*Contraseña incorrecta*.
*Crear contraseña nueva*
*La nueva contraseña no puede ser igual a la anterior*.
¿Cuántas veces has experimentado el frustrante episodio de no recordar una contraseña y acabar poniendo al final la que sí era correcta, para tener que volver a cambiarla?
Las constantes peticiones de cambio de contraseña de los servicios digitales que usamos a diario —desde el email, hasta la cuenta de Zoom o las redes sociales— pueden suponer un verdadero dolor de cabeza (¿cómo recordarlas todas?).
Pero, además, pueden hacernos más vulnerables frente a los hackers, según advierten varios especialistas en ciberseguridad.
¿Cómo es posible que una nueva contraseña comprometa tu seguridad en internet?
Alteraciones mínimas
La clave está en que, cuando cambiamos la contraseña, tendemos a hacer alternaciones mínimas que acaban facilitando enormemente a los ciberdelincuentes la tarea de adivinarlas.
Por ejemplo, cambiamos “CDMX1” por “CDMX2”. O incluimos al final de la consigna el año en que nacimos. O cambiamos la última letra por otra o por el número del mes.
Y si son contraseñas muy complicadas, algunos usuarios las escriben en notas autoadhesivas y las pegan a la computadora.
“Al final, terminamos recurriendo a derivados de una misma contraseña porque no somos capaces de recordar otras nuevas y más robustas para todos los servicios que utilizamos.
Además, es frecuente reutilizar una misma contraseña — o una muy similar—en varios servicios”, le dice a BBC Mundo Juan Caubet, director de la Unidad de IT Security del centro tecnológico Eurecat.
“Eso hace que, si hay una brecha de seguridad o te roban una contraseña en una campaña de phishing [un fraude basado en la suplantación de identidad] los hackers puedan adivinar fácilmente la contraseña que utilizas en otras plataformas añadiendo o cambiándole dígitos a la base que ya tienen”.
El especialista en ciberseguridad dice que, para no ponérselo tan fácil a los estafadores, lo ideal sería que cada vez que nos solicitaran un cambio de contraseña, la cambiáramos por otra totalmente nueva, que además fuera robusta.
“El problema es que esto es poco manejable porque usamos muchas contraseñas”, añade.
“Hace mucho tiempo que se busca resolver cómo hacer más seguras las contraseñas, pero el cambio obligatorio de contraseña es un parche y pronto será algo obsoleto; es mejor una sola contraseña robusta que varias que al final no lo sean tanto”, comenta Caubet.
No es el único que lo piensa.
De hecho, los expertos en seguridad informática llevan tiempo alertando contra del cambio frecuente de contraseña.
Hace unos años, Bill Burr —autor de una influyente guía sobre contraseñas de computadora que fue distribuida por el Instituto Nacional de Estándares y Tecnología de EE.UU. (NIST, por sus siglas en inglés)— se retractó de algunos de sus propios consejos.
Entre ellos, cambiar la contraseña cada 90 días agregando mayúsculas, números y símbolos, de manera que, por ejemplo, “protegido” podría convertirse en “pr0t3Gid0!”.
Sin embargo, se ha demostrado que las computadoras necesitan más tiempo para descifrar una combinación aleatoria de palabras que adivinar una palabra con sustituciones fáciles de recordar, como “Contr@sseÑ123!”.
“Me arrepiento de la mayor parte de lo que recomendé. Creo que probablemente los consejos eran muy engorrosos para mucha gente”, dijo el experto en 2017, ya jubilado y con 72 años, sobre el manual que publicó en 2003.
Muchas plataformas e instituciones siguen recomendando (y obligando) a cambiar de contraseña con frecuencia, pero otras ya no recomiendan tales pautas.
Microsoft se sumó al segundo grupo en 2019, cuando anunció que estaba eliminando los cambios periódicos de contraseña tras décadas recomendándolos. “Es una práctica antigua y obsoleta”, argumentó entonces.