Las contraseñas más usadas en 2023 siguen siendo perfectas… para los ciberdelincuentes

NordPass ha publicado las 200 contraseñas más usadas en 2023. Un listado ya clásico, que el proveedor del gestor de contraseñas del mismo nombre publica anualmente con los datos resultantes del análisis de las grandes violaciones de datos que se producen en los ataques a grandes servicios de Internet.

¿El resultado? Seguimos igual de mal que años anteriores. Las contraseñas son un método de autenticación altamente inseguro (cuando no se utilizan correctamente) además de odiosas en términos de usabilidad. Y menos mal que la industria ha adoptado refuerzos como la autenticación de dos factores (2FA) para reforzarlas, porque de lo contrario la situación sería insostenible.

Es urgente la implementación de funciones más avanzadas que nos libren de las contraseñas y todo apunta que las claves de acceso (códigos únicos vinculados a dispositivos específicos, como computadoras, tabletas o teléfonos inteligentes) serán el método de elección. Más seguras porque se almacenan localmente en los dispositivos y más amigables ya que no hay que recordarlas, las veremos masivamente en el futuro porque han sido apoyadas por Apple, Google y Microsoft. Hasta entonces, refuerza tus contraseñas…

Contraseñas más usadas en 2023

La lista es preocupante. Seguimos siendo un chollo para los ciberdelincuentes que ni siquiera tienen que emplear métodos avanzados de pirateo. La mayoría de las más usadas, viejas conocidas como «123456», «111111», «qwerty» o «password», tardan menos de un segundo es descifrarse lanzando un comando. Y ni siquiera, porque con una simple prueba se podrían obtener acceso a las cuentas.

Aunque las contraseñas varían de un país a otro hay algunas tendencias globales claras en el uso de números simples, de nombres comunes y, en general, incumpliendo sistemáticamente las normas para creación de contraseñas fuertes. Hasta un 70 % de las contraseñas más usadas en 2023 pueden piratearse en menos de un segundo. Te dejamos la lista global.

Particularizando en España, vemos las ‘sospechosas habituales’, muchas repetidas del listado global como las de secuencias numéricas. Las 20 primeras:

1. admin
2. 123456
3. 12345678
4. 123456789
5. 12345
6. password
7. 1234567890
8. mallorca64
9. barcelona
10. 000000
11. 111111
12. valencia1
13. 111111
14. 1234567
15. Shell123
16. carl0s
17. UNKNOWN
18. cuarenta
19. vodafone
20. Damajito1

Contraseñas fuertes

Reconociendo que las contraseñas son un método poco atractivo para el usuario, siguen siendo el método de autenticación preferente para acceder a los servicios de Internet o loguearse ante sistemas operativos, aplicaciones, juegos y todo tipo de máquinas. Y por ello conviene hacer un esfuerzo en su creación y mantenimiento siguiendo normas que sabemos de memoria, pero que no practicamos. Las recomendaciones a la hora de crear las contraseñas son las de costumbre:

• No usar palabras típicas o números comunes.
• No usar nombres personales, de mascotas o fechas de nacimiento.
• Combinar mayúsculas y minúsculas.
• Combinar números con letras.
• Añadir caracteres especiales.
• Alargar el término con el mayor número de dígitos.
• No utilizar la misma contraseña en todos los sitios.
• Especialmente, usar contraseñas específicas y lo más fuertes posibles para banca y sitios de compra on-line donde exponemos nuestra información financiera.
• Mantener la contraseña a salvo de cualquier tercero.
• No revelar nunca la contraseña a nadie. Tampoco en supuestas peticiones oficiales desde correos electrónicos o mensajes de servicios de mensajería ya que suelen ser ataques de phishing que suplantan su identidad.
• Variar el nombre de usuario y el correo electrónico.
• Reforzar el uso de las contraseñas siempre que estén disponibles funciones como la doble autenticación (2FA) o sistemas biométricos, sensores de huellas o reconocimiento facial.
• Limpiar cuentas en línea que no usemos como tarea regular de mantenimiento.
• Comprueba si tus contraseñas están hackeadas. Have I Been Pwned es un buen lugar donde mirar.

Gestores de contraseñas

Es casi imposible para un humano internauta manejar con seguridad las credenciales para acceder a las centenares de cuentas que seguramente estemos suscritos. Hay un grupo de aplicaciones que son de gran ayuda. Básicamente, este tipo de software reduce los errores humanos en el manejo de las contraseñas, ya que automatiza el proceso de generación y de acceso a los sitios web y servicios.

Por supuesto, las contraseñas creadas por estos gestores son altamente seguras cumpliendo las normas estándar en tamaño y complejidad. También ayudan contra los ataques de phishing al identificar de forma inmediata los caracteres procedentes de otros alfabetos y añaden una enorme ventaja: solo necesitamos recordar una contraseña maestra y el gestor hará el resto.

Seguro que te suenan aplicaciones como la renombrada LastPass y otras comerciales  y/o de pago, pero desde nuestra sección de prácticos te propusimos en su día estas cinco soluciones de código abierto y totalmente gratuitas que gustó mucho a nuestros usuarios. La gran ventaja de los administradores de código abierto es la posibilidad de auditar el software y mantener las credenciales bajo tu control, instalando y auto hospedándolas en nuestra propia máquina. Te recordamos los más interesantes:

KeePass. Es el ‘abuelo’ entre los gestores de contraseñas de código abierto y existe desde los días de Windows XP. KeePass almacena las contraseñas en una base de datos cifrada a la que puedes acceder mediante una contraseña o clave digital. Puede importar y exportar contraseñas en una amplia variedad de formatos.

Bitwarden. Especialmente destinada a usuarios de LastPass que buscan una alternativa más transparente, funciona como un servicio web al que puedes acceder desde cualquier navegador de escritorio, mientras que para Android e iOS cuenta con sus respectivas apps móviles. Bitwarden puede compartir contraseñas y tiene acceso seguro con autenticación multifactor y registros de auditoría.

Passbolt. Un administrador de contraseñas autohospedado diseñado específicamente para equipos de trabajo. Se integra con herramientas de colaboración en línea como navegadores, correo electrónico o clientes de chat. Puedes autohospedar el programa en tus propios servidores para mantener un control completo de los datos, aunque equipos sin experiencia o infraestructura pueden usar una versión en nube que los aloja en los servidores de la compañía.

Psono. Psono es otra opción para los equipos que buscan software de gestión de contraseñas empresariales de código abierto. Esta es una solución autohospedada que ofrece un atractivo cliente basado en web escrito en Python, con código fuente disponible bajo la licencia Apache 2.0.

Teampass. Un administrador orientado a equipos con un modo base fuera de línea que nos gusta, donde exporta sus elementos a un archivo cifrado que puede usarse en ubicaciones sin conexión a Internet. Teampass no es la aplicación más bonita del mundo, pero el diseño es tremendamente y se puede definir rápidamente roles, privilegios de usuario y acceso a carpetas.

Gestores en los navegadores

Si no quieres usar gestores de terceros, otra opción es usar los administradores de contraseñas de los propios navegadores. Chrome, el líder del segmento, ha mejorado su funcionamiento y capacidad considerablemente en las últimas versiones incluyendo funciones que ofrecen los especializados de arriba, como la detección de contraseñas vulneradas, el aviso cuando crees alguna débil o una edición de la misma muy sencilla en el propio gestor.

El gestor las almacena de manera segura, permite su gestión en el navegador o globalmente en esta página y las usa para completar los campos de usuario y contraseña la próxima vez que visites un sitio web. Muy similar a lo que ha ido haciendo Mozilla para Firefox con su ‘Password Manager’ que es uno de las mejores en navegadores web. El Edge de Microsoft basado en Chromium también cuenta con su propio gestor, que ofrece lo más básico de un gestor dedicado.

Volver a concienciar de la necesidad de invertir unos minutos de nuestro tiempo en atender un elemento crucial para la seguridad en Internet y la del hogar digital. Y no hay excusas. Tenemos la información y los medios. No se lo pongamos tan fácil a los enemigos de lo ajeno.

La entrada Las contraseñas más usadas en 2023 siguen siendo perfectas… para los ciberdelincuentes se publicó primero en MuyComputer.