Empecemos por la buena noticia: no necesitas seguir cincuenta reglas de seguridad, cambiar todas tus contraseñas cada mes ni memorizar cadenas como kX9#mQ2v. La mayoría de los robos de cuentas ocurren de una forma muy concreta, y tres pasos —que puedes hacer en una sola tarde— cierran ese camino casi por completo.
Cómo se roban realmente las cuentas
Los atacantes rara vez "descifran" tu contraseña adivinándola. Lo que pasa es que alguna web en la que te registraste hace años sufre una brecha, su lista de contraseñas se filtra, y unas herramientas automáticas prueban después ese mismo par de correo y contraseña en cientos de otros servicios: banca, correo, compras, redes sociales. En el sector lo llaman relleno de credenciales (credential stuffing), y funciona por una sola razón: la mayoría de la gente reutiliza sus contraseñas. Fíjate en lo que esto significa. La fortaleza de tu contraseña apenas importa si la has reutilizado; una obra maestra de veinte caracteres escrita en doscientos sitios está a una sola brecha de abrir los doscientos.
Paso 1 — Haz únicas las del correo y el banco, esta misma noche
Tu cuenta de correo es la llave maestra de todo lo demás, porque los enlaces de "olvidé mi contraseña" llegan ahí: quien controla tu bandeja de entrada puede restablecer su acceso al resto de tu vida. Así que, aunque no cambies nada más, dale a tu correo principal y a tu banco contraseñas que no existan en ningún otro lugar del mundo. Dos cuentas, diez minutos, y la reacción en cadena de cualquier brecha futura se detiene en la puerta que de verdad importa.
Paso 2 — Deja que un gestor de contraseñas se encargue de recordar
Tener una contraseña única para cada cosa es un consejo imposible para la memoria humana, y precisamente por eso existen los gestores de contraseñas. El gestor genera una contraseña aleatoria distinta para cada sitio, la rellena por ti y guarda toda la caja fuerte tras la única frase de contraseña robusta que sí memorizas. Las opciones integradas en tu navegador o tu teléfono (Llavero de iCloud, Gestor de contraseñas de Google) son puntos de partida perfectamente válidos; las aplicaciones dedicadas añaden compartición y un mejor funcionamiento entre plataformas. Lo importante no es cuál elijas, sino que, tras configurarlo, "¿cuál era mi contraseña?" deja de ser tu problema y la reutilización desaparece como efecto secundario.
Paso 3 — Activa la verificación en dos pasos en las cuentas que importan
La autenticación en dos pasos significa que una contraseña robada ya no basta por sí sola para entrar. Actívala en el correo, el banco y tus principales cuentas de redes sociales. Una aplicación de autenticación (o el aviso integrado de tu teléfono) es más segura que los códigos por SMS —los mensajes de texto pueden interceptarse mediante trucos de intercambio de SIM—, pero el SMS sigue siendo muchísimo mejor que nada. Y donde un sitio ofrezca claves de acceso (passkeys), acéptalas: inicias sesión con tu cara o tu huella, no hay contraseña que robar y las páginas de phishing no tienen nada que capturar.
El permiso para relajarte: lo que puedes dejar de hacer
Las recomendaciones oficiales se pusieron al día con la realidad hace años, y son más relajadas que la sabiduría popular. Las directrices actuales del NIST —las normas que siguen las agencias de EE. UU.— recomiendan la longitud por encima de la complejidad forzada (una frase como "cafe-caballo-ventana-martes" supera a "P@ssw0rd!") y ya no aconsejan cambiar las contraseñas de forma programada: la rotación obligatoria solo empuja a la gente hacia Contraseña2024!, Contraseña2025!. Cambia una contraseña cuando haya un motivo —un aviso de brecha, un dispositivo compartido, un inicio de sesión sospechoso—, no porque lo diga el calendario.
- Esta noche (20 minutos): contraseñas únicas en el correo y el banco, verificación en dos pasos en ambos.
- Esta semana: activa el gestor de contraseñas y deja que capture tus inicios de sesión a medida que los usas.
- De forma continua: cuando un sitio ofrezca una clave de acceso, di que sí; cuando llegue un correo de brecha, cambia esa contraseña y cualquier otro lugar donde la hubieras reutilizado.
Tres pasos, una tarde, y el ataque responsable de la mayor parte de los robos de cuentas del mundo real se encuentra con todas las puertas importantes cerradas con llave.