Contraseñas seguras: cuánto tarda en romperse una contraseña y cómo crear una buena

Cuántas combinaciones hay

El número de contraseñas posibles se calcula como (tamaño del alfabeto)^longitud. Con solo minúsculas hay 26 caracteres posibles; con mayúsculas, minúsculas y dígitos, 62; con símbolos habituales, alrededor de 94. Una contraseña de 8 caracteres con 94 opciones por posición tiene 94⁸ ≈ 6.1 × 10¹⁵ combinaciones.

Cuánto tardaría un ataque de fuerza bruta

Para dar una idea del orden de magnitud, supón un escenario ilustrativo en el que un atacante ha obtenido una base de datos de contraseñas protegidas con un método débil y puede probar 10,000 millones de combinaciones por segundo. Con ese ritmo, probar todas las combinaciones tardaría:

Son estimaciones del peor caso en un escenario concreto. Los servicios bien configurados guardan las contraseñas con funciones lentas que reducen mucho el ritmo de intentos, pero no se debe confiar en que así sea. La conclusión práctica es clara: cada carácter adicional multiplica el esfuerzo, y pasar de 8 a 12 caracteres es mucho más efectivo que agregar un símbolo.

La longitud pesa más que la complejidad

Agregar un símbolo especial incrementa el alfabeto de 62 a 94 caracteres, un aumento de 1.5 veces por posición. Agregar un carácter de longitud multiplica el total por el tamaño completo del alfabeto, es decir, por 62 o por 94. Por eso una frase larga y fácil de recordar suele ser mejor que una cadena corta y rara.

Una contraseña formada por cinco palabras elegidas al azar de una lista de 7,776 palabras tiene 7,776⁵ ≈ 2.8 × 10¹⁹ combinaciones, más que una cadena aleatoria de 10 caracteres con símbolos, y es mucho más fácil de recordar. La clave es que las palabras se elijan de verdad al azar, no que formen una frase conocida, una cita o una letra de canción.

Lo que hace débil a una contraseña aunque sea larga

• Contener datos personales: nombre, fecha de nacimiento, mascota, equipo favorito.
• Usar patrones previsibles: “123456”, “qwerty”, “contraseña2024”, sustituir “a” por “@”.
• Reutilizarla en varias cuentas: si se filtra una, caen todas.
• Cambiar solo un número al final cada vez que se renueva.

Los atacantes combinan listas de contraseñas filtradas y reglas de variación comunes. Una contraseña que parece compleja pero sigue un patrón humano cae mucho antes que una aleatoria de la misma longitud.

Hábitos que protegen de verdad

1. Una contraseña distinta por cuenta. Un gestor de contraseñas permite hacerlo sin memorizarlas todas.
2. Verificación en dos pasos en el correo, el banco y las redes sociales. Aunque alguien tenga tu contraseña, necesita un segundo factor.
3. Contraseñas generadas al azar de al menos 14 o 16 caracteres para las cuentas importantes; el generador de contraseñas puede crearlas en tu navegador.
4. Revisar si tu correo apareció en filtraciones y cambiar las claves afectadas.
5. Desconfiar de enlaces que piden iniciar sesión: el phishing roba contraseñas sin necesidad de adivinarlas.

Limitaciones

Los tiempos de la tabla son ilustrativos y dependen de la capacidad del atacante y de cómo el servicio almacene las contraseñas. No sustituyen una evaluación de seguridad profesional. La calidad de una contraseña no ayuda si el dispositivo está comprometido o si se entrega en una página falsa.

Pon en práctica lo aprendido

Haz tus propios cálculos con los datos de tu caso y compara el resultado con los ejemplos de este artículo.

Herramientas relacionadas

Más artículos de CalculaFácil