La protección de las contraseñas sigue siendo uno de los pilares de la seguridad de cualquier organización. A lo largo de los años, han surgido varios métodos de enmascaramiento de contraseñas, como añadir caracteres aleatorios, cambiar letras por símbolos o dividir la contraseña en partes. Sin embargo, estas técnicas tienen límites importantes y no sustituyen las buenas prácticas actuales de creación, almacenamiento y protección de credenciales.
En este artículo, explicamos qué son los métodos de enmascaramiento de contraseñas, por qué son insuficientes por sí solos y qué medidas deben adoptar las empresas para proteger el acceso a sus sistemas y a las plataformas de gestión documental.
Qué son los métodos de enmascaramiento de contraseñas
El enmascaramiento consiste en hacer que una contraseña sea menos obvia mediante transformaciones sencillas. Por ejemplo, se puede sustituir la «a» por «@» y la «o» por «0», añadir números al final o insertar símbolos entre las letras. La idea es crear una contraseña que parezca aleatoria, pero que el usuario pueda recordar.
Durante mucho tiempo, muchos especialistas recomendaron estas técnicas. Sin embargo, los atacantes conocen bien estas transformaciones. Por ello, las herramientas de ataque prueban automáticamente variaciones como «P@ssw0rd!» a partir de diccionarios de palabras comunes. Así, un atacante puede descubrir una contraseña enmascarada mucho más rápido de lo que parece.
Por qué el enmascaramiento no es suficiente
Los ataques actuales rara vez intentan adivinar las contraseñas una a una. Al contrario, utilizan listas con miles de millones de contraseñas filtradas en brechas de datos y reglas automáticas que aplican sustituciones, prefijos y sufijos. En consecuencia, los patrones previsibles, como una palabra seguida del año, están entre las primeras combinaciones que prueban los atacantes.
Además, el enmascaramiento no resuelve dos problemas frecuentes: la reutilización de la misma contraseña en varios servicios y el robo de credenciales mediante phishing. Si el usuario introduce la contraseña en un sitio falso, poco importa lo enmascarada que esté.
Lo que funciona: Contraseñas largas y únicas
Las recomendaciones actuales de ciberseguridad, como las del NIST y del Centro Nacional de Cibersegurança de Portugal, priorizan la longitud y la unicidad frente a reglas complejas. En la práctica, esto significa:
- usar contraseñas largas, idealmente de 15 caracteres o más;
- preferir frases de contraseña con varias palabras sin relación entre sí;
- usar una contraseña distinta para cada servicio;
- recurrir a un gestor de contraseñas para crear y guardar las credenciales;
- cambiar la contraseña solo cuando haya sospecha de que se ha visto comprometida, y no a intervalos fijos.
De este modo, las contraseñas resultan difíciles de adivinar y, al mismo tiempo, más fáciles de gestionar.
Cómo almacenar las contraseñas en los servidores
Desde el punto de vista de las organizaciones, proteger las contraseñas no consiste en «enmascararlas». Las organizaciones nunca deben guardar contraseñas en texto plano ni con cifrado reversible. En su lugar, deben transformarlas con funciones hash diseñadas para contraseñas, como Argon2id, scrypt o bcrypt, siempre con un valor aleatorio distinto para cada usuario, conocido como salt.
| Práctica | Evaluación |
|---|---|
| Texto plano | Inaceptable |
| Cifrado reversible | Desaconsejado para contraseñas |
| Hash rápido (MD5, SHA-1) | Inseguro |
| Argon2id, scrypt o bcrypt con salt | Recomendado |
Así, aunque un atacante obtenga la base de datos, tendrá mucha dificultad para recuperar las contraseñas originales.
Autenticación multifactor: La capa esencial
Ninguna contraseña es infalible. Por ello, la autenticación multifactor debe estar activada en todas las plataformas con datos sensibles, incluidas las plataformas de gestión documental. Siempre que sea posible, conviene optar por métodos resistentes al phishing, como las llaves de seguridad FIDO2 o las passkeys. De este modo, aunque alguien robe la contraseña, difícilmente podrá acceder.
Cómo crear una frase de contraseña segura
Una frase de contraseña es una secuencia de palabras fácil de recordar, pero difícil de adivinar. Por ejemplo, cuatro o cinco palabras sin relación entre sí, separadas por guiones, forman una combinación larga y resistente. A diferencia de las contraseñas enmascaradas, no obliga a memorizar símbolos en posiciones concretas.
No obstante, hay que tomar precauciones. Las palabras no deben formar una frase conocida, como un refrán o la letra de una canción, ni incluir datos personales, como nombres de familiares o fechas. Además, cada servicio debe tener su propia frase de contraseña. En este sentido, el gestor de contraseñas sigue siendo la forma más práctica de gestionar varias credenciales.
Comprobar contraseñas comprometidas
En los últimos años, las brechas de datos han expuesto miles de millones de credenciales. Por consiguiente, una contraseña puede parecer segura y, aun así, figurar ya en las listas que utilizan los atacantes. Por este motivo, las buenas prácticas recomiendan que los sistemas comprueben las nuevas contraseñas frente a listas de credenciales comprometidas y rechacen las que aparezcan en ellas.
Del mismo modo, la empresa puede suscribirse a servicios que avisan cuando direcciones de correo electrónico de su dominio aparecen en nuevas brechas de datos. Así, puede solicitar el cambio de las contraseñas afectadas antes de que los atacantes las utilicen.
Credenciales de contratistas externos
En las plataformas de gestión documental, muchos usuarios pertenecen a empresas contratistas. Estos usuarios no siempre siguen las mismas prácticas de seguridad que la empresa contratante. Por ello, conviene exigir también la autenticación multifactor en las cuentas externas, crear cuentas individuales en lugar de cuentas compartidas por empresa y desactivar automáticamente los accesos cuando finaliza el contrato. Igualmente, la recuperación del acceso debe exigir una verificación adecuada, para evitar que alguien se haga pasar por un contratista.
Recuperación segura del acceso
Muchos ataques no intentan adivinar la contraseña, sino aprovechar el proceso de recuperación. Por ejemplo, un atacante puede llamar al soporte haciéndose pasar por un empleado y pedir que se restablezca el acceso. Por tanto, la recuperación debe exigir una verificación sólida de la identidad, como la confirmación mediante un segundo factor ya registrado o la validación por parte de un responsable. De hecho, conviene evitar las preguntas de seguridad tradicionales, como el nombre de la primera mascota, porque las respuestas suelen ser fáciles de descubrir en las redes sociales.
Formación de los usuarios
La tecnología resuelve gran parte del problema, pero los usuarios siguen teniendo un papel central. En este contexto, la formación debe explicar de forma sencilla por qué las contraseñas largas son más seguras, cómo usar el gestor de contraseñas y cómo reconocer los intentos de phishing. Del mismo modo, los empleados deben saber a quién comunicar la sospecha de que una contraseña se ha visto comprometida. Así, la política de contraseñas deja de parecer una obligación burocrática y pasa a funcionar como una protección para todos.
Ejemplo práctico: Una política de contraseñas actualizada
Imagine una empresa cuya política obligaba a usar contraseñas de ocho caracteres, con mayúsculas, números y símbolos, que se cambiaban cada tres meses. En la práctica, los empleados usaban variaciones como «Empresa@2025», «Empresa@2026» y así sucesivamente.
La empresa decide revisar la política. En primer lugar, pasa a exigir frases de contraseña de al menos 15 caracteres y deja de imponer cambios periódicos. A continuación, pone un gestor de contraseñas a disposición de todos los empleados. Por último, activa la autenticación multifactor en la plataforma de gestión documental y en el correo electrónico. En consecuencia, las contraseñas son más seguras y las solicitudes de recuperación del acceso disminuyen.
Errores comunes en la gestión de contraseñas
El error más frecuente es confiar en reglas de complejidad que conducen a patrones previsibles. Otro error es compartir cuentas entre varios empleados, lo que impide saber quién ha realizado cada acción. También es habitual guardar contraseñas en hojas de cálculo o en papel junto al ordenador. Por último, muchas empresas no comprueban si las contraseñas de sus usuarios figuran en listas de credenciales filtradas en brechas de datos.
Lista de comprobación para proteger las credenciales de la empresa
- ¿Las contraseñas exigidas tienen una longitud mínima adecuada?
- ¿Disponen los usuarios de un gestor de contraseñas aprobado?
- ¿Está activada la autenticación multifactor en las plataformas críticas?
- ¿Se almacenan las contraseñas con Argon2id, scrypt o bcrypt?
- ¿Se comprueban las nuevas contraseñas frente a listas de credenciales comprometidas?
- ¿Existen cuentas compartidas que deban eliminarse?
Preguntas frecuentes
¿Son inútiles los métodos de enmascaramiento de contraseñas?
No son inútiles, pero ofrecen poca protección frente a los ataques modernos. Una frase de contraseña larga y única es mucho más eficaz que una palabra común con símbolos.
¿Debe la empresa obligar a los empleados a cambiar la contraseña todos los meses?
Las recomendaciones actuales no aconsejan cambios periódicos obligatorios, porque conducen a contraseñas más débiles. El cambio debe producirse cuando haya sospecha de que la contraseña se ha visto comprometida.
¿Son seguros los gestores de contraseñas?
Sí, cuando proceden de proveedores reconocidos y están protegidos por una frase de contraseña segura y autenticación multifactor. Además, permiten usar contraseñas distintas en todos los servicios sin esfuerzo.
¿Sustituirán las passkeys a las contraseñas?
En muchos servicios, las passkeys ya permiten acceder sin contraseña, con más seguridad y comodidad. Sin embargo, la transición será gradual, por lo que las buenas prácticas de contraseñas seguirán siendo necesarias durante varios años.
Conclusión: Más allá de los métodos de enmascaramiento de contraseñas
Los métodos de enmascaramiento de contraseñas tuvieron su momento, pero ya no son suficientes frente a los ataques actuales. Hoy, la protección eficaz se basa en contraseñas largas y únicas, gestores de contraseñas, almacenamiento con funciones hash adecuadas y autenticación multifactor. Así, las empresas protegen mejor sus plataformas de gestión documental y los datos que circulan por ellas.
Lea también: Permisos de acceso en las plataformas de gestión documental y Qué es el IAM y para qué sirve.
Para consultar recomendaciones nacionales sobre ciberseguridad en Portugal, visite el Centro Nacional de Cibersegurança (CNCS).