La escena se repite: se filtró la contraseña del correo, y alguien entró. No fue un ataque sofisticado — fue la misma contraseña usada en un sitio personal, o escrita sin sospechar en una página que parecía legítima. Con eso bastó. Sin ninguna otra barrera después de la contraseña, quien la robó entró desde cualquier parte del mundo, y nadie lo notó a tiempo.
Según el informe de 2026 sobre violaciones de datos en el mundo, de Verizon, el robo de credenciales fue durante años el camino más común para que un atacante entrara a un sistema. Este año cayó al 13% de los casos analizados, superado por la explotación de fallas en programas de computadora, que ya representa el 31%. La caída no significa que la contraseña se volvió más segura — significa que hoy existen otras puertas más fáciles de forzar, y que la contraseña sigue entre las más usadas.
Para quien aprueba el presupuesto de TI, eso cambia la pregunta. No es "¿nuestra contraseña es suficientemente fuerte?" — una contraseña fuerte también se filtra: se escribió en el lugar equivocado, quedó guardada en el navegador de una computadora personal, o se reutilizó en un servicio que sufrió una filtración. La pregunta correcta es qué tiene la empresa después de que la contraseña, incluso la más fuerte, cae en manos equivocadas.
Por qué la contraseña sola no basta
Una contraseña es solo algo que la persona sabe. Si lo sabe, también puede contarlo sin querer — en una pantalla compartida, en un archivo adjunto abierto sin cuidado, en una llamada de alguien que se hace pasar por soporte técnico. Y si hay un programa malicioso instalado en la computadora de casa del empleado, copia la contraseña en el instante en que se escribe, sin que nadie lo note.
Existe hoy un tipo de programa hecho justo para esto: recolectar contraseñas y códigos de acceso guardados en navegadores y aplicaciones, a escala, y alimentar con ese material un mercado de datos robados. Según el Microsoft Digital Defense Report 2025, publicado en octubre de 2025 por Microsoft, el correo falso u otra forma de engaño directo a un empleado estuvo detrás del 28% de las violaciones registradas en ese estudio — y los programas hechos para recolectar credenciales siguen alimentando ese mercado.
El problema crece cuando la misma contraseña se usa en más de un lugar. Es común: memorizar decenas de contraseñas distintas es poco práctico, así que el empleado arma la contraseña del sistema de trabajo a partir de la misma raíz que la personal. Cuando uno de esos otros servicios se filtra — y las filtraciones de servicios pequeños ocurren cada semana, sin hacer titulares — quien tiene la lista de contraseñas filtradas prueba la misma combinación en el correo corporativo, en el acceso remoto, en el portal del banco. No necesita acertar con todos; necesita acertar con una sola persona.
A diferencia de una intrusión que tumba un sistema, esta entrada no hace ruido. Quien llega con la contraseña correcta no necesita forzar nada — solo inicia sesión, de la manera normal, desde cualquier parte del mundo. Sin una señal específica que avise que ese acceso es extraño, la empresa solo lo descubre cuando el daño ya apareció: un pago fuera de lo normal, un cliente quejándose de un correo raro, un sistema con datos perdidos.
La forma habitual no cierra la puerta
La manera más común de manejar esto, en la empresa que todavía no se ha detenido a pensar en el tema, es exigir una contraseña "fuerte" — mayúscula, número, símbolo — y cambiarla cada 90 días. Parece disciplina. En la práctica es casi lo contrario: cuando el cambio es solo por calendario, sin un motivo real, las personas la cambian de la forma más fácil de recordar — mueven un número al final, la anotan en un papel pegado al escritorio, repiten la misma contraseña en ciclo.
El instituto de estándares de Estados Unidos que define las reglas internacionales de identidad digital, el NIST, cambió esa recomendación. En su documento más reciente sobre autenticación, publicado en julio de 2025, el NIST dice que la contraseña ya no debe cambiarse por calendario — solo cuando hay una señal concreta de que se filtró. El mismo documento recomienda al menos 15 caracteres para una contraseña usada sola, sin depender de mezclar por obligación símbolos y números: más larga importa más que más complicada.
Esto no significa "nunca cambiarla". Significa que cambiarla por cambiarla no es protección — es trabajo que da sensación de seguridad sin entregar seguridad. Lo que protege de verdad es notar rápido cuando algo se filtró y reaccionar en ese momento, no seguir un calendario que no sabe si la contraseña está comprometida.
Otra costumbre habitual, y más riesgosa, es pensar que solo el correo de la dirección merece cuidado extra, y dejar el resto — acceso remoto, sistema financiero, cuenta de administrador de la red — protegido solo con contraseña. Es lo contrario de lo que debería pasar: cuanto más pueda tocar un acceso dinero, configuración de la red o datos sensibles, más pronto necesita una capa adicional de protección.
Lo que tiene que existir en la práctica
Un entorno de TI bien cuidado no resuelve esto con un aviso interno que pide cuidado con la contraseña. Lo resuelve con mecanismos que siguen funcionando incluso cuando alguien se equivoca.
Un segundo paso de confirmación además de la contraseña en todo acceso que mueva dinero, datos o configuración. Aunque la contraseña correcta caiga en manos equivocadas, ese segundo paso — un código, una notificación en el celular — no llega a quien la robó. La cuenta sigue cerrada.
Prioridad para quien decide, quien maneja el dinero y quien administra el sistema. Si solo hay tiempo de empezar por un grupo, que sea la dirección, el área financiera y quien tiene acceso de administrador — son las cuentas que, invadidas, cuestan más caro.
Un plan para cuando el equipo cambia de dueño. Un celular perdido, cambiado o robado es rutina, no la excepción. La empresa necesita una forma de desactivar ese segundo paso de confirmación el mismo día y activarlo de nuevo en un equipo nuevo, sin dejar la cuenta desprotegida ni fuera de uso por días.
Contraseña cambiada por señal de filtración, no por calendario. Cambiarla cada tres meses sin motivo cansa al equipo y no evita nada; cambiarla apenas hay una sospecha concreta es lo que realmente cierra la puerta.
Un único responsable revisando los accesos de toda la empresa, en vez de que cada sistema tenga su propio inicio de sesión y nadie revise quién todavía tiene acceso a lo que ya no usa.
Así es como trabaja Skills IT: dando prioridad al segundo paso de confirmación en los accesos que deciden dinero y configuración, y revisando quién todavía tiene acceso a cada sistema antes de que se convierta en un problema olvidado.
La ganancia para la empresa
La ganancia no es abstracta. Una cuenta protegida por un segundo paso de confirmación sigue cerrada incluso cuando la contraseña se filtra — y eso corta, desde el origen, el tipo de intrusión que todavía representa una parte relevante de las violaciones registradas en el mundo, según el mismo estudio de Verizon citado antes.
Hay una ganancia de tiempo que no aparece en ningún informe: el equipo de TI deja de gastar horas reaccionando con pánico — cambiar la contraseña de todos a las apuradas porque una se filtró, revisar sistema por sistema buscando un acceso indebido — porque el segundo paso de confirmación ya cierra la mayoría de esos casos antes de que se conviertan en un incidente.
También hay un lado financiero directo. El mismo estudio de Verizon midió, en un grupo de proveedores externos que atienden a clientes en la nube, cuánto tiempo tardaban esas empresas en corregir la ausencia de ese segundo paso de confirmación una vez identificada la falla: siete días después, el 58% todavía no la había corregido; noventa días después, el 42%; y pasados ocho meses, casi un tercio de la muestra seguía expuesto. Cada mes de demora es un mes más con la puerta abierta, y el costo de corregirlo después de un incidente siempre es mayor que el costo de configurarlo antes.
Y hay una ganancia en la toma de decisiones: cuando aparece un acceso extraño, alguien sabe de inmediato que hay que actuar — en vez de descubrirlo semanas después, por accidente, cuando el daño ya apareció en otro lugar.
Una hoja de ruta para empezar
Antes de aprobar otra capacitación sobre contraseñas fuertes, vale la pena poner esto en práctica:
- Hagan una lista de los cinco accesos que, si son invadidos, causarían más daño. El correo de la dirección, el sistema financiero, el acceso remoto, la cuenta de administrador de la red y el banco suelen estar en esa lista.
- Activen el segundo paso de confirmación en esos cinco primero. No esperen a tener tiempo de hacerlo con todos a la vez; empiecen por lo que más duele si se filtra.
- Definan quién desactiva el acceso cuando se cambia o se pierde un celular, y en cuánto tiempo — sin ese plan, el día del cambio de equipo puede convertirse en una semana con la cuenta sin segundo paso.
- Dejen de cambiar la contraseña por calendario sin motivo. Cámbienla cuando haya una señal real de filtración; el esfuerzo ahorrado va para lo que realmente protege.
- Pregunten quién, hoy, todavía tiene acceso a sistemas que ya no usa. Un ex empleado, un proveedor antiguo, un proyecto cerrado — cada acceso olvidado es una puerta que nadie está mirando.
