Alguien que me ha consultado me marca angustiado: le entraron al Facebook y ya está mandando mensajes raros a todos sus contactos pidiendo dinero prestado. Reviso qué pasó y encuentro el patrón de siempre. La contraseña de ese Facebook es la misma que usa en su correo, en su banco y en Netflix. Cambió una letra en un par de cuentas, nada más. Bastó con que un solo sitio filtrara esa contraseña para que alguien la probara en todo lo demás. Le funcionó.
El problema no es que te la roben, es que sirve para todo
Cuando reutilizas una contraseña no proteges cinco cuentas con una llave fuerte. Proteges cinco cuentas con la seguridad de la más débil de las cinco. Si una tienda en línea que usaste una sola vez sufre una filtración, tu contraseña queda en una lista que cualquiera puede encontrar o comprar. Ahí entra el credential stuffing: programas que prueban automáticamente esa misma combinación de correo y contraseña en cientos de sitios distintos. Banco, correo, WhatsApp, redes sociales, todo en cuestión de minutos.
Puedes revisar si tu correo ya apareció en alguna filtración conocida en haveibeenpwned.com, gratis y sin crear cuenta. No es raro encontrar ahí tres o cuatro filtraciones distintas con el mismo correo.
Contraseña larga le gana a contraseña “complicada”
Durante años nos enseñaron a meterle una mayúscula y un número al final para que la contraseña fuera “segura”. El problema es que casi todos convierten “Perro123” en “Perr0123” y ahí queda. Un programa que prueba variantes conocidas la rompe en segundos.
Lo que de verdad cuesta trabajo adivinar es la longitud. Una frase de cuatro palabras sueltas, como “jirafa-martillo-cielo-39”, tarda siglos en romperse por fuerza bruta. Y es más fácil de recordar que “K9$mPz2!”. Mínimo doce caracteres. Nunca datos que cualquiera puede buscar de ti: tu cumpleaños, el nombre de tu perro, tu colonia.
Si de plano no quieres usar ninguna app, hay una fórmula manual que ayuda: toma una base que solo tenga sentido para ti, algo que nadie más adivinaría, y agrégale al final una pista corta del sitio donde la usas. De la base “MiPerroLadra7” salen “MiPerroLadra7Ban” para el banco, “MiPerroLadra7Mail” para el correo, “MiPerroLadra7Insta” para Instagram y “MiPerroLadra7Whats” para WhatsApp. Ya no repites la misma contraseña en todo, y solo tienes que recordar una base. No es tan fuerte como una contraseña generada al azar (si alguien llega a ver dos de tus contraseñas puede notar el patrón), pero es un salto enorme frente a usar la misma en todos lados.
La solución real: dejar de recordarlas tú
Nadie memoriza treinta contraseñas distintas y buenas. Para eso existen los gestores de contraseñas: generan una combinación única para cada cuenta y la guardan cifrada. Tú memorizas una sola contraseña maestra, la que abre el gestor.
Si tienes iPhone o Mac ya traes uno instalado y gratis: la app Contraseñas (sucesora del antiguo Llavero de iCloud). Sugiere una contraseña fuerte al crear una cuenta nueva y avisa si alguna se repite o ya apareció en una filtración conocida. Se sincroniza sola entre tus equipos Apple. Si en casa hay una mezcla de iPhone con Windows o Android, un gestor externo como 1Password o Bitwarden hace lo mismo entre plataformas distintas.
Un candado extra: la verificación en dos pasos
Incluso con la mejor contraseña, si alguien la consigue, por una filtración o por un descuido tuyo, puede entrar a tu cuenta como si fuera tú. La verificación en dos pasos le pone un segundo obstáculo: un código que llega a tu teléfono, o una confirmación con Face ID o Touch ID, cada vez que alguien intenta entrar desde un dispositivo que no reconoce.
Está disponible en casi todas las cuentas que importan: banco, correo, Apple ID, WhatsApp, redes sociales. Es el mismo mecanismo detrás del PIN que evita las estafas de WhatsApp más comunes en México, donde precisamente lo que falla es no tenerlo activado. Actívala primero donde más duele: correo principal y banco, porque recuperar el acceso a cualquier otra cuenta casi siempre pasa por el correo.
