El problema de las contraseñas sigue sin resolverse en 2026
El informe DBIR 2026 de Verizon confirma lo que la industria lleva años documentando: el 81% de las brechas de seguridad confirmadas involucran credenciales comprometidas. La reutilización de contraseñas entre servicios personales y corporativos sigue siendo generalizada, y la presión para recordar múltiples contraseñas complejas lleva a los usuarios a adoptar estrategias que parecen razonables pero que son trivialmente predecibles para un atacante automatizado.
Las listas de contraseñas más utilizadas publicadas por NordPass, Specops y Have I Been Pwned en 2026 siguen encabezadas por variantes de «123456», «password» y combinaciones de nombre+año. La diferencia respecto a años anteriores es la velocidad con la que estas credenciales se prueban: herramientas de credential stuffing automatizadas pueden verificar millones de combinaciones por minuto contra múltiples servicios simultáneamente.
Cómo roban contraseñas los ciberdelincuentes en 2026
Credential stuffing masivo
Los atacantes compran o descargan bases de datos de credenciales filtradas en brechas anteriores (disponibles en foros del dark web) y las prueban automáticamente contra servicios populares. Si un usuario reutilizó la misma contraseña en varios servicios, la cuenta está comprometida aunque el servicio objetivo nunca haya sufrido una brecha directa. Have I Been Pwned registra en 2026 más de 14.000 millones de credenciales únicas en su base de datos.
Phishing y man-in-the-middle adversariales
Los kits de phishing modernos como Evilginx3 actúan como proxy inverso entre el usuario y el servicio legítimo, capturando tanto la contraseña como el token de autenticación multifactor en tiempo real. Esto significa que un MFA basado en OTP (contraseña de un solo uso por SMS o app) ya no protege contra el phishing dirigido cuando el atacante utiliza estas técnicas.
Infostealer malware
Los infostealers como Lumma, Redline o Stealc se distribuyen masivamente a través de anuncios falsos en Google y descargas troyanizadas. Una vez ejecutados, extraen en segundos todas las contraseñas almacenadas en los navegadores del dispositivo, tokens de sesión activos y cookies de autenticación, enviándolos a infraestructuras de los atacantes. En 2026, ESET registró un aumento del 67% en infecciones por infostealer respecto a 2024.
Soluciones reales para empresas y usuarios
Gestores de contraseñas corporativos
Un gestor de contraseñas corporativo (Bitwarden Teams, 1Password Business, Keeper Business) permite a las organizaciones centralizar la gestión de credenciales, aplicar políticas de complejidad mínima, detectar contraseñas reutilizadas o comprometidas y controlar el acceso compartido a cuentas de servicio. El despliegue requiere formación inicial, pero reduce drásticamente la superficie de ataque por credenciales.
Passkeys: el reemplazo de las contraseñas
Las passkeys (claves de acceso FIDO2) eliminan la contraseña como concepto: la autenticación se basa en criptografía de clave pública donde la clave privada nunca abandona el dispositivo del usuario y no existe un secreto compartido que pueda filtrarse. Google, Apple, Microsoft y los principales proveedores de identidad ya soportan passkeys, y la adopción empresarial avanza rápidamente en 2026. Una passkey no puede ser phisheada porque no hay contraseña que capturar.
Autenticación multifactor resistente al phishing
No todo MFA tiene el mismo nivel de protección. SMS y OTP por aplicación son susceptibles a ataques de adversary-in-the-middle. La CISA recomienda para entornos corporativos MFA basado en FIDO2 (llaves físicas como YubiKey o MFA por passkey) que vincula la autenticación al dominio legítimo del servicio, haciendo imposible el phishing de credenciales incluso con sitios falsos convincentes.
Qué debería hacer una empresa para proteger sus credenciales
- Inventariar todas las cuentas corporativas activas: incluyendo cuentas de servicio, accesos a proveedores en la nube y APIs con credenciales estáticas.
- Eliminar contraseñas reutilizadas y compartidas: usar el gestor corporativo para asignar credenciales únicas a cada cuenta y servicio.
- Activar MFA FIDO2 en todos los servicios críticos: correo, VPN, acceso a servidores, plataformas cloud y herramientas de desarrollo.
- Migrar a passkeys donde sea posible: especialmente en servicios de Microsoft 365, Google Workspace, GitHub y plataformas con soporte nativo.
- Monitorizar credenciales comprometidas: servicios como SpyCloud o Have I Been Pwned Enterprise alertan cuando credenciales corporativas aparecen en bases de datos filtradas.
- Revisar accesos de proveedores y terceros: muchas brechas ocurren a través de credenciales de proveedores con acceso excesivo o no rotado.
- Documentar la política de contraseñas: con criterios claros de complejidad, rotación y gestión de credenciales privilegiadas (PAM).
- Contactar con un especialista: ante una brecha que involucre credenciales, el perito informático puede determinar el alcance de la exposición y qué datos fueron accedidos.
Preguntas frecuentes
¿Es seguro usar un gestor de contraseñas?
Los gestores de contraseñas modernos usan cifrado de extremo a extremo con clave derivada de la contraseña maestra (que nunca se transmite al servidor). El riesgo de que el proveedor sea comprometido existe, como demostró el incidente de LastPass en 2022, pero el beneficio de eliminar contraseñas débiles y reutilizadas supera ampliamente el riesgo residual. Para entornos de alta sensibilidad, los gestores auto-hospedados como Vaultwarden eliminan la dependencia del proveedor.
¿Qué longitud mínima debe tener una contraseña segura en 2026?
Las guías NIST SP 800-63B revisadas recomiendan priorizar la longitud sobre la complejidad: una frase de contraseña de 20 o más caracteres es más segura y memorable que una cadena compleja de 10 caracteres. El mínimo recomendado para cuentas estándar es 16 caracteres; para cuentas privilegiadas, 20 o más.
¿Las passkeys son realmente más seguras que las contraseñas?
Sí, estructuralmente. Una passkey elimina el secreto compartido: no hay contraseña que filtrar en una brecha del servidor, no puede ser phisheada y no puede ser reutilizada entre servicios. El único riesgo es la pérdida del dispositivo que la almacena, mitigable con copias de seguridad cifradas y múltiples dispositivos de confianza.
¿El MFA por SMS es suficiente para una empresa?
Para la mayoría de servicios estándar, añade una capa de protección útil. Sin embargo, el SMS es vulnerable a ataques de SIM swapping y a herramientas de adversary-in-the-middle. Para accesos críticos (correo corporativo, VPN, entornos cloud de producción), la CISA y el NCSC recomiendan MFA basado en FIDO2 en lugar de OTP por SMS.
¿Cómo sé si mis contraseñas corporativas han sido filtradas?
Puedes verificar dominios corporativos completos en Have I Been Pwned (haveibeenpwned.com/DomainSearch) o usar servicios como SpyCloud Enterprise para monitorización continua. El equipo de seguridad debería revisar regularmente si credenciales de la organización aparecen en nuevas filtraciones.
¿Cuándo está obligada una empresa a notificar una brecha de credenciales?
En España, bajo el RGPD y la LOPDGDD, si la brecha afecta a datos personales con riesgo para los derechos de los afectados, debe notificarse a la AEPD en 72 horas. Si el riesgo es alto para los interesados, también debe notificarse a los propios afectados sin demora injustificada. El perito informático puede ayudar a determinar el alcance real de la exposición.
¿Qué es el credential stuffing y cómo prevenirlo?
El credential stuffing consiste en probar automáticamente grandes volúmenes de credenciales filtradas contra un servicio. Se previene con: no reutilizar contraseñas entre servicios (gestor de contraseñas), activar MFA, y a nivel de servidor, implementar rate limiting, CAPTCHAs adaptativos y detección de patrones de login anómalos.
¿Existe alguna responsabilidad legal si una empresa sufre una brecha por contraseñas débiles?
El RGPD exige que las organizaciones implementen medidas técnicas y organizativas adecuadas al nivel de riesgo. Usar contraseñas simples o no implementar MFA en sistemas con datos personales puede considerarse una falta de diligencia que la AEPD pondera en sus resoluciones sancionadoras, con multas de hasta el 4% del volumen de negocio global anual.
¿Cuál es el mayor error de tu empresa con las contraseñas?
Las contraseñas parecen un problema resuelto, pero los datos de 2026 demuestran que sigue siendo la vulnerabilidad más explotada. ¿Qué obstáculos has encontrado en tu organización para implementar gestores de contraseñas corporativos o passkeys? La experiencia práctica de equipos de seguridad, administradores de sistemas y responsables de TI es invaluable para quienes enfrentan los mismos retos. Comparte tu perspectiva en los comentarios.
¿Necesitas evaluar la seguridad de credenciales en tu empresa?
En CiberPerito360 y NYXQLAB realizamos auditorías de gestión de credenciales, análisis forense en incidentes relacionados con accesos no autorizados y elaboración de informes periciales sobre brechas de seguridad para procedimientos judiciales y reclamaciones a aseguradoras. Consulta con nuestro equipo de peritos informáticos sin compromiso.
Referencias
Verizon DBIR 2026 — Data Breach Investigations Report | Have I Been Pwned — Credential Breach Monitor | NIST SP 800-63B — Digital Identity Guidelines | CISA — Implementing Phishing-Resistant MFA | FIDO Alliance — Passkeys Overview | AEPD — Guía Seguridad en Brechas de Datos
Andrés Torres
Perito Informático Judicial en España. Experto en peritaje digital, análisis forense y ciberseguridad. Fundador de CiberPerito360.