¿Qué pasaría si todo lo que crees saber sobre contraseñas fuera incorrecto?

El 1 de febrero fue el Día Nacional para Cambiar su Contraseña en Estados Unidos, un recordatorio bien intencionado que, irónicamente, resalta todo lo que está mal en nuestra forma de pensar sobre la seguridad en 2026.

La verdad es esta: si te pasaste el primer día del mes cambiando diligentemente “¡Verano 2025!” por “¡Invierno 2026!” en todas tus cuentas, no hiciste más segura tu contraseña. De hecho, podrías haber empeorado las cosas.

Décadas de malos consejos

Llevamos décadas enseñando a la gente lecciones erróneas sobre la seguridad de las contraseñas. Añadir un número. Añadir un carácter especial. Cambiarla cada 90 días. Estos requisitos quedaron grabados en nuestra conciencia colectiva, repetidos por los departamentos de TI, aplicados por los formularios de inicio de sesión e internalizados por millones de usuarios que creían estar haciendo lo correcto.

Mientras tanto, el panorama de amenazas evolucionó en una dirección completamente diferente. Los atacantes actuales ya no se sientan frente a sus teclados a escribir manualmente las contraseñas. Realizan ataques de fuerza bruta sin conexión con equipos GPU dedicados que pueden intentar descifrar 100 mil millones de contraseñas por segundo contra algoritmos de hash como MD5 o SHA-1. A esa velocidad, la ingeniosa sustitución de “@” por “a” proporciona microsegundos de seguridad adicional.

El Instituto Nacional de Estándares y Tecnología (NIST), que establece el estándar de referencia para la orientación en ciberseguridad, comprende la nueva realidad. Sus últimas directrices de identidad digital representan un cambio fundamental en nuestra forma de pensar sobre la seguridad de las contraseñas, y no es lo que la mayoría de la gente espera.

La longitud siempre supera a la complejidad

La guía del NIST es sorprendentemente sencilla. La longitud importa mucho más que la complejidad. Una contraseña debe tener al menos 15 caracteres, pero no es necesario que sean una maraña críptica de símbolos que inevitablemente olvidarás —o peor aún, escribirás en una nota—.

En cambio, el NIST respalda el concepto de “frases de contraseña” o varias palabras enlazadas, fáciles de recordar pero difíciles de adivinar. “DontAskMeToChangeMyPassword” es más seguro que “P@ssw0rd!” y mucho más fácil de recordar.

Aún más sorprendente para muchos, el NIST ya no recomienda exigir caracteres especiales ni números, y ha abandonado la práctica de forzar cambios regulares de contraseña. ¿Por qué? Porque estas reglas no aumentan la seguridad de las contraseñas, sino que las dificultan para los humanos, lo que genera soluciones alternativas predecibles que, en realidad, debilitan la seguridad.

Las contraseñas son el problema, no la solución

Pero aquí es donde la guía del NIST se vuelve realmente interesante. Reconocen que incluso la contraseña más segura es fundamentalmente insegura. Los ataques de phishing no se preocupan por la longitud de la contraseña. Las filtraciones de datos exponen las credenciales independientemente de su complejidad. Y con más de 3,000 filtraciones de datos solo en 2025, la pregunta no es si tu contraseña ha sido comprometida, sino cuántas veces.

La principal recomendación del NIST no se trata de crear la contraseña perfecta. Se trata de ir más allá de las contraseñas.

Hacen hincapié en la autenticación multifactor (MFA) como algo esencial, no opcional. Defienden las claves de acceso: claves criptográficas almacenadas en los dispositivos que no pueden ser manipuladas, adivinadas ni robadas en brechas de seguridad de bases de datos. Recomiendan los gestores de contraseñas que generan y almacenan credenciales únicas para cada cuenta.

Las organizaciones se están dando cuenta de que la contraseña es el problema, no la solución. La autenticación sin contraseña ya no es un concepto futurista. Es una necesidad práctica para las empresas que se toman en serio la seguridad y la experiencia del usuario.

Lo que realmente deberías hacer

Si debes usar contraseñas —y, siendo sinceros, probablemente las necesites para muchas cuentas—, sigue las recomendaciones del NIST. Procura que sean largas, usa un administrador de contraseñas y activa la autenticación multifactor (MFA) en todos los lugares donde esté disponible. Mejor aún, utiliza claves de acceso cuando te las ofrezcan: son más seguras y prácticas que cualquier contraseña.

Pero la verdadera pregunta no es “¿cómo creo una contraseña mejor?”, sino “¿por qué sigo dependiendo de las contraseñas?”.

En lugar de cambiar tu contraseña en el Día Nacional de Cambiar tu Contraseña, ¿por qué no cambiar todo su enfoque de autenticación?