Expertos advierten que cambiar contraseñas con frecuencia podría reducir la seguridad ante ciberataques

Durante años, modificar las contraseñas de manera regular fue considerado un paso básico para proteger la información personal en internet. Sin embargo, nuevas recomendaciones emitidas por el Instituto Nacional de Estándares y Tecnología (NIST, por sus siglas en inglés) de Estados Unidos han puesto en duda esa práctica. Según los especialistas, forzar a los usuarios a renovar sus claves de acceso de forma periódica podría, en realidad, poner en riesgo la seguridad digital.

La guía más reciente del NIST, denominada SP 800-63-4, advierte que los cambios obligatorios de contraseñas, lejos de fortalecer la protección, pueden provocar el efecto contrario: los usuarios tienden a elegir combinaciones más débiles, fáciles de recordar o con patrones predecibles. Esto genera un entorno más vulnerable ante ataques informáticos o intentos de suplantación de identidad.

La nueva orientación del organismo estadounidense recomienda mantener contraseñas únicas, robustas y difíciles de adivinar, sin imponer cambios regulares, salvo en casos donde exista evidencia de que las credenciales han sido comprometidas o filtradas. El enfoque se centra, por tanto, en la calidad de las contraseñas y en la implementación de mecanismos adicionales de autenticación, más que en la frecuencia de los reemplazos.

“Los verificadores y proveedores de servicios no deben exigir cambios periódicos, a menos que haya señales claras de que el autenticador ha sido vulnerado”, señala el borrador de la guía del NIST. Este cambio en la política rompe con décadas de recomendaciones que se aplicaban tanto en el ámbito empresarial como en el uso personal de plataformas digitales.

El organismo, encargado de definir estándares tecnológicos para agencias gubernamentales y empresas privadas, también cuestiona otros métodos tradicionales, como las preguntas de seguridad o el uso de restricciones arbitrarias sobre los caracteres de las contraseñas. Estas prácticas, afirma, terminan generando hábitos predecibles que facilitan la tarea de los atacantes.

Los especialistas en ciberseguridad coinciden en que la protección efectiva no depende de cambiar contraseñas constantemente, sino de crear combinaciones complejas y únicas para cada cuenta. Esto implica utilizar letras mayúsculas y minúsculas, números y símbolos, con una longitud mínima de ocho caracteres, aunque los expertos recomiendan extenderlas siempre que sea posible.

Además, se aconseja evitar palabras comunes, frases conocidas, nombres propios o fechas personales, ya que son fácilmente deducibles mediante ataques automatizados. En el caso de utilizar frases, lo ideal es que sean secuencias de palabras aleatorias y sin relación evidente con el usuario.

Otro punto clave es no repetir contraseñas entre diferentes plataformas. Si una cuenta se ve comprometida, la reutilización de la misma clave en otros servicios puede exponer toda la información del usuario.

Para reforzar la seguridad más allá de las contraseñas, los expertos recomiendan adoptar la autenticación multifactor (MFA). Este sistema combina al menos dos métodos de verificación —como un código enviado al teléfono móvil o el uso de una llave de seguridad física—, lo que dificulta que los atacantes accedan a las cuentas incluso si consiguen la contraseña.

La autenticación multifactor se ha convertido en una herramienta esencial ante el aumento de los ciberataques dirigidos a servicios financieros, redes sociales y sistemas empresariales. Según los especialistas, incorporar esta medida puede reducir significativamente el riesgo de accesos no autorizados.

Dado que recordar múltiples claves seguras puede resultar complejo, los expertos sugieren el uso de administradores de contraseñas. Estas aplicaciones generan, almacenan y cifran contraseñas aleatorias de forma segura, permitiendo que el usuario acceda a ellas desde distintos dispositivos sin tener que memorizarlas.

El uso de estos gestores facilita la creación de contraseñas más extensas y robustas, y evita el riesgo de recurrir a patrones simples o repetitivos. Además, muchas de estas herramientas alertan automáticamente al usuario si alguna de sus credenciales ha aparecido en bases de datos comprometidas.