Contraseña segura

¿Qué es una contraseña segura?

Una contraseña segura es una combinación de caracteres diseñada para ser lo suficientemente impredecible y larga como para resistir los métodos de ataque más avanzados. En el contexto del peritaje informático forense, las contraseñas no son solo una herramienta de protección: son una pieza de evidencia fundamental que puede demostrar accesos legítimos o no autorizados, vincular a un usuario con acciones específicas, o revelar patrones de comportamiento digital.

Según el informe Verizon Data Breach Investigations Report 2025, el 81 % de las brechas de seguridad relacionadas con hacking involucran credenciales comprometidas o débiles. En España, el INCIBE gestionó más de 83 000 incidentes de ciberseguridad en 2024, de los cuales un porcentaje significativo estaba relacionado con el robo o la vulneración de contraseñas.

La seguridad de una contraseña se mide fundamentalmente por su entropía, un concepto de la teoría de la información que cuantifica la imprevisibilidad de una cadena de caracteres. A mayor entropía, más difícil resulta para un atacante adivinar o computar la contraseña correcta.

Definición técnica de entropía

La entropía de una contraseña se calcula con la fórmula:

H = L × log₂(R)

Donde:

• H = entropía en bits
• L = longitud de la contraseña (número de caracteres)
• R = tamaño del conjunto de caracteres posibles (rango)

Ejemplo práctico:

• password (8 caracteres, solo minúsculas): 8 × 4,70 = 37,6 bits
• P@ssw0rd!2026 (13 caracteres, alfanumérico + símbolos): 13 × 6,57 = 85,4 bits
• el-gato-duerme-sobre-la-nevera-azul (36 caracteres, minúsculas + guiones): 36 × 5,04 ≈ 181 bits

Directrices NIST 800-63B: el estándar de referencia

El Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST) publicó en 2017 las directrices SP 800-63B (Digital Identity Guidelines), actualizadas en 2024, que han revolucionado la forma en que entendemos la seguridad de las contraseñas. Estas directrices se han convertido en el estándar de referencia mundial, adoptado por organismos como el Centro Criptológico Nacional (CCN) español y la Agencia de la Unión Europea para la Ciberseguridad (ENISA).

Lo que NIST recomienda

Lo que NIST desaconseja

Las directrices NIST 800-63B explícitamente desaconsejan varias prácticas que durante décadas se consideraron mejores prácticas:

• Reglas de composición arbitrarias: Exigir al menos una mayúscula, un número y un símbolo produce contraseñas como P@ssw0rd! que son predecibles para los atacantes
• Rotación forzada: Los cambios periódicos (cada 30, 60 o 90 días) generan patrones predecibles (Verano2026!, Otoño2026!, Invierno2027!)
• Preguntas de seguridad: Los datos personales (nombre de mascota, colegio, ciudad natal) son fácilmente obtenibles en redes sociales
• Pistas de contraseña: Facilitan la ingeniería social y el ataque por diccionario personalizado

Directrices CCN-STIC 821 (España)

En el ámbito español, el Centro Criptológico Nacional ha publicado la guía CCN-STIC 821 para la gestión de contraseñas en sistemas clasificados:

Métodos de ataque contra contraseñas

Comprender los vectores de ataque es fundamental tanto para crear contraseñas seguras como para el análisis forense de incidentes. Un perito informático debe conocer cada técnica para determinar cómo fue comprometida una credencial.

Ataque de fuerza bruta

El ataque de fuerza bruta prueba todas las combinaciones posibles de caracteres hasta encontrar la correcta. Es el método más básico pero también el que garantiza el éxito dado tiempo suficiente.

Tiempo estimado de descifrado (hardware doméstico, GPU RTX 4090, 2025):

Ataque de diccionario

Utiliza listas de palabras comunes, contraseñas filtradas en brechas anteriores, y variaciones predecibles (sustituciones como a→@, e→3, o→0). Es significativamente más rápido que la fuerza bruta porque reduce el espacio de búsqueda.

Diccionarios más utilizados en auditoría y ataque:

Rainbow tables

Las rainbow tables son tablas precalculadas que mapean hashes a sus textos en claro correspondientes. Permiten revertir un hash sin necesidad de computarlo en tiempo real, reduciendo drásticamente el tiempo de ataque.

Funcionamiento:

Texto plano → Función hash → Hash resultante
"password"  → MD5          → "5f4dcc3b5aa765d61d8327deb882cf99"
"123456"    → MD5          → "e10adc3949ba59abbe56e057f20f883e"

Una rainbow table simplemente busca el hash en su tabla y devuelve el texto correspondiente. La contramedida principal es el salting: añadir una cadena aleatoria única a cada contraseña antes del hash.

"password" + "x7Kp2m" → MD5("passwordx7Kp2m") → Hash único no precalculado

Credential stuffing

El credential stuffing utiliza pares de usuario/contraseña obtenidos en filtraciones de datos para intentar acceder a otros servicios. Funciona porque, según datos de Google, el 65 % de los usuarios reutiliza la misma contraseña en múltiples plataformas.

Ciclo del credential stuffing:

Ataques de ingeniería social

Ataques específicos contra hashes

Gestores de contraseñas

Un gestor de contraseñas es una aplicación que genera, almacena y autocompleta credenciales únicas y complejas para cada servicio. El usuario solo necesita recordar una contraseña maestra.

Comparativa de gestores principales

Arquitectura de seguridad de un gestor

Contraseña maestra (usuario)
        ↓
Función derivación (Argon2id / PBKDF2 / scrypt)
        ↓
Clave de cifrado derivada (256 bits)
        ↓
Cifrado AES-256-GCM de la bóveda
        ↓
Bóveda cifrada (almacenada en nube o local)

Características de seguridad esenciales:

Autenticación multifactor (MFA)

La autenticación multifactor añade capas de verificación adicionales a la contraseña, combinando dos o más factores de categorías distintas.

Los tres factores de autenticación

Métodos MFA ordenados por seguridad

Passkeys: el futuro sin contraseñas

Las passkeys, basadas en el estándar FIDO2/WebAuthn, representan la evolución hacia un futuro sin contraseñas. Utilizan criptografía asimétrica vinculada al dispositivo del usuario:

Registro:
1. Servidor envía reto (challenge) aleatorio
2. Dispositivo genera par de claves (pública + privada)
3. Clave privada se almacena en Secure Enclave / TPM
4. Clave pública se envía al servidor

Autenticación:
1. Servidor envía nuevo reto
2. Usuario desbloquea con biometría / PIN del dispositivo
3. Dispositivo firma el reto con clave privada
4. Servidor verifica la firma con clave pública

Ventajas forenses de las passkeys: No pueden ser interceptadas (no hay secreto compartido), no pueden ser phisheadas (vinculadas al dominio), y su uso queda registrado en los logs del dispositivo, proporcionando evidencia de autenticación biométrica local.

Análisis forense de contraseñas

El análisis forense de contraseñas es una de las disciplinas más técnicas del peritaje informático. Implica la extracción, el análisis y, cuando es legalmente autorizado, el descifrado de credenciales almacenadas en sistemas informáticos.

Almacenamiento de contraseñas por sistema operativo

Windows: fichero SAM y secretos LSA

Windows almacena los hashes de contraseñas locales en el fichero SAM (Security Account Manager), ubicado en C:\Windows\System32\config\SAM. Este fichero está protegido por el sistema operativo y cifrado con la clave SYSKEY.

Ubicación:     C:\Windows\System32\config\SAM
Backup:        C:\Windows\repair\SAM
Registro:      HKLM\SAM
Cifrado:       SYSKEY (RC4/AES) + hash NTLM (MD4)

Proceso forense de extracción en Windows:

Formato de hash NTLM en Windows:

Usuario:RID:LM-hash:NTLM-hash:::
Administrador:500:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::

Linux/Unix: fichero /etc/shadow

En sistemas Linux, las contraseñas se almacenan como hashes en /etc/shadow, accesible solo por root:

usuario:$6$sal$hash:18923:0:99999:7:::

$6$  → Algoritmo SHA-512 (estándar moderno)
$5$  → SHA-256
$2b$ → bcrypt
$y$  → yescrypt (Debian 11+, Fedora 35+)
sal  → Cadena aleatoria de 8-16 caracteres
hash → Hash resultante codificado en Base64

macOS: Keychain y ficheros plist

macOS almacena credenciales en múltiples ubicaciones:

Almacenamiento en navegadores

Los navegadores web almacenan contraseñas guardadas en bases de datos locales:

Herramientas forenses para análisis de contraseñas

Proceso forense completo de análisis de credenciales

Almacenamiento seguro de contraseñas: perspectiva del desarrollador

Cuando un perito analiza una brecha de datos, evalúa si la organización implementó correctamente el almacenamiento de credenciales. Las mejores prácticas actuales son:

Algoritmos de hash recomendados

Proceso correcto de almacenamiento

1. Usuario crea contraseña → Verificar contra lista de contraseñas comprometidas
2. Generar salt aleatorio → 16+ bytes de /dev/urandom o CSPRNG
3. Concatenar contraseña + salt
4. Aplicar función de derivación (Argon2id, bcrypt)
5. Almacenar: {usuario, algoritmo, parámetros, salt, hash}
6. NUNCA almacenar la contraseña original

Análisis pericial de brechas de credenciales

Cuando un perito investiga una brecha de datos que involucra credenciales, evalúa:

Marco legal en España

Artículo 197 del Código Penal: acceso no autorizado

El acceso no autorizado a datos reservados de carácter personal constituye un delito contra la intimidad tipificado en el artículo 197 del Código Penal español:

Agravantes (art. 197.4-5):

• Responsable del fichero: pena en mitad superior
• Datos especialmente protegidos (salud, ideología, orientación sexual): 3-5 años
• Con ánimo de lucro: pena superior en grado
• Afectar a menor de edad: agravante genérica
• Organización criminal: 3-5 años

RGPD y LOPDGDD: obligaciones de protección

Jurisprudencia relevante

Casos reales de brechas de contraseñas

Caso 1: LinkedIn (2012, revelado en 2016)

• Afectados: 164 millones de cuentas
• Causa: Hashes SHA-1 sin salt
• Impacto: El 90 % de las contraseñas fueron descifradas en 72 horas
• Lección forense: SHA-1 sin salt es tan inseguro como texto plano con hardware moderno. Un análisis pericial demostraría negligencia clara

Caso 2: Adobe (2013)

• Afectados: 153 millones de cuentas
• Causa: Cifrado 3DES-ECB (no hashing) con misma clave para todos los usuarios
• Impacto: Patrones visibles en los datos cifrados permitieron descifrar masivamente
• Lección forense: Cifrado reversible para contraseñas es un diseño incorrecto; se debe usar hashing unidireccional

Caso 3: Collection #1-5 (2019)

• Afectados: 2 200 millones de combinaciones usuario/contraseña
• Causa: Agregación de cientos de brechas anteriores
• Impacto: Mayor compilación de credenciales filtradas de la historia, base para ataques masivos de credential stuffing
• Lección forense: La reutilización de contraseñas convierte cualquier brecha individual en un riesgo sistémico

Caso 4: empresa española sector salud (2023, expediente AEPD)

• Afectados: 50 000 pacientes
• Causa: Sistema legacy con contraseñas MD5 sin salt, sin MFA
• Sanción AEPD: 175 000 € por medidas técnicas inadecuadas (art. 32 RGPD)
• Informe pericial: El perito demostró que el 95 % de las contraseñas del personal podían recuperarse en menos de 24 horas con hardware doméstico

Caso 5: empresa comercio electrónico Valencia (2024)

• Afectados: 120 000 clientes
• Causa: Credential stuffing masivo usando la base de datos Collection #1
• Papel del perito: Análisis de logs de acceso, correlación de IPs con proxies residenciales, identificación del patrón de ataque automatizado
• Resultado: Informe pericial permitió a la empresa demostrar ante la AEPD que había implementado medidas razonables (rate limiting, detección de anomalías) y la sanción se redujo significativamente

Guía práctica: crear y gestionar contraseñas seguras

Método de frase de paso (passphrase)

La técnica más recomendada actualmente para crear contraseñas memorizables y seguras es la frase de paso con el método Diceware:

Configuración recomendada de seguridad

Errores comunes que comprometen la seguridad

Contraseñas y el perito informático forense

Escenarios de actuación pericial

El perito informático forense trabaja con contraseñas en múltiples escenarios:

Contenido del informe pericial sobre contraseñas

Un informe pericial que aborde aspectos de contraseñas debe incluir:

Tendencias y futuro

Evolución del panorama de contraseñas

Implicaciones forenses de las passkeys

La transición a passkeys plantea nuevos retos para el peritaje informático:

• Sin contraseña que analizar: No hay hash que crackear ni texto en claro que buscar
• Vinculación a dispositivo: La autenticación está ligada al hardware, no al conocimiento
• Logs más ricos: Los registros de autenticación contienen más metadatos (tipo de biometría, dispositivo, ubicación)
• Nuevas evidencias: Registros de Secure Enclave, logs de WebAuthn, metadatos de clave pública
• Retos legales: Obligar a un sospechoso a desbloquear con biometría vs. derecho a no declarar contra sí mismo

Computación cuántica: la amenaza futura

Los ordenadores cuánticos de escala suficiente podrían romper los algoritmos de hash actuales mediante el algoritmo de Grover, que reduce la seguridad efectiva de un hash de N bits a N/2 bits. Esto significa:

Contraseñas en entornos corporativos

Active Directory y políticas de grupo (GPO)

En entornos empresariales Windows, las contraseñas se gestionan centralmente a través de Active Directory y políticas de grupo (Group Policy Objects). El perito informático forense debe conocer estas configuraciones al investigar accesos no autorizados en entornos corporativos.

Políticas de contraseña en Active Directory:

Herramientas de auditoría de contraseñas en AD:

Contraseñas en entornos cloud

La migración a servicios cloud introduce nuevos paradigmas de gestión de contraseñas:

Aspecto forense del cloud: En entornos cloud, el análisis forense de contraseñas se centra más en los logs de autenticación que en los hashes almacenados. Los registros de Azure AD Sign-in Logs, Google Workspace Admin Audit, o AWS CloudTrail proporcionan información detallada sobre cada intento de autenticación: IP, dispositivo, resultado, método MFA utilizado, y ubicación geográfica.

Contraseñas en aplicaciones móviles

Contraseñas y herencias digitales

Un escenario cada vez más frecuente en el peritaje informático es la necesidad de acceder a las cuentas digitales de una persona fallecida. Las contraseñas del difunto protegen sus activos digitales: cuentas bancarias online, redes sociales, servicios de almacenamiento en la nube, y criptomonedas.

Marco legal de acceso a cuentas de fallecidos

Proceso forense de recuperación de acceso

Contraseñas en la industria y los sistemas SCADA/ICS

Los sistemas de control industrial (ICS/SCADA) presentan un desafío especial en materia de contraseñas, con frecuentes incidentes causados por credenciales por defecto o débiles:

Caso Oldsmar (2021): Un atacante accedió al sistema de tratamiento de aguas de Oldsmar, Florida, mediante credenciales compartidas de TeamViewer sin MFA. Intentó aumentar los niveles de hidróxido de sodio a 100 veces lo normal. El incidente demostró los riesgos catastróficos de la mala gestión de contraseñas en infraestructuras críticas.

Directiva NIS2 y contraseñas: La Directiva NIS2 (UE 2022/2555), de obligado cumplimiento para entidades esenciales e importantes en la UE, exige la implementación de políticas de seguridad que incluyen la gestión adecuada de credenciales como parte de las medidas de ciberhigiene básica (art. 21.2.g). El incumplimiento puede acarrear sanciones de hasta 10 millones de euros o el 2 % de la facturación global para entidades esenciales.

Contraseñas en bases de datos y aplicaciones web

Las aplicaciones web almacenan credenciales de usuarios en bases de datos. El perito que investiga una brecha web debe examinar:

Preguntas frecuentes

¿Qué hago si mi contraseña aparece en una filtración?

Cambiarla inmediatamente en el servicio afectado y en cualquier otro servicio donde la hayas reutilizado. Activar MFA. Verificar actividad sospechosa en la cuenta. Puedes comprobar si tus credenciales han sido filtradas en Have I Been Pwned o mediante las alertas integradas en gestores como Bitwarden o 1Password.

¿Las contraseñas biométricas son más seguras?

La biometría no es una contraseña sino un factor de autenticación complementario. Es más cómoda pero tiene limitaciones: no se puede cambiar si se compromete (tu huella es permanente), puede ser coaccionada físicamente, y tiene tasas de falso positivo/negativo. Lo ideal es biometría como segundo factor, no como sustituto de una contraseña fuerte.

¿Debo usar un generador de contraseñas?

Sí, para todas las cuentas excepto la contraseña maestra del gestor (que debes memorizar). Los generadores producen cadenas verdaderamente aleatorias con máxima entropía para la longitud dada. Configúralo para generar al menos 16 caracteres alfanuméricos con símbolos.

¿Qué hago si olvido la contraseña maestra de mi gestor?

La mayoría de gestores de contraseñas con arquitectura de conocimiento cero (Bitwarden, 1Password, KeePass) no pueden recuperar la contraseña maestra porque no la almacenan. Bitwarden ofrece un «Master Password Hint» que te envía una pista por email. 1Password tiene la «Emergency Kit» con una clave de recuperación. KeePass permite crear un fichero de clave adicional. La mejor prevención es almacenar la contraseña maestra de forma segura (caja fuerte física, persona de confianza) desde el momento de la creación.

¿Las contraseñas de WiFi necesitan ser seguras?

Sí, especialmente con WPA2 Personal donde la contraseña (PSK) se utiliza directamente para derivar las claves de cifrado. Una PSK débil puede permitir a un atacante cercano descifrar todo el tráfico WiFi. Recomendaciones: mínimo 20 caracteres aleatorios, WPA3 si los dispositivos lo soportan, y segmentación de red para invitados. En auditorías forenses corporativas, el perito evalúa la fortaleza de la PSK como parte de la evaluación de seguridad perimetral.

¿Cómo protejo las contraseñas de API y tokens de desarrollador?

Las contraseñas de API, tokens de acceso y secretos de aplicaciones nunca deben almacenarse en código fuente ni en repositorios Git. Utilizar gestores de secretos como HashiCorp Vault, AWS Secrets Manager, Azure Key Vault, o ficheros .env excluidos del control de versiones. El análisis forense de brechas frecuentemente revela credenciales expuestas en repositorios públicos de GitHub, lo cual constituye una vulnerabilidad grave documentable en un informe pericial.

Comparativa de algoritmos de hash: guía para el perito

Al analizar un sistema comprometido, el perito debe identificar el algoritmo de hash utilizado y evaluar su fortaleza. Esta tabla de referencia facilita esa evaluación:

Identificación visual de algoritmos de hash

Velocidad de cracking por algoritmo (RTX 4090, Hashcat benchmarks)

Glosario técnico de contraseñas

Referencias y fuentes

1. NIST SP 800-63B — Digital Identity Guidelines: Authentication and Lifecycle Management. National Institute of Standards and Technology, 2017 (rev. 2024). Disponible en: https://pages.nist.gov/800-63-3/sp800-63b.html

2. INCIBE — Guía de gestión de contraseñas. Instituto Nacional de Ciberseguridad de España, 2024. Disponible en: https://www.incibe.es/ciudadania/tematicas/contrasenas

3. CCN-STIC 821 — Guía de seguridad de contraseñas. Centro Criptológico Nacional, Ministerio de Defensa.

4. OWASP Password Storage Cheat Sheet — Open Web Application Security Project, 2025. Disponible en: https://cheatsheetseries.owasp.org/cheatsheets/Password_Storage_Cheat_Sheet.html

5. Código Penal español — Ley Orgánica 10/1995, artículos 197 y ss. Disponible en: https://www.boe.es/buscar/act.php?id=BOE-A-1995-25444

6. RGPD — Reglamento (UE) 2016/679, artículos 5, 32, 33, 34, 83. Disponible en: https://www.boe.es/doue/2016/119/L00001-00088.pdf

7. Verizon DBIR 2025 — Data Breach Investigations Report. Verizon Enterprise, 2025. Disponible en: https://www.verizon.com/business/resources/reports/dbir/

8. NordPass — Top 200 Most Common Passwords, 2025. Disponible en: https://nordpass.com/most-common-passwords-list/

9. Have I Been Pwned — Servicio de verificación de credenciales comprometidas. Troy Hunt. Disponible en: https://haveibeenpwned.com/

10. ENISA — Good Practices for Security of Internet of Things in the context of Smart Manufacturing, Recommendations on Authentication. European Union Agency for Cybersecurity, 2024.

11. Hashcat — Advanced Password Recovery. Disponible en: https://hashcat.net/hashcat/

12. FIDO Alliance — Passkeys: A simpler, safer way to sign in. Disponible en: https://fidoalliance.org/passkeys/

13. Florêncio, Dinei; Herley, Cormac; van Oorschot, Paul C. — An Administrator’s Guide to Internet Password Research. USENIX LISA, 2014. Estudio fundamental sobre las prácticas de gestión de contraseñas en entornos corporativos.

14. Bonneau, Joseph — The Science of Guessing: Analyzing an Anonymized Corpus of 70 Million Passwords. IEEE Symposium on Security and Privacy, 2012. Análisis estadístico de la distribución de contraseñas reales.

15. Grassi, Paul A. et al. — Digital Identity Guidelines: Authentication and Lifecycle Management. NIST SP 800-63B, revisión 4 (borrador), 2024. Última actualización de las directrices de autenticación del NIST.

Conclusión

La gestión de contraseñas es un aspecto fundamental de la ciberseguridad que impacta tanto a usuarios individuales como a organizaciones. Desde la perspectiva del peritaje informático forense, las contraseñas constituyen una pieza de evidencia crucial: su fortaleza, su método de almacenamiento, y la forma en que fueron comprometidas son elementos que pueden determinar la responsabilidad en incidentes de seguridad, brechas de datos, y accesos no autorizados.

Las directrices NIST 800-63B, adoptadas globalmente, han transformado las mejores prácticas: frases de paso largas y memorables en lugar de contraseñas cortas y complejas, gestores de contraseñas como herramienta esencial, y autenticación multifactor como capa de protección indispensable.

Para el perito informático, dominar las técnicas de extracción, análisis y descifrado de contraseñas —siempre bajo autorización judicial— es una competencia profesional esencial que permite aportar evidencia técnica rigurosa en procedimientos civiles y penales relacionados con la seguridad de las credenciales digitales.

Última actualización: 30 de marzo de 2026 Categoría: Seguridad Código: SEG-050