Cómo los hackers descifran tus contraseñas y cómo impedirlo

Las contraseñas se comprometen cada día, y casi nunca hace falta un ataque de película. Suelen bastar decisiones débiles, reutilización, bases de datos filtradas y hábitos demasiado previsibles.

Cuando entiendes cómo funcionan de verdad estos ataques, resulta mucho más fácil elegir las defensas correctas.

Fuerza bruta y por qué importa la longitud

Un ataque de fuerza bruta prueba enormes cantidades de combinaciones hasta encontrar la correcta. El riesgo crece mucho cuando los atacantes pueden hacer esas pruebas offline contra hashes robados en lugar de verse frenados por una página de inicio de sesión.

Por eso la longitud importa tanto. Cada carácter extra amplía mucho el espacio de búsqueda y hace que el ataque sea bastante más costoso.

Ataques de diccionario y previsibilidad humana

Los atacantes no empiezan con ruido aleatorio. Empiezan con lo que la gente usa de verdad: palabras comunes, nombres, fechas, patrones de teclado y pequeñas variaciones como Password1! o Summer2024.

Una contraseña puede parecer original para una persona y seguir siendo muy predecible para una herramienta diseñada alrededor del comportamiento real de los usuarios.

Credential stuffing

Tras una filtración, los atacantes prueban automáticamente las combinaciones de correo y contraseña robadas en otros servicios.

Si reutilizas contraseñas, una brecha en un sitio pequeño puede comprometer tu correo, banca, compras o cuentas de trabajo.

Descifrado offline tras una brecha de base de datos

Si roban hashes de contraseñas, los atacantes pueden probar combinaciones en su propio hardware sin bloqueos, captchas ni límites de velocidad impuestos por un sitio web.

Eso cambia por completo el nivel de riesgo. Una contraseña que aguanta razonablemente bien online puede caer rápido en un entorno de descifrado offline.

Qué te protege de verdad

• Usar una contraseña larga y única para cada cuenta.
• Dejar que un gestor genere contraseñas aleatorias.
• Usar una frase de paso aleatoria cuando debas memorizar algo.
• Activar MFA, especialmente en correo y finanzas.
• Sustituir enseguida cualquier contraseña que aparezca en filtraciones conocidas.

La conclusión práctica

Los atacantes no suelen tener que derrotar las matemáticas. Les basta con explotar malos hábitos y secretos reutilizados. La buena noticia es que unos hábitos mejores bloquean una gran parte de los ataques reales.

Contraseñas más largas, nada de reutilización y MFA te sacan de la categoría de objetivo fácil.