Contraseña segura

¿Qué es una contraseña segura?

Una contraseña segura es una combinación de caracteres diseñada para ser lo suficientemente impredecible y larga como para resistir los métodos de ataque más avanzados. En el contexto del peritaje informático forense, las contraseñas no son solo una herramienta de protección: son una pieza de evidencia fundamental que puede demostrar accesos legítimos o no autorizados, vincular a un usuario con acciones específicas, o revelar patrones de comportamiento digital.

El abuso de credenciales ha dejado de ser el vector de acceso inicial más común. En el Data Breach Investigations Report 2025 de Verizon todavía encabezaba la lista, con la explotación de vulnerabilidades acercándose por detrás en el 20 % de las brechas. Un año después se han cruzado: el DBIR 2026 sitúa la explotación de vulnerabilidades en el 31 %, ya como vector principal, y el abuso de credenciales cae al 13 %. Es la decimonovena edición del informe y analiza más de 31.000 incidentes, de los que más de 22.000 son brechas confirmadas en 145 países.

Eso no rebaja la importancia de una buena contraseña, y conviene entender por qué: el desplazamiento no significa que se roben menos credenciales, sino que los atacantes están entrando por software sin parchear antes de necesitarlas. El factor humano, de hecho, sigue presente en el 62 % de las brechas, ligeramente por encima del 60 % del año anterior. En España, INCIBE gestionó 122.223 incidentes en 2025, un 26 % más que los 97.348 de 2024 (balance de INCIBE).

La seguridad de una contraseña se mide fundamentalmente por su entropía, un concepto de la teoría de la información que cuantifica la imprevisibilidad de una cadena de caracteres. A mayor entropía, más difícil resulta para un atacante adivinar o computar la contraseña correcta.

Definición técnica de entropía

La entropía de una contraseña se calcula con la fórmula:

H = L × log₂(R)

Donde:

• H = entropía en bits
• L = longitud de la contraseña (número de caracteres)
• R = tamaño del conjunto de caracteres posibles (rango)

Ejemplo práctico (la fórmula solo es válida si cada carácter se elige de forma independiente y uniforme, como hace un generador aleatorio; no describe la seguridad real de una palabra conocida ni de una frase escogida por una persona):

• password (8 caracteres, solo minúsculas): 8 × 4,70 = 37,6 bits en teoría, pero al ser una palabra de diccionario se descifra de forma casi instantánea: su entropía real es ínfima
• P@ssw0rd!2026 (13 caracteres, alfanumérico + símbolos): 13 × 6,57 = 85,4 bits como cota máxima; las sustituciones predecibles (a→@, o→0) la rebajan en la práctica
• el-gato-duerme-sobre-la-nevera-azul (35 caracteres, minúsculas + guiones): 35 × 4,75 ≈ 166 bits solo si las palabras se eligen al azar (método Diceware); una frase con sentido rinde bastante menos

Directrices NIST 800-63B: el estándar de referencia

El Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST) publicó en 2017 las directrices SP 800-63B (Digital Identity Guidelines), cuya revisión 4 —NIST SP 800-63B-4— es la edición vigente desde julio de 2025 (la edición anterior se retiró el 1 de agosto de 2025). Estas directrices se han convertido en el estándar de referencia mundial, adoptado por organismos como el Centro Criptológico Nacional (CCN) español y la Agencia de la Unión Europea para la Ciberseguridad (ENISA).

Lo que NIST recomienda

Lo que NIST desaconseja

Las directrices NIST 800-63B explícitamente desaconsejan varias prácticas que durante décadas se consideraron mejores prácticas:

• Reglas de composición arbitrarias: Exigir al menos una mayúscula, un número y un símbolo produce contraseñas como P@ssw0rd! que son predecibles para los atacantes
• Rotación forzada: Los cambios periódicos (cada 30, 60 o 90 días) generan patrones predecibles (Verano2026!, Otoño2026!, Invierno2027!)
• Preguntas de seguridad: Los datos personales (nombre de mascota, colegio, ciudad natal) son fácilmente obtenibles en redes sociales
• Pistas de contraseña: Facilitan la ingeniería social y el ataque por diccionario personalizado

Directrices CCN-STIC 821 (España)

En el ámbito español, el apéndice V de la guía CCN-STIC 821 del Centro Criptológico Nacional recoge un modelo de normas de creación y uso de contraseñas dentro del Esquema Nacional de Seguridad (ENS), de febrero de 2018. No es una matriz por niveles de clasificación, sino una plantilla de uso general (marcada «SIN CLASIFICAR») que fija una longitud mínima de 8 caracteres junto a reglas de calidad, caducidad e historial que cada organismo adapta a su categorización ENS. La protección de información clasificada se rige por normativa específica del CCN, distinta de este apéndice.

Métodos de ataque contra contraseñas

Comprender los vectores de ataque es fundamental tanto para crear contraseñas seguras como para el análisis forense de incidentes. Un perito informático debe conocer cada técnica para determinar cómo fue comprometida una credencial.

Ataque de fuerza bruta

El ataque de fuerza bruta prueba todas las combinaciones posibles de caracteres hasta encontrar la correcta. Es el método más básico pero también el que garantiza el éxito dado tiempo suficiente.

El tiempo de descifrado depende por completo del algoritmo de hash y del hardware, no solo de la longitud. Frente a un hash rápido y sin sal (MD5, SHA-1, NTLM), una contraseña corta cae en segundos o minutos con una sola GPU de gama alta; frente a una función de derivación lenta y con sal (bcrypt, scrypt, Argon2), la misma contraseña resiste años. Por eso una cifra concreta solo es interpretable si se acompaña del algoritmo, sus parámetros y el hardware de referencia. Más abajo, la tabla «velocidad de cracking por algoritmo» ofrece esa comparación sobre el benchmark público de Hashcat en una RTX 4090.

Ataque de diccionario

Utiliza listas de palabras comunes, contraseñas filtradas en brechas anteriores, y variaciones predecibles (sustituciones como a→@, e→3, o→0). Es significativamente más rápido que la fuerza bruta porque reduce el espacio de búsqueda.

Diccionarios más utilizados en auditoría y ataque:

Rainbow tables

Las rainbow tables son tablas precalculadas que mapean hashes a sus textos en claro correspondientes. Permiten revertir un hash sin necesidad de computarlo en tiempo real, reduciendo drásticamente el tiempo de ataque.

Funcionamiento:

Texto plano → Función hash → Hash resultante
"password"  → MD5          → "5f4dcc3b5aa765d61d8327deb882cf99"
"123456"    → MD5          → "e10adc3949ba59abbe56e057f20f883e"

Una rainbow table simplemente busca el hash en su tabla y devuelve el texto correspondiente. La contramedida principal es el salting: añadir una cadena aleatoria única a cada contraseña antes del hash.

"password" + "x7Kp2m" → MD5("passwordx7Kp2m") → Hash único no precalculado

Credential stuffing

El credential stuffing utiliza pares de usuario/contraseña obtenidos en filtraciones de datos para intentar acceder a otros servicios. Funciona porque la reutilización es masiva: en la encuesta de Google y Harris Poll (3.000 adultos en Estados Unidos, diciembre de 2018) un 52 % repite contraseña en varias cuentas y un 13 % la repite en todas.

Ciclo del credential stuffing:

Ataques de ingeniería social

Ataques específicos contra hashes

Gestores de contraseñas

Un gestor de contraseñas es una aplicación que genera, almacena y autocompleta credenciales únicas y complejas para cada servicio. El usuario solo necesita recordar una contraseña maestra.

Comparativa de gestores principales

Arquitectura de seguridad de un gestor

Contraseña maestra (usuario)
        ↓
Función derivación (Argon2id / PBKDF2 / scrypt)
        ↓
Clave de cifrado derivada (256 bits)
        ↓
Cifrado AES-256-GCM de la bóveda
        ↓
Bóveda cifrada (almacenada en nube o local)

Características de seguridad esenciales:

Autenticación multifactor (MFA)

La autenticación multifactor añade capas de verificación adicionales a la contraseña, combinando dos o más factores de categorías distintas.

Los tres factores de autenticación

Métodos MFA ordenados por seguridad

Passkeys: el futuro sin contraseñas

Las passkeys, basadas en el estándar FIDO2/WebAuthn, representan la evolución hacia un futuro sin contraseñas. Utilizan criptografía asimétrica vinculada al dispositivo del usuario:

Registro:
1. Servidor envía reto (challenge) aleatorio
2. Dispositivo genera par de claves (pública + privada)
3. Clave privada se almacena en Secure Enclave / TPM
4. Clave pública se envía al servidor

Autenticación:
1. Servidor envía nuevo reto
2. Usuario desbloquea con biometría / PIN del dispositivo
3. Dispositivo firma el reto con clave privada
4. Servidor verifica la firma con clave pública

Ventajas forenses de las passkeys: no pueden ser interceptadas (no hay secreto compartido) ni phisheadas (están vinculadas al dominio), y su uso queda registrado en los logs del dispositivo. Ahora bien, el desbloqueo local puede hacerse con biometría, PIN o contraseña: el indicador de «verificación de usuario» de WebAuthn acredita que hubo desbloqueo, no qué modalidad se empleó ni qué persona física actuó.

Análisis forense de contraseñas

El análisis forense de contraseñas es una de las disciplinas más técnicas del peritaje informático. Implica la extracción, el análisis y, cuando es legalmente autorizado, el descifrado de credenciales almacenadas en sistemas informáticos.

Almacenamiento de contraseñas por sistema operativo

Windows: fichero SAM y secretos LSA

Windows almacena los hashes de contraseñas locales en el fichero SAM (Security Account Manager), ubicado en C:\Windows\System32\config\SAM. Este fichero está protegido por el sistema operativo y cifrado con la clave SYSKEY.

Ubicación:     C:\Windows\System32\config\SAM
Backup:        C:\Windows\repair\SAM
Registro:      HKLM\SAM
Cifrado:       SYSKEY (RC4/AES) + hash NTLM (MD4)

Proceso forense de extracción en Windows:

Formato de hash NTLM en Windows:

Usuario:RID:LM-hash:NTLM-hash:::
Administrador:500:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::

Linux/Unix: fichero /etc/shadow

En sistemas Linux, las contraseñas se almacenan como hashes en /etc/shadow, accesible solo por root:

usuario:$6$sal$hash:18923:0:99999:7:::

$6$  → Algoritmo SHA-512 (estándar moderno)
$5$  → SHA-256
$2b$ → bcrypt
$y$  → yescrypt (Debian 11+, Fedora 35+)
sal  → Cadena aleatoria de 8-16 caracteres
hash → Hash resultante codificado en Base64

macOS: Keychain y ficheros plist

macOS almacena credenciales en múltiples ubicaciones:

Almacenamiento en navegadores

Los navegadores web almacenan contraseñas guardadas en bases de datos locales:

Herramientas forenses para análisis de contraseñas

Proceso forense completo de análisis de credenciales

Almacenamiento seguro de contraseñas: perspectiva del desarrollador

Cuando un perito analiza una brecha de datos, evalúa si la organización implementó correctamente el almacenamiento de credenciales. Las mejores prácticas actuales son:

Algoritmos de hash recomendados

Proceso correcto de almacenamiento

1. Usuario crea contraseña → Verificar contra lista de contraseñas comprometidas
2. Generar salt aleatorio → 16+ bytes de /dev/urandom o CSPRNG
3. Concatenar contraseña + salt
4. Aplicar función de derivación (Argon2id, bcrypt)
5. Almacenar: {usuario, algoritmo, parámetros, salt, hash}
6. NUNCA almacenar la contraseña original

Análisis pericial de brechas de credenciales

Cuando un perito investiga una brecha de datos que involucra credenciales, evalúa:

Marco legal en España

Artículo 197 del Código Penal: acceso no autorizado

El acceso no autorizado a datos reservados de carácter personal constituye un delito contra la intimidad tipificado en el artículo 197 del Código Penal español:

Agravantes:

• Responsable del fichero, o uso no autorizado de datos personales de la víctima (art. 197.4): 3-5 años de prisión
• Datos que revelen ideología, religión, salud, origen racial o vida sexual, o víctima menor de edad o con discapacidad (art. 197.5): la pena en su mitad superior
• Con ánimo de lucro (art. 197.6): la pena en su mitad superior; si además afecta a datos especialmente protegidos, 4-7 años
• Organización o grupo criminal (art. 197 quater): la pena superior en grado

RGPD y LOPDGDD: obligaciones de protección

Jurisprudencia relevante

Casos reales de brechas de contraseñas

Caso 1: LinkedIn (2012, revelado en 2016)

• Afectados: 164 millones de cuentas
• Causa: Hashes SHA-1 sin salt
• Impacto: la gran mayoría de las contraseñas se recuperó con rapidez en los días posteriores, al almacenarse sin sal
• Lección forense: SHA-1 sin salt es tan inseguro como texto plano con hardware moderno. Un análisis pericial demostraría negligencia clara

Caso 2: Adobe (2013)

• Afectados: 153 millones de cuentas
• Causa: Cifrado 3DES-ECB (no hashing) con misma clave para todos los usuarios
• Impacto: Patrones visibles en los datos cifrados permitieron descifrar masivamente
• Lección forense: Cifrado reversible para contraseñas es un diseño incorrecto; se debe usar hashing unidireccional

Caso 3: Collection #1-5 (2019)

• Afectados: agregación de credenciales procedentes de cientos de brechas anteriores
• Causa: recopilación y reempaquetado de filtraciones previas en grandes «combo lists»
• Impacto: una de las mayores recopilaciones de credenciales filtradas conocidas, base para ataques masivos de credential stuffing
• Lección forense: La reutilización de contraseñas convierte cualquier brecha individual en un riesgo sistémico

Sanciones reales por almacenamiento inseguro de credenciales

Lo que sí se puede consultar, y es mejor que un ejemplo: la AEPD publica íntegras sus resoluciones sancionadoras en su buscador de resoluciones, con el expediente, los hechos probados y el precepto aplicado. Buscando ahí «contraseñas» o «medidas de seguridad» aparecen los procedimientos reales por infracción del art. 32 del RGPD —seguridad del tratamiento—, que es el artículo que se invoca cuando una organización almacena credenciales con un algoritmo roto.

Y lo que el perito aporta ahí no es la anécdota, sino la demostración técnica: acreditar con qué algoritmo estaban guardadas las credenciales, reproducir en laboratorio cuánto se tarda en recuperarlas con hardware al alcance de cualquiera y contrastar ese resultado con el estado del arte que la propia norma exige valorar. Esa es la prueba que decide si las medidas eran «apropiadas» o no lo eran.

Guía práctica: crear y gestionar contraseñas seguras

Método de frase de paso (passphrase)

La técnica más recomendada actualmente para crear contraseñas memorizables y seguras es la frase de paso con el método Diceware:

Configuración recomendada de seguridad

Errores comunes que comprometen la seguridad

Contraseñas y el perito informático forense

Escenarios de actuación pericial

El perito informático forense trabaja con contraseñas en múltiples escenarios:

Contenido del informe pericial sobre contraseñas

Un informe pericial que aborde aspectos de contraseñas debe incluir:

Tendencias y futuro

Evolución del panorama de contraseñas

Implicaciones forenses de las passkeys

La transición a passkeys plantea nuevos retos para el peritaje informático:

• Sin contraseña que analizar: No hay hash que crackear ni texto en claro que buscar
• Vinculación al dispositivo (con matices): en las passkeys ligadas a un dispositivo, la clave privada no sale de su almacén seguro (Secure Enclave/TPM); pero también existen passkeys sincronizadas entre los dispositivos del usuario a través de su cuenta, que no quedan atadas a un único hardware
• Logs potencialmente más ricos: según el sistema, los registros de autenticación pueden contener metadatos adicionales (dispositivo, marca temporal, indicador de verificación de usuario); su disponibilidad concreta hay que comprobarla en cada servicio
• Nuevas evidencias: Registros de Secure Enclave, logs de WebAuthn, metadatos de clave pública
• Retos legales: Obligar a un sospechoso a desbloquear con biometría vs. derecho a no declarar contra sí mismo

Computación cuántica: la amenaza futura

Los ordenadores cuánticos de escala suficiente podrían romper los algoritmos de hash actuales mediante el algoritmo de Grover, que reduce la seguridad efectiva de un hash de N bits a N/2 bits. Esto significa:

Contraseñas en entornos corporativos

Active Directory y políticas de grupo (GPO)

En entornos empresariales Windows, las contraseñas se gestionan centralmente a través de Active Directory y políticas de grupo (Group Policy Objects). El perito informático forense debe conocer estas configuraciones al investigar accesos no autorizados en entornos corporativos.

Políticas de contraseña en Active Directory:

Herramientas de auditoría de contraseñas en AD:

Contraseñas en entornos cloud

La migración a servicios cloud introduce nuevos paradigmas de gestión de contraseñas:

Aspecto forense del cloud: En entornos cloud, el análisis forense de contraseñas se centra más en los logs de autenticación que en los hashes almacenados. Los registros de Azure AD Sign-in Logs, Google Workspace Admin Audit, o AWS CloudTrail proporcionan información detallada sobre cada intento de autenticación: IP, dispositivo, resultado, método MFA utilizado, y ubicación geográfica.

Contraseñas en aplicaciones móviles

Contraseñas y herencias digitales

Un escenario cada vez más frecuente en el peritaje informático es la necesidad de acceder a las cuentas digitales de una persona fallecida. Las contraseñas del difunto protegen sus activos digitales: cuentas bancarias online, redes sociales, servicios de almacenamiento en la nube, y criptomonedas.

Marco legal de acceso a cuentas de fallecidos

Proceso forense de recuperación de acceso

Contraseñas en la industria y los sistemas SCADA/ICS

Los sistemas de control industrial (ICS/SCADA) presentan un desafío especial en materia de contraseñas, con frecuentes incidentes causados por credenciales por defecto o débiles:

Caso Oldsmar (2021): la alerta conjunta AA21-042A de CISA y FBI (febrero de 2021) describió una manipulación del sistema de tratamiento de aguas de Oldsmar (Florida) —un intento de elevar la dosificación de hidróxido de sodio— que el operador detectó y revirtió, y señaló como probable el aprovechamiento de debilidades de seguridad, entre ellas el acceso remoto por TeamViewer sin MFA con credenciales compartidas. El incidente ilustra los riesgos de la mala gestión de credenciales en infraestructuras críticas.

Directiva NIS2 y contraseñas: La Directiva NIS2 (UE 2022/2555), de obligado cumplimiento para entidades esenciales e importantes en la UE, exige la implementación de políticas de seguridad que incluyen la gestión adecuada de credenciales como parte de las medidas de ciberhigiene básica (art. 21.2.g). El art. 34.4 de la NIS2 obliga a los Estados a fijar para las entidades esenciales multas máximas de al menos 10 millones de euros o el 2 % del volumen de negocios mundial —la mayor de las dos—; el importe concreto aplicable en España depende de la ley de transposición.

Contraseñas en bases de datos y aplicaciones web

Las aplicaciones web almacenan credenciales de usuarios en bases de datos. El perito que investiga una brecha web debe examinar:

Preguntas frecuentes

¿Qué hago si mi contraseña aparece en una filtración?

Cambiarla inmediatamente en el servicio afectado y en cualquier otro servicio donde la hayas reutilizado. Activar MFA. Verificar actividad sospechosa en la cuenta. Puedes comprobar si tus credenciales han sido filtradas en Have I Been Pwned o mediante las alertas integradas en gestores como Bitwarden o 1Password.

¿Las contraseñas biométricas son más seguras?

La biometría no es una contraseña sino un factor de autenticación complementario. Es más cómoda pero tiene limitaciones: no se puede cambiar si se compromete (tu huella es permanente), puede ser coaccionada físicamente, y tiene tasas de falso positivo/negativo. Lo ideal es biometría como segundo factor, no como sustituto de una contraseña fuerte.

¿Debo usar un generador de contraseñas?

Sí, para todas las cuentas excepto la contraseña maestra del gestor (que debes memorizar). Los generadores producen cadenas verdaderamente aleatorias con máxima entropía para la longitud dada. Configúralo para generar al menos 16 caracteres alfanuméricos con símbolos.

¿Qué hago si olvido la contraseña maestra de mi gestor?

La mayoría de gestores de contraseñas con arquitectura de conocimiento cero (Bitwarden, 1Password, KeePass) no pueden recuperar la contraseña maestra porque no la almacenan. Bitwarden ofrece un «Máster Password Hint» que te envía una pista por email. 1Password tiene la «Emergency Kit» con una clave de recuperación. KeePass permite crear un fichero de clave adicional. La mejor prevención es almacenar la contraseña maestra de forma segura (caja fuerte física, persona de confianza) desde el momento de la creación.

¿Las contraseñas de WiFi necesitan ser seguras?

Sí, especialmente con WPA2 Personal donde la contraseña (PSK) se utiliza directamente para derivar las claves de cifrado. Una PSK débil puede permitir a un atacante cercano descifrar todo el tráfico WiFi. Recomendaciones: mínimo 20 caracteres aleatorios, WPA3 si los dispositivos lo soportan, y segmentación de red para invitados. En auditorías forenses corporativas, el perito evalúa la fortaleza de la PSK como parte de la evaluación de seguridad perimetral.

¿Cómo protejo las contraseñas de API y tokens de desarrollador?

Las contraseñas de API, tokens de acceso y secretos de aplicaciones nunca deben almacenarse en código fuente ni en repositorios Git. Utilizar gestores de secretos como HashiCorp Vault, AWS Secrets Manager, Azure Key Vault, o ficheros .env excluidos del control de versiones. El análisis forense de brechas frecuentemente revela credenciales expuestas en repositorios públicos de GitHub, lo cual constituye una vulnerabilidad grave documentable en un informe pericial.

Comparativa de algoritmos de hash: guía para el perito

Al analizar un sistema comprometido, el perito debe identificar el algoritmo de hash criptográfico utilizado y evaluar su fortaleza. Esta tabla de referencia facilita esa evaluación:

Identificación visual de algoritmos de hash

Velocidad de cracking por algoritmo

Lo decisivo no es la cifra exacta, sino la diferencia de varios órdenes de magnitud entre los hashes rápidos —pensados para verificar integridad— y las funciones de derivación lentas —diseñadas para almacenar contraseñas—. Como referencia concreta y verificable, el benchmark público de Hashcat en una RTX 4090 mide MD5 a unos 164 000 millones de hashes por segundo (164 GH/s): a esa velocidad, un hash rápido no ofrece defensa alguna a una contraseña corta.

Glosario técnico de contraseñas

Referencias y fuentes

1. NIST SP 800-63B-4 — Digital Identity Guidelines: Authentication and Authenticator Management. National Institute of Standards and Technology, revisión 4, julio de 2025 (edición vigente). Disponible en: https://csrc.nist.gov/pubs/sp/800/63/b/4/final

2. INCIBE — Guía de gestión de contraseñas. Instituto Nacional de Ciberseguridad de España, 2024. Disponible en: https://www.incibe.es/ciudadania/tematicas

3. CCN-STIC 821 — Guía de seguridad de contraseñas. Centro Criptológico Nacional, Ministerio de Defensa.

4. OWASP Password Storage Cheat Sheet — Open Web Application Security Project, 2025. Disponible en: https://cheatsheetseries.owasp.org/cheatsheets/Password_Storage_Cheat_Sheet.html

5. Código Penal español — Ley Orgánica 10/1995, artículos 197 y ss. Disponible en: https://www.boe.es/buscar/act.php?id=BOE-A-1995-25444

6. RGPD — Reglamento (UE) 2016/679, artículos 5, 32, 33, 34, 83. Disponible en: https://www.boe.es/doue/2016/119/L00001-00088.pdf

7. Verizon DBIR — Data Breach Investigations Report. Edición 2026 (resumen ejecutivo, PDF), que es la que da las cifras vigentes, y edición 2025 (informe completo, PDF). El informe completo de 2026 se distribuye tras un formulario; el resumen ejecutivo no.

8. NordPass — Top 200 Most Common Passwords, 2025. Disponible en: https://nordpass.com/most-common-passwords-list/

9. Have I Been Pwned — Servicio de verificación de credenciales comprometidas. Troy Hunt. Disponible en: https://haveibeenpwned.com/

10. ENISA — Good Practices for Security of Internet of Things in the context of Smart Manufacturing. European Union Agency for Cybersecurity, 2018. Disponible en: https://www.enisa.europa.eu/publications/good-practices-for-security-of-iot

11. Hashcat — Advanced Password Recovery. Disponible en: https://hashcat.net/hashcat/

12. FIDO Alliance — Passkeys: A simpler, safer way to sign in. Disponible en: https://fidoalliance.org/passkeys/

13. Florêncio, Dinei; Herley, Cormac; van Oorschot, Paul C. — An Administrator’s Guide to Internet Password Research. USENIX LISA, 2014. Estudio fundamental sobre las prácticas de gestión de contraseñas en entornos corporativos.

14. Bonneau, Joseph — The Science of Guessing: Analyzing an Anonymized Corpus of 70 Million Passwords. IEEE Symposium on Security and Privacy, 2012. Análisis estadístico de la distribución de contraseñas reales.

15. Temoshok, David et al. — Digital Identity Guidelines: Authentication and Authenticator Management. NIST SP 800-63B-4, revisión 4 (final), julio de 2025. Edición vigente de las directrices de autenticación del NIST.

Conclusión

La gestión de contraseñas es un aspecto fundamental de la ciberseguridad que impacta tanto a usuarios individuales como a organizaciones. Desde la perspectiva del peritaje informático forense, las contraseñas constituyen una pieza de evidencia crucial: su fortaleza, su método de almacenamiento, y la forma en que fueron comprometidas son elementos que pueden determinar la responsabilidad en incidentes de seguridad, brechas de datos, y accesos no autorizados.

Las directrices NIST 800-63B, adoptadas globalmente, han transformado las mejores prácticas: frases de paso largas y memorables en lugar de contraseñas cortas y complejas, gestores de contraseñas como herramienta esencial, y autenticación multifactor como capa de protección indispensable.

Para el perito informático, dominar las técnicas de extracción, análisis y descifrado de contraseñas —siempre dentro de la legitimación y la autorización que corresponda, y con resolución judicial cuando la actuación afecta a derechos fundamentales— es una competencia profesional esencial que permite aportar evidencia técnica rigurosa en procedimientos civiles y penales relacionados con la seguridad de las credenciales digitales.

Última actualización: 8 de septiembre de 2026 Categoría: Seguridad Código: SEG-050