Las herramientas impulsadas por IA pueden probar miles de millones de combinaciones de contraseñas por segundo utilizando listas robadas de antiguas filtraciones de datos. Pero el verdadero peligro es más simple: reutilizar la misma contraseña en varios sitios significa que una sola contraseña filtrada puede abrir decenas de cuentas. La solución es un gestor de contraseñas, la autenticación de dos factores y una verificación gratuita de filtraciones — todo ello configurable en una tarde sin ningún conocimiento técnico.
En una encuesta de AARP entre adultos estadounidenses de 50 años en adelante, la preocupación por el uso de la IA para descifrar contraseñas ocupó el primer lugar con un 87% — por delante de los deepfakes (85%) y la clonación de voz (84%). (Fuente: AARP Public Policy Institute.) Esta preocupación está bien fundada. Las herramientas de IA pueden ahora probar automáticamente enormes listas de contraseñas robadas en cientos de sitios web, más rápido que cualquier ser humano.
Lo tranquilizador es que no necesita conocimientos técnicos para protegerse. Los cuatro pasos siguientes funcionan tanto si tiene un iPhone, un teléfono Android, un PC con Windows o un Mac — y el primer paso más importante tarda unos cinco minutos.
Lo que realmente significa "adivinar contraseñas con IA"
Cuando escucha que la IA puede "descifrar" contraseñas, esto es lo que ocurre realmente. Los delincuentes obtienen listas de nombres de usuario y contraseñas de antiguas filtraciones de datos — fugas de grandes sitios web ocurridas hace años. Esas listas se venden en línea. Luego, un software, cada vez más impulsado por IA, prueba automáticamente esas combinaciones en cientos de otros sitios. Esto se llama credential stuffing (relleno de credenciales).
La parte de IA lo hace más rápido e inteligente. En lugar de combinaciones aleatorias, el software se centra en las estadísticamente más probables: palabras comunes, nombres, años de nacimiento, patrones simples. Aprende qué intentos tienen éxito.
El objetivo rara vez es su contraseña más fuerte. Es su más débil — en un sitio que olvidó — que también usó en algún lugar importante.
El verdadero peligro: las contraseñas reutilizadas
Si usa la misma contraseña en más de un sitio, una filtración en cualquiera de ellos puede abrir los demás. Esta es la mayor vulnerabilidad de contraseñas que tiene la mayoría de la gente. Una contraseña que parece fuerte pero se usa en cinco sitios es menos segura que una contraseña más simple usada solo una vez.
Piénselo así: cada sitio que tiene su dirección de correo electrónico y contraseña guarda una copia de su llave. Si un sitio pierde su llave y los delincuentes la recogen, la prueban en su banco, su correo, sus cuentas gubernamentales, sus historiales médicos.
La solución no son contraseñas más difíciles de recordar. Se trata de asegurarse de que ningún dos sitios compartan una contraseña — y el siguiente paso le muestra la forma más sencilla de lograrlo.
Paso 1: Use un gestor de contraseñas
Un gestor de contraseñas hace una sola cosa: almacena una contraseña diferente y generada aleatoriamente para cada sitio que usa. Solo necesita recordar una contraseña maestra para abrir el gestor. Cada otra contraseña es larga, aleatoria y única — el tipo que ningún ser humano ni ninguna IA puede adivinar.
Su teléfono casi seguramente tiene uno integrado. En un iPhone, vaya a Configuración y luego a Contraseñas. En un teléfono Android, vaya a Configuración, luego a Google y luego a Autocompletar. Ambos son gratuitos y funcionan automáticamente una vez que los activa. Cuando visita un sitio, el gestor de contraseñas rellena sus credenciales por usted.
No necesita una aplicación de pago para empezar. Los gestores integrados en iPhones y teléfonos Android son excelentes para la mayoría de las personas. Empiece por ahí.
Una regla: su contraseña maestra — la que abre el gestor — debe ser una frase de contraseña. Eso significa cuatro o cinco palabras ordinarias unidas, como «cocina violeta manta atardecer». Fácil de recordar, muy difícil de adivinar para un software. No es solo una preferencia personal: el propio estándar de contraseñas del gobierno de EE. UU. (NIST, en su Special Publication 800-63B, revisión 4) ha cambiado de rumbo y ahora prioriza la longitud sobre la complejidad, sin exigir ya caracteres especiales obligatorios ni cambios de contraseña programados — una frase larga que de verdad recuerde vale más que una contraseña corta «compleja» que acabe apuntada en una nota. En España, INCIBE, a través de su Oficina de Seguridad del Internauta (OSI), da al usuario de a pie la misma recomendación práctica: usar un gestor de contraseñas y priorizar contraseñas largas frente a contraseñas cortas con símbolos complejos difíciles de recordar.
Paso 2: Pruebe las claves de acceso — inicie sesión con su rostro o huella digital
Una clave de acceso (passkey) es una forma más nueva y sencilla de iniciar sesión. En lugar de una contraseña, usa su huella digital, su rostro o el PIN de su teléfono. El sitio web no recibe ninguna contraseña, por lo que no hay nada que los delincuentes puedan robar en una filtración.
Cada vez más grandes servicios — Google, Apple, Microsoft, Amazon, PayPal — ofrecen ahora claves de acceso. Cuando un sitio le pregunta si desea "guardar una clave de acceso" o "iniciar sesión con una clave de acceso", diga sí. Es más seguro que cualquier contraseña que pudiera escribir.
Probablemente ya usa una versión de esto en su teléfono cuando lo desbloquea con el rostro o la huella digital. Las claves de acceso traen esa misma simplicidad a los sitios web y las aplicaciones.
Paso 3: Active la autenticación de dos factores
La autenticación de dos factores (a menudo llamada 2FA) significa que incluso si alguien obtiene su contraseña, aún no puede iniciar sesión sin una segunda verificación — generalmente un código enviado a su teléfono.
Hay dos tipos de 2FA y no son igualmente seguros:
Códigos SMS — el sitio envía un código de seis dígitos por mensaje de texto. Esto es mejor que nada, pero los números de teléfono pueden ser secuestrados por estafadores en ciertas circunstancias, lo que lo convierte en la opción más débil.
Una aplicación de autenticación — aplicaciones gratuitas como Google Authenticator o Microsoft Authenticator generan un código nuevo cada 30 segundos en su teléfono. Incluso si un estafador tiene su contraseña, no puede obtener ese código sin tener físicamente su teléfono en la mano. Esto es mucho más seguro.
Empiece con SMS si es la única opción ofrecida — sigue siendo una mejora significativa respecto a no tener 2FA. Pero para sus cuentas más importantes (correo electrónico, banco, redes sociales), cambie a una aplicación de autenticación cuando pueda.
Paso 4: Compruebe si su correo electrónico estuvo en una filtración
Un sitio web llamado Have I Been Pwned (haveibeenpwned.com) le permite escribir su dirección de correo electrónico y ver qué filtraciones de datos la han expuesto. Fue creado por un investigador de seguridad y es gratuito. El sitio no pide su contraseña — solo su dirección de correo electrónico.
Vaya allí, escriba su correo y pulse el botón de verificación. El sitio le mostrará una lista de las filtraciones en las que apareció su dirección de correo electrónico. Si su correo aparece en una filtración, los delincuentes conocen su contraseña para ese sitio. Cámbiela de inmediato — y cámbiela en cualquier otro sitio donde haya usado la misma contraseña.
A qué estar atentos
Correos falsos "su cuenta ha sido hackeada". Los delincuentes envían correos que parecen alertas de seguridad oficiales: "Hemos detectado actividad inusual. Haga clic aquí para proteger su cuenta." Son intentos de phishing. No haga clic en el enlace. En cambio, vaya directamente al sitio escribiendo su dirección en el navegador, o llame a la empresa usando un número de su sitio web oficial.
Phishing de restablecimiento de contraseña. Un estafador activa un correo real de restablecimiento de contraseña de un servicio que usa, luego le llama fingiendo ser del equipo de seguridad de la empresa. Le pide que le lea el código que acaba de llegar a su teléfono. Nunca lea un código de seguridad a alguien que le haya llamado. Los empleados reales de la empresa nunca piden esto.
Ventanas emergentes falsas que imitan su gestor de contraseñas. Su gestor de contraseñas real rellena las credenciales automáticamente — nunca le pide que vuelva a escribir su contraseña maestra en una página web. Si un sitio le pide su contraseña maestra, cierre esa pestaña.
Qué probar a continuación
Los correos de phishing suelen ser el primer movimiento que hacen los delincuentes antes de intentar tomar el control de una cuenta. Cómo detectar correos de phishing generados por IA le da seis comprobaciones rápidas que revelan mensajes falsos — incluso los que parecen completamente legítimos. Si también se pregunta qué información personal nunca debería compartir con un chatbot de IA, Qué no decirle a un chatbot de IA cubre la información específica que podría ponerle en riesgo.
Fuentes
- Older Adults Express High Concern and Limited Knowledge About AI Scams and Fraud — AARP Public Policy Institute
- Have I Been Pwned — Troy Hunt
- Digital Identity Guidelines: Authentication and Authenticator Management (SP 800-63B-4) — NIST (EE. UU.)
- FIDO Passkeys: Passwordless Authentication — FIDO Alliance
- Gestión de contraseñas seguras — INCIBE
