El Día Mundial de la Contraseña debería ser una celebración de buenas prácticas de seguridad digital, pero la realidad es que la contraseña más utilizada del mundo sigue siendo «123456». Según el informe anual de NordPass sobre contraseñas expuestas en filtraciones de datos globales, esta secuencia numérica encabeza la lista sin sorpresas, acompañada de otras opciones igualmente predecibles como «123456789», «12345678», «12345» y «admin». Lo más alarmante no es que los usuarios sigan eligiendo estas contraseñas, sino que numerosas plataformas digitales sigan permitiéndolo.
El problema sistémico de las contraseñas débiles: más allá de la culpa del usuario
Es fácil señalar a los usuarios por su descuido, pero el problema es estructural. Cuando un sitio web acepta «123456» como contraseña válida para crear una cuenta, está fallando en su responsabilidad básica de proteger los datos de sus usuarios. La pregunta clave es: ¿cómo es posible que en 2026, después de décadas de advertencias sobre ciberseguridad, plataformas de uso masivo sigan permitiendo una seguridad tan frágil?
La respuesta es compleja. Por un lado, las empresas priorizan la facilidad de registro para no perder usuarios potenciales. Exigir contraseñas complejas o autenticación multifactor (MFA) crea fricción en el proceso de alta, lo que puede traducirse en menores tasas de conversión y, en última instancia, en pérdida de ingresos. Por otro lado, la falta de regulaciones específicas que exijan medidas de autenticación robustas para servicios orientados al consumidor deja un vacío legal que las empresas explotan.
Evite: un caso paradigmático de negligencia digital
Una prueba sencilla revela la magnitud del problema. El sitio de invitaciones electrónicas Evite permite crear una cuenta con la contraseña «123456». Puede parecer un servicio trivial, pero al utilizarlo se comparten datos personales en las invitaciones y se gestionan las respuestas de los asistentes a través de una cuenta vulnerable. Lo más grave es que Evite sufrió una filtración de datos en 2019 que afectó a más de 100 millones de personas. Una empresa que ya ha sido víctima de un ciberataque de esa magnitud debería tener más cuidado que ninguna en permitir contraseñas débiles. Sin embargo, la realidad demuestra que ni siquiera la experiencia de una brecha de seguridad es suficiente para cambiar las políticas de contraseñas.
Facebook y X: la complejidad como fachada
La situación no es mucho mejor en plataformas mucho más populares. Al intentar crear una cuenta en Facebook, el sistema exige cierto nivel de complejidad, pero una cadena tan simple como «1234567!» resulta aceptable. X (antes Twitter) ofrece una experiencia similar. Facebook ofrece consejos como «evitar palabras comunes como ‘password'» y «mezclar mayúsculas y minúsculas», pero permite una contraseña que no contiene ni una sola letra, solo una secuencia numérica con un signo de exclamación al final. Este tipo de patrón es fácilmente adivinable, especialmente por scripts automatizados que prueban cuentas en masa utilizando patrones y cadenas comunes.
La paradoja es evidente: mientras que un servicio de invitaciones electrónicas permite «123456», el Diccionario Collins, que almacena información mucho menos sensible, exige contraseñas de ocho caracteres con al menos tres de los siguientes elementos: minúsculas, mayúsculas, números y caracteres especiales. Esta disparidad revela que no existe una norma coherente en la industria, y que la seguridad de las contraseñas depende más de la voluntad de cada empresa que de un estándar universal.
¿Qué hay detrás de las estadísticas de contraseñas más comunes?
Los datos de NordPass sugieren que hay muchos más sitios con políticas de contraseñas limitadas que permiten contraseñas triviales como «123456». Sin embargo, es importante considerar que parte de estas estadísticas pueden estar infladas por cuentas inactivas. Si una empresa existe desde hace diez años y nunca ha eliminado cuentas de usuarios inactivos, una filtración incluiría información de cuentas antiguas, algunas creadas antes de que se aplicara cualquier política de contraseñas. Además, la motivación detrás de la publicación de estos datos es clara: los proveedores de software de gestión de contraseñas, que a menudo patrocinan estos informes, se benefician directamente de la percepción de que las contraseñas son un problema generalizado.
A pesar de estas consideraciones, el problema de fondo persiste. Incluso si descontamos las cuentas antiguas, sigue siendo inaceptable que plataformas activas en 2026 permitan contraseñas como «123456». La pregunta es: ¿cómo rompemos este ciclo de negatividad y medidas insuficientes?
La necesidad de una regulación que obligue a la seguridad
No soy partidario de que los legisladores tengan que proteger a los ciudadanos como si fueran niños, pero en este caso creo que ha llegado el momento de que los legisladores actúen y pongan fin a la práctica de las empresas que no implementan políticas de autenticación estrictas y permiten a los consumidores tomar la opción más fácil. Existe una legislación de privacidad generalizada que establece que las empresas deben proteger los datos personales que almacenan utilizando medidas de ciberseguridad razonables y adecuadas. Una parte fundamental de esas medidas es el uso de contraseñas seguras y complejas, así como la autenticación multifactor, tal como exige cualquier marco de ciberseguridad que se precie. Sin embargo, en muchos casos no existen requisitos de ciberseguridad sobre la autenticación para los servicios orientados al cliente.
Algunas industrias ya han sido obligadas a actualizar sus métodos de autenticación. En el sector financiero, por ejemplo, existen varias regulaciones, como la Directiva de Servicios de Pago 2 (PSD2), que exige MFA para pagos electrónicos y acceso a cuentas de pago en línea. Esta regulación ha demostrado ser efectiva para reducir el fraude y mejorar la seguridad de las transacciones financieras. Si la industria financiera puede implementar MFA sin obstaculizar la experiencia del usuario, ¿por qué no pueden hacerlo otros sectores?
La resistencia de las empresas: el negocio frente a la seguridad
El principal obstáculo para imponer medidas de autenticación más estrictas es la barrera de entrada para los usuarios que crean cuentas. Las empresas que dependen de la publicidad o de la recopilación y venta de datos personales para generar ingresos presionarán significativamente en contra de esta medida. Las empresas con grandes presupuestos serán muy exigentes para que nada se interponga en el camino de sus beneficios, especialmente algo como asegurar las cuentas de los clientes mediante la exigencia de una contraseña compleja y/o MFA.
Este conflicto de intereses no es nuevo. Durante décadas, la industria de la ciberseguridad ha abogado por mejores prácticas de autenticación, pero las empresas han resistido argumentando que la seguridad excesiva perjudica la experiencia del usuario. Sin embargo, la evidencia muestra que los consumidores están cada vez más preocupados por la seguridad de sus datos y que una experiencia de usuario segura puede ser un diferenciador competitivo en lugar de un obstáculo.
Más allá de las contraseñas: el camino hacia la autenticación sin contraseñas
La solución definitiva no es simplemente hacer que las contraseñas sean más complejas, sino abandonar el modelo de contraseñas tradicional por completo. Las claves de acceso (passkeys) y otros métodos de autenticación sin contraseña están ganando terreno. Estos sistemas utilizan criptografía de clave pública para verificar la identidad del usuario sin necesidad de recordar una cadena de caracteres. Grandes empresas como Apple, Google y Microsoft ya han implementado soporte para passkeys en sus plataformas, y se espera que su adopción se acelere en los próximos años.
La transición hacia la autenticación sin contraseña no solo mejoraría la seguridad, sino que también eliminaría la fatiga de contraseñas que afecta a los usuarios. Sin embargo, esta transición requiere inversión en infraestructura y cambios en los hábitos de los usuarios. La legislación podría acelerar este proceso al establecer plazos para la eliminación gradual de las contraseñas tradicionales en servicios críticos.
El papel de la educación y la concienciación
Aunque la legislación es necesaria, no es suficiente. La educación continua sobre seguridad digital sigue siendo esencial. Los usuarios deben entender por qué las contraseñas débiles son un riesgo y cómo pueden proteger sus cuentas. Sin embargo, la responsabilidad no puede recaer únicamente en los usuarios. Las empresas deben hacer su parte implementando políticas de contraseñas sólidas y ofreciendo opciones de MFA, incluso si no están obligadas por ley.
El Día Mundial de la Contraseña debería ser un recordatorio no solo para los usuarios, sino también para las empresas y los legisladores. La seguridad de las cuentas en línea es una responsabilidad compartida. Mientras las plataformas sigan permitiendo «123456» como contraseña, el problema no se resolverá. La conversación sobre contraseñas débiles debe terminar de una vez por todas, pero solo cuando se tomen medidas concretas para eliminarlas del ecosistema digital.
La pregunta que queda es: ¿cuántos Días Mundiales de la Contraseña más tendremos que celebrar antes de que las plataformas dejen de permitir «123456»? La respuesta depende de si los legisladores, las empresas y los usuarios están dispuestos a actuar juntos para romper este ciclo de inseguridad. La tecnología está disponible. La voluntad política y empresarial es lo que falta.
