🔐 10 Errores de creación de contraseñas que causan pérdida de cuentas en 2026
Un mismo correo, un mismo banco, una docena de servicios y la misma contraseña en todos. Como mucho, con un número al final. Así es más cómodo: no hay que recordar nada.
No solo es más cómodo para usted. Una filtración de un foro pequeño y su combinación universal ya está en la base de datos de alguien. Luego se prueba automáticamente en su correo, su banco, su hosting. Miles de intentos por segundo, sin intervención humana.
La buena noticia: casi todas las brechas explotan los mismos hábitos, y cada una puede cerrarse en media hora. A continuación, diez de esos errores y los pasos exactos que eliminan el riesgo sin paranoia innecesaria.
💡 Resumen rápido:
- Elimine las repeticiones: cada servicio debe tener su propio par de usuario y contraseña
- Revise si sus contraseñas contienen datos personales de sus redes sociales
- Active la autenticación de dos factores para el correo y la banca
- Traslade las contraseñas de las notas y del navegador a un gestor de contraseñas
La misma contraseña para todas las cuentas
El error más común y el más caro. Una contraseña viaja del correo a las redes sociales y de ahí a las hojas de cálculo del trabajo. Fácil de recordar. La trampa es que todo se rompe a la vez.
El mecanismo es simple. Un atacante toma una base de datos filtrada de un sitio pequeño, extrae los pares de correo y contraseña, y los prueba contra los servicios principales. Esto es el relleno de credenciales. Basta un único eslabón débil.
Según el Informe DBIR 2025 de Verizon, las credenciales comprometidas fueron el punto de entrada en el 22% de las brechas confirmadas. En ataques a aplicaciones web, las contraseñas robadas aparecen hasta en el 88% de los casos.
Cómo solucionarlo:
- Una contraseña única para cada servicio, sin excepciones
- Configure un gestor de contraseñas; él lo recordará todo por usted
- Empiece por lo crítico: correo, banco, hosting, cuentas de trabajo
Contraseñas cortas y simplistas
123456, password y qwerty ocupan los primeros puestos del ranking anual de NordPass desde hace años. La mayoría de las contraseñas de esa lista se descifran en menos de un segundo. No un minuto. Un segundo.
Las tarjetas gráficas modernas prueban millones de combinaciones por segundo. Una contraseña de 6 a 8 caracteres es cuestión de tiempo, no de suerte. Cada carácter extra multiplica el número de variantes muchas veces.
Y una frase de contraseña compuesta por cuatro palabras aleatorias es más fuerte que P@ssw0rd! con caracteres especiales. Además, es más fácil de retener en la cabeza.
Tipo de contraseña | Ejemplo | Fortaleza |
|---|---|---|
Simplista | 123456 | Descifrado instantáneo |
Palabra más número | password123 | Descifrado en segundos |
Caracteres especiales pero corta | P@ss1! | Horas |
Frase de contraseña | bucket roof blue bridge | Décadas |
Qué ayuda:
- Al menos 12 caracteres, idealmente 16 o más
- Una frase de contraseña de 4 a 5 palabras aleatorias en lugar de
ILoveDogs2024! - Un gestor de contraseñas generará y recordará una cadena larga por usted
Datos personales en las contraseñas
Nombre, año de nacimiento, nombre del gato, número de teléfono. Eso es lo primero que probará un atacante. Porque todo eso lleva mucho tiempo siendo público.
Redes sociales, perfiles públicos, filtraciones antiguas. Armar un expediente sobre una persona lleva minutos. Si su contraseña es Misha1989 o Tommy123, no hace falta fuerza bruta. Basta con echar un vistazo a su perfil.
Según una encuesta de 1Password de 2025, el 91% de los empleados entiende el riesgo de reutilizar contraseñas. Y el 66% aún las reutiliza. El panorama es el mismo con los datos personales: casi todos lo saben, pocos lo cumplen.
Qué hacer:
- Nada de nombres, fechas, nombres de mascotas ni números de teléfono en una contraseña
- Palabras aleatorias o una cadena generada; no hay otras opciones fiables
- Si teme olvidarla, un gestor de contraseñas se encargará de ello
Pequeños ajustes a una contraseña antigua
Primero MyPass2023, un año después MyPass2024, luego MyPass2025. ¿Se reconoce? Los atacantes también conocen esa lógica.
Cuando una base de datos se filtra, la contraseña no se prueba solo tal cual. Se generan cientos de variaciones automáticamente: añadir el año, un signo de exclamación, cambiar la capitalización de la primera letra. Cuestión de segundos.
Cambiar el número del final no convierte una contraseña en una nueva. Sigue siendo predecible.
La solución:
- Cada contraseña nueva es completamente nueva, sin vínculo con la anterior
- Olvide el esquema de «palabra base más año»
- Un gestor de contraseñas elimina la propia tarea de inventar y recordar
Omitir la autenticación de dos factores
Una contraseña es un factor. Si la roban, el acceso queda abierto. La autenticación de dos factores añade una segunda barrera: un código de un solo uso desde una aplicación o una llave de hardware.
Según el Informe de Defensa Digital 2025 de Microsoft, más del 97% de los ataques a cuentas usan contraseñas. Mientras tanto, la MFA resistente al phishing bloquea más del 99% de esos intentos. La brecha entre «sin segundo factor» y «con él» es enorme.
Los códigos SMS son mejor que nada, pero peor que una aplicación. Los SMS pueden interceptarse mediante SIM swapping. Google Authenticator, Microsoft Authenticator o Authy funcionan sin conexión y no están vinculados a un número de teléfono.
Cómo activarlo:
- Active la autenticación de dos factores en los ajustes de su cuenta
- Elija una aplicación de autenticación, no SMS
- Empiece por el correo, el banco y las redes sociales; guarde los códigos de respaldo
Almacenar contraseñas en notas y archivos de texto
Notas en el teléfono, passwords.txt en el escritorio, una hoja de cálculo de Excel, una captura de pantalla en la galería. Parece inofensivo: al fin y al cabo, el archivo está en mi dispositivo.
Cualquiera que acceda al dispositivo lo verá. El malware escanea el disco y recopila archivos de texto con inicios de sesión. Las notas en la nube se sincronizan, y una brecha en la nube expone todo a la vez. Una captura de pantalla con contraseñas la encontrará cualquiera que coja el teléfono.
Ninguno de estos métodos cifra los datos. Es texto plano, a plena vista.
Cómo cerrar la brecha:
- Traslade las contraseñas a un gestor de contraseñas; es una caja fuerte cifrada
- Después de trasladarlas, elimine los archivos de texto y las capturas con contraseñas
- Establezca un bloqueo de pantalla y cifrado de disco en el dispositivo
Enviar contraseñas por mensajería y por correo electrónico
«Pásame la contraseña de la suscripción por el chat», «Usuario y contraseña por MD». Una historia habitual en cuentas familiares, proyectos compartidos y equipos freelance.
El problema es que el mensaje se queda en la conversación para siempre. Se reenvía, se copia, se lee por encima del hombro cuando se muestra la pantalla. El correo de una de las partes es hackeado y la contraseña viaja más lejos. El control sobre quién la ve se pierde en el momento en que se envía.
En equipos de trabajo es doblemente peligroso: un empleado que se va conserva acceso a una cuenta compartida a través del historial de chat antiguo. Esto ocurre con regularidad.
Qué hacer en su lugar:
- Para suscripciones familiares, use la función de uso compartido integrada
- En equipos, cree una cuenta separada para cada persona
- Para una entrega puntual, use el uso compartido seguro en el gestor y luego cambie la contraseña
Ignorar las notificaciones de brechas
Llega un correo: «Sus datos pueden haber sido comprometidos». La mayoría lo ignora: la cuenta funciona, así que todo debe estar bien.
Pasan meses, a veces años, entre una filtración y una brecha. Las bases de datos robadas se revenden, se fusionan, se enriquecen. Quien compró el volcado hoy probará su contraseña mañana. O dentro de un año.
La escala crece, no se reduce. Según una estimación del informe de cibercrimen de 2026, aproximadamente 2.860 millones de credenciales aparecieron en filtraciones y registros de malware durante 2025. Ignorar ese correo significa entregarle un regalo al atacante.
Cómo responder:
- Si recibe una notificación, cambie la contraseña de inmediato
- Compruebe si la misma contraseña se usó en otros servicios y cámbiela allí también
- Active la monitorización de brechas en su gestor o a través del servicio Have I Been Pwned
Depender únicamente del almacenamiento integrado del navegador
El navegador ofrece guardar la contraseña al iniciar sesión y rellena los campos él solo. Millones se quedan ahí.
Pero el almacenamiento del navegador no es una caja fuerte. En un ordenador compartido, las contraseñas guardadas son accesibles para la siguiente persona que se siente. El malware sabe cómo extraer contraseñas directamente del navegador. Si roban el portátil, el ladrón obtiene todo lo que estaba guardado.
La bóveda del navegador es un bloc de notas cómodo. No cifra las contraseñas con una clave maestra ni genera combinaciones fuertes.
Cómo solucionarlo:
- Use un gestor de contraseñas completo en lugar del navegador
- En dispositivos compartidos, cierre siempre la sesión de las cuentas
- Active el cifrado de disco y un bloqueo de pantalla en el portátil
Contraseñas que no se han cambiado en años
Configuró una contraseña al registrarse y se olvidó. La cuenta funciona, ¿para qué tocarla?
Con los años, la contraseña puede haber aparecido en varias filtraciones que usted desconoce. Las bases de datos de brechas se acumulan. Incluso si hoy está todo limpio, el panorama cambia seis meses después. El correo, el banco y la nube son puntos críticos donde una contraseña antigua es especialmente peligrosa.
El reciente informe Costo de una Brecha de Datos 2025 de IBM estima el daño promedio de una brecha por credenciales comprometidas en 4,67 millones de dólares, y el tiempo promedio de detección y contención en 246 días. Casi un año desde la intrusión hasta la respuesta. Todo ese tiempo, la contraseña sin cambiar está jugando en su contra.
Qué hacer:
- Cambie las contraseñas de las cuentas críticas una vez al año
- Después de una filtración, hágalo de inmediato, sin esperar a la fecha programada
- Si recibe una alerta sobre un inicio de sesión sospechoso, cambie la contraseña en el acto
Un breve vídeo sobre el tema reforzará la idea principal: cómo construir contraseñas fuertes y no guardarlas solo en la cabeza.
⁉️🤔 Preguntas frecuentes
¿Es seguro un gestor de contraseñas? ¿No es arriesgado guardar todas las contraseñas en un solo lugar?
Es seguro si el gestor utiliza una arquitectura de conocimiento cero:
Bitwarden,1Passwordo las bóvedas integradas deAppley
¿Es cierto que una frase de contraseña de palabras aleatorias es más fuerte que P@ssw0rd! con caracteres especiales?
Sí, la longitud supera a la complejidad.
ведро крыша синий мостtiene 22 caracteres y un espacio de búsqueda colosal. Los caracteres especiales en una contraseña corta añaden una cantidad minúscula de entropía en comparación con una palabra más. El institutoNIST, en su estándar SP 800-63B, aconseja desde 2024 apostar específicamente por la longitud.
¿Es malo el SMS para la autenticación de dos factores?
No es malo, pero sí insuficiente. Un código SMS es mejor que ningún segundo factor. Pero una tarjeta SIM puede ser reemitida mediante ingeniería social, y el propio código puede ser interceptado a través de vulnerabilidades del protocolo SS7. Una aplicación de autenticación o una llave de hardware
YubiKeyes notablemente más fuerte.
¿Cómo compruebo si mi contraseña ha estado en una filtración?
Abra Have I Been Pwned e introduzca su correo electrónico. El servicio le mostrará en qué brechas ha aparecido. Para comprobar una contraseña específica, existe la sección Pwned Passwords: busca una coincidencia de hash entre miles de millones de registros sin revelar la contraseña en sí. Muchos gestores incorporan esta comprobación por sí mismos.
No estoy listo para configurar un gestor de contraseñas ahora mismo; ¿por dónde empiezo?
Empiece poco a poco. Cambie la contraseña de su correo por una frase de contraseña de cuatro palabras aleatorias. Active la autenticación de dos factores para el correo y la banca. Elimine el archivo
passwords.txtde su escritorio. Estos tres pasos le llevarán unos 15 minutos y cerrarán los riesgos principales. Puede configurar el gestor más adelante.
¿Cambiar hábitos hoy o «en algún momento después»?
Las contraseñas débiles no son una historia de miedo de las noticias de hackers. Es una cascada concreta: una contraseña filtrada lleva al correo, el correo lleva a restablecimientos de contraseña en todos los servicios vinculados, y luego al dinero, los documentos y los proyectos. Media hora de prevención cuesta incomparablemente menos que recuperar el acceso.
Dé tres pasos hoy: una contraseña única para el correo, autenticación de dos factores, un gestor de contraseñas. Si no está listo para un gestor, al menos elimine las repeticiones y active el segundo factor para las cuentas críticas. Eso ya es más de lo que hace la mayoría. ¿Con qué paso empezará ahora mismo?
Un equipo profesional de escritores y editores especializados en la creación de contenido de calidad.