El 90% de las contraseñas no son seguras

Todos pensamos que la contraseña de nuestro correo electrónico es súper segura. Que nadie va a ser capaz de adivinar que el nombre de nuestra primera pareja combinado con nuestra marca favorita de ketchup y con nuestro número de la suerte es la clave de acceso a toda nuestra información personal. Pero es un error: los hackers son más listos que el hambre y casi todo lo pueden.

Al menos así lo asegura un informe de la prestigiosa consultora Deloitte en el que se afirma que el 90% de las contraseñas son vulnerables a los amigos de lo ajeno. El dossier, realizado por el departamento de nuevas tecnologías de Canadá de esta multinacional cuestiona incluso los passwords que hasta ahora se consideraban los más seguros: los que tienen una longitud de al menos 8 caracteres y que combinan letras, números y símbolos.

Ejemplos de ataques
Siguiendo esta fórmula mágica que ahora cuestiona Deloitte, se pueden hacer hasta 6.1 cuatrillones de claves. Pero parece que no es suficiente. Los ataques a grandes empresas que utilizan métodos de seguridad aparentemente buenos son un ejemplo de que hay que evolucionar en este aspecto: Linkedin -6.5 millones de contraseñas robadas- , Zappos -una web de venta de zapatos a la que robaron los datos de 24 millones de clientes- o los sucesivos y sangrantes ataques a la red de PlayStation -exposición de los datos de 77 millones de jugadores- son casos que así lo atestiguan.

El motivo por el que fallan
¿Por qué las contraseñas de 8 caracteres fallan? Pues porque casi todos utilizamos los mismo trucos: poner en mayúscula la primera letra, utilizar símbolos como la exclamación o la arroba, y utilizar números familiares como el año en el que nacimos o series sencillas de recordar (1234).

[Relacionado: La historia del Captcha]

Según se explica en el informe de Deloitte, todos utilizamos esos pequeños trucos porque nos resulta casi imposible memorizar una secuencia de letras, números y símbolos inconexos. Quizás una combinación de 5 caracteres sí, pero de 8 nos resulta muy difícil de recordar.

Los hackers colaboran
"Un ordenador dedicado en exclusiva a descifrar contraseñas empleando software de virtualización de fácil acceso y gran potencia de procesamiento puede descifrar cualquier contraseña de ocho caracteres en 5,5 horas". Tan demoledora frase forma parte del informe de Deloitte. Esas máquinas cuestan alrededor de 30.000 dólares (22.000 euros) pero no hay que olvidar el "crowd-hacking", un fenómeno que permite a los hackers compartir la tarea a través de miles de máquinas menos potentes, pero que unidas son ultra efectivas.

Pero el problema no es solo que no tengamos una contraseña muy fuerte. Si usamos esa débil clave para varios sitios web, como por ejemplo para un foro en el que compartimos nuestra pasión por los cactus y para otro sitio más serio, como el banco, corremos el riesgo de que los hackers consigan el password en el lugar que sea más fácil de hackear. ¿Se imagina cuál de los dos es del ejemplo anterior? Los delincuentes saben que somos perezosos y que solemos usar las mismas palabras en diferentes sitios, así que más nos vale cambiar de estrategia.

La súpercontraseña
Entonces... ¿qué podemos hacer? Este problema tiene difícil solución. Podemos crear súper contraseñas de 13 caracteres que intercalen números, letras (mayúsculas y minúsculas) y símbolos (pero nada de arrobas ni de signos de exclamación). Y por supuesto que tengamos una para cada sitio en el que tengamos una cuenta: una para el correo, otra para Facebook, otra para Amazon...

¿Imposible? No tanto: podemos ‘esconder’ esas decenas de contraseñas en un solo sitio con un programa llamado Password Safe. Allí quedarán a buen recaudo bajo un password maestro que -ese sí- tendremos que memorizar como el nombre de nuestros padres.

Aunque este método conlleva riesgos evidentes -los hackers solo tienen que buscar en un sitio para encontrar lo que más desean- es una buena opción de seguridad. Pero también existen otras: los bancos están empezado a ofrecer a sus clientes tokens que crean contraseñas de números aleatorios que hacen que cada acceso sea diferente. O se comunican con sus clientes mediante SMS para facilitarles una clave de acceso que solo puede ser usada durante cinco minutos.

Sea como sea, debemos empezar desde ya a cambiar nuestros passwords para evitar males mayores. Los hackers perfeccionan día a día sus técnicas y nosotros seguimos usando las mismas claves de hace 12 años.