analizadas pueden ser adivinadas por parte de los estafadores en menos de un minuto, y solo el 23% resultaron ser lo suficientemente resistentes: descifrarlas llevaría más de un año.

Check Point Research, división de inteligencia de la empresa de ciberseguridad, advierte que, en medio de este escenario, se abre una discusión sobre si la era de las contraseñas tradicionales debería llegar a su fin, reemplazada por mecanismos más modernos como la autenticación biométrica.

Desde Fortinet explican que los métodos para robar credenciales son cada vez más variados: desde técnicas de phishing e ingeniería social, hasta la intercepción de tráfico mediante software especializado que capta datos sensibles en redes poco seguras -motivo por el cual siempre hay que hacer backups-.

Kaspersky aporta otro dato preocupante: una de cada cinco personas en la región fue víctima del robo de al menos una cuenta en línea. En países como Chile y Perú, este porcentaje supera el 23%, mientras que en Argentina y Brasil ronda el 18%.

Check Point ofrece una guía para mejorar nuestras claves:

Arturo Torres, estratega de ciberseguridad de FortiGuard Labs para América Latina y el Caribe, lo resume así: “Es casi imposible trazar una lista completa de cómo se pueden robar las contraseñas. Por eso es esencial adoptar hábitos seguros desde el inicio”.

¿Y qué es el inicio? Considerar usar un gestor de passwords (ver acá) o, en su defecto, migrar a "passkeys".

Algunas compañías tecnológicas ya impulsan mecanismos alternativos, como las passkeys o llaves de acceso digitales. Google, por ejemplo, permite iniciar sesión sin contraseña mediante estos métodos.

“Es un tipo de ‘credencial digital’ que se usa como método de autenticación (o sea, para que un sistema pueda verificar que un usuario es efectivamente quien dice ser). Es más segura que una password porque no se necesita recordar nada para acceder a aquello que permite. Esa misma frase podría parecer un contrasentido, porque ¿cómo puede ser más seguro algo que puedo perder o me pueden robar, versus algo que tengo en la memoria?”, explicaba Federico Pacheco, experto de la empresa argentina BASE4 Security.

“Y la paradoja se resuelve pensando en escala: si necesito acceder a 100 servicios, aplicaciones, sitios web, tengo que, o bien repetir passwords, o bien correr el riesgo de no recordarlos, y necesitar un gestor de contraseñas. Con una passkey, me alcanza con un solo dispositivo para los 100 servicios. Si se me permite la licencia poética: una passkey equivale a usar contraseñas de cientos de caracteres”, suma el experto desde San Francisco, en la conferencia de seguridad RSA.

El problema es que, aún, muchas plataformas todavía dependen de claves tradicionales. Aunque sectores como el financiero ya adoptaron métodos como tokens físicos o códigos de verificación temporales, la transición completa no será sencilla.

La recomendación de los expertos es, igualmente, clara: "Siempre que puedas matar una contraseña, matala: el mundo será un lugar más seguro", cierra un veterano de la industria.