Cómo crear una contraseña segura y no ser hackeado nunca

Una contraseña débil es el eslabón más fácil de romper en un ataque. La mayoría de las cuentas hackeadas no cae por culpa de un hacker genio, sino por una contraseña corta, predecible o reutilizada en varios sitios. Un solo filtrado puede poner todas tus cuentas —y sobre todo tu correo, que puede resetearte la contraseña de prácticamente todo— en malas manos.

Esta guía no enseña a memorizar una contraseña. Muestra el proceso que usa la gente que se toma en serio la seguridad: entender qué hace que una contraseña sea realmente segura, dejar las comunes y repetidas, encargarle el recuerdo a un gestor, activar la verificación con dos factores y aprender a reconocer los intentos de engaño.

No existe la contraseña “imposible de romper” — existe la que se vuelve demasiado cara de romper en relación con lo que protege. Tu objetivo es que tu cuenta sea la más difícil de la lista, no la más difícil del mundo.

Entiende qué hace fuerte a una contraseña de verdad

El error clásico es pensar que contraseña segura es lo mismo que contraseña complicada: P@ssw0rd!123. Eso es débil, porque es corta y porque los atacantes ya saben exactamente qué símbolos y sustituciones usa la gente. Lo que de verdad cuenta es la longitud y la imprevisibilidad.

Una contraseña de 16 caracteres formada por cuatro o cinco palabras sueltas y sin relación, como batidora-sol-diente-tren, es mucho más difícil de romper que una de 8 caracteres llena de símbolos. Cada carácter extra multiplica las combinaciones posibles, y las palabras sueltas son tan difíciles de adivinar como las letras aleatorias —pero fáciles de teclear.

La regla de oro: la longitud por encima de todo. Un generador de contraseñas aleatorias, como el del propio gestor que usarás en el paso 3, produce contraseñas imprevisibles automáticamente. No tienes que inventar nada.

Deja atrás las contraseñas comunes y reutilizadas

Las contraseñas más adivinadas del mundo son 123456, password, qwerty y el clásico tu-nombre + año-de-nacimiento. Listas con miles de millones de contraseñas filtradas alimentan ataques que prueban las combinaciones más probables contra millones de cuentas al mismo tiempo. Si tu contraseña está en esa lista, te hackean sin necesidad de ser un objetivo concreto.

La reutilización es el segundo gran peligro. Cuando un sitio pequeño sufre un filtrado, los atacantes prueban tu contraseña de inmediato en el correo, el banco, las redes sociales y las tiendas. Quien usa una contraseña distinta por sitio no pierde el resto de su vida digital cuando cae una cuenta.

La prueba es sencilla: si usas Navidad2024 en el correo, en la red social, en el banco y en la plataforma de streaming, no tienes cuatro contraseñas —tienes una sola repetida cuatro veces. Cada cuenta necesita su propia contraseña, única. Eso solo ya marca la diferencia entre perder un sitio y perderlo todo.

Usa un gestor de contraseñas

La excusa número uno para reutilizar contraseñas es “¿cómo voy a acordarme de todas?”. La respuesta es: no tienes que hacerlo. Un gestor de contraseñas (1Password, Bitwarden, Dashlane o el integrado en tu navegador) genera una contraseña aleatoria única para cada cuenta y guarda todo el conjunto en una caja fuerte cifrada.

Solo memorizas una cosa: tu contraseña maestra. Debe ser larga y única —nunca usada en otro sitio, nunca igual a otra cuenta. La contraseña maestra es la única que guardas en la cabeza; todo lo demás se genera al azar y se rellena automáticamente.

Elige un gestor de confianza, activa la sincronización (para tener las contraseñas en el móvil y en la computadora) y el autorrelleno. A partir de ahí, crear una cuenta nueva es solo dejar que el gestor genere una contraseña de 16 a 20 caracteres y la guarde. Quien empieza a hacer esto nunca vuelve a usar una contraseña repetida.

Activa la verificación en dos pasos

La contraseña segura es la primera capa; la verificación en dos pasos (2FA) es la segunda. Aunque roben tu contraseña en un filtrado, ella sola no desbloquea la cuenta —hace falta un segundo elemento que el atacante no tiene.

El mejor método es una aplicación autenticadora (Google Authenticator, Microsoft Authenticator, Authy) o una llave de seguridad física, porque los códigos se generan en tu dispositivo y no dependen del SMS. Prioriza la aplicación o la llave, y evita el 2FA por SMS cuando puedas, ya que el número puede ser secuestrado con una estafa de portabilidad.

Actívala por orden de importancia: primero tu correo (porque puede restablecer todas las demás cuentas), luego el banco y las redes sociales. Y guarda los códigos de recuperación que ofrece cada servicio en un lugar que no sea el móvil —si cambias de dispositivo sin ellos, recuperar la cuenta puede tardar días.

Aprende a no dejarte engañar

La contraseña más fuerte del mundo no sirve de nada si la tecleas en un sitio falso. La gran mayoría de las cuentas comprometidas hoy no se “rompen”, se obtienen con ingeniería social: correos y mensajes que imitan a bancos, mensajerías y servicios, y te piden hacer clic en un enlace e “iniciar sesión”.

Revisa la dirección del sitio antes de escribir la contraseña: el dominio tiene que ser el exacto (por ejemplo, banco.com, no banco-seguro.com). Desconfía de la urgencia (“tu cuenta se bloqueará en 24 horas”) y de los mensajes no solicitados con enlace. No escribas la contraseña en una pantalla que llegó por un enlace de un correo o de WhatsApp; entra tú mismo al sitio por la barra de direcciones.

Regla final: desconfiar es el patrón. Ante la menor señal de urgencia, una petición insistente o un enlace inesperado, vuelve a los pasos 3 y 4 —el gestor solo rellena la contraseña en el sitio correcto, y el 2FA bloquea la mayoría de los ataques aunque la contraseña se filtre.

Revisa y actualiza tus contraseñas con regularidad

Una contraseña fuerte no es un evento único: pierde fuerza con el tiempo, ya sea porque un servicio sufre una filtración o porque terminas reutilizándola en otro lugar. Dedica un momento, un par de veces al año, a revisar las cuentas más importantes — correo, banco, redes principales — y cambia la que estés reutilizando o la que pueda estar expuesta.

Aprovecha para activar la verificación en dos pasos donde aún no esté y para quitar el acceso de dispositivos que no reconozcas. Mantener esta rutina corta separa a quien va un paso adelante de quien solo reacciona cuando ya pasó algo.

Errores comunes que dejan la contraseña débil

• Creer que los símbolos la hacen fuerte. P@ssw0rd! tiene símbolos y es débil; la longitud importa más que la decoración.
• Reutilizar la misma contraseña. Un filtrado en un sitio pequeño derriba todas las cuentas que comparten esa contraseña.
• Usar datos personales. Nombre, apellido, fecha de nacimiento, tu perro y tu equipo son justo lo que el atacante prueba primero.
• Anotar la contraseña en un papel pegado al monitor. Caja fuerte del gestor, sí; un post-it en la pantalla, no.
• Confiar solo en el doble factor por SMS. Las estafas de portabilidad y la intercepción pueden robar tu número y anular la protección.
• No guardar los códigos de recuperación. Sin ellos, cambiar de dispositivo puede dejarte fuera de tu cuenta por días.

Después de proteger tus cuentas

Si tu contraseña se filtró, empieza hoy por el correo: cambia la contraseña, activa el 2FA y revisa qué cuentas comparten la misma contraseña —un gestor lo muestra de un vistazo. Después, programa una revisión semestral: revisa el informe de contraseñas débiles y reutilizadas del gestor, activa el 2FA en las cuentas que aún no lo tengan y cambia las que aparezcan en algún filtrado.

La seguridad no es una acción puntual, es un hábito. Esos diez minutos cada pocos meses son lo que mantiene tus cuentas fuera de la lista fácil de atacar.