Las contraseñas seguras, en una empresa, son las que no se repiten en ningún otro sitio y las que, aunque alguien las consiga, no le bastan para entrar. Lo primero lo resuelve un gestor de contraseñas; lo segundo, la verificación en dos pasos. Los símbolos raros cuentan mucho menos de lo que dicen las listas de consejos. La guía de autenticación del NIST, el instituto de normalización del Gobierno de Estados Unidos, pide en su revisión de 2025 no exigirlos y no obligar a cambiar la contraseña cada cierto tiempo[1].
La razón está en cómo se roban. Casi nunca las adivina alguien una a una: se prueban a lo grande las filtradas de otra web, se piden con una página falsa o se las lleva un programa espía.
Cómo se roba una contraseña de empresa
Según el informe de defensa digital de Microsoft de 2025, más del 97 % de los ataques contra cuentas son ataques a la contraseña, y las claves salen sobre todo de filtraciones[2]. Llegan por tres caminos:
| La vía | Cómo funciona | Qué la para |
|---|---|---|
| Relleno de credenciales | Una web donde te diste de alta sufre una filtración y tu correo y tu clave acaban en una lista. Un programa la prueba en tu correo y en cualquier otro servicio donde la hayas repetido[3] | Una contraseña distinta en cada sitio y el segundo factor |
| Correo falso | Un aviso de «buzón lleno» o «factura pendiente» lleva a una copia de la página de tu correo, y lo que escribes ahí lo reciben ellos | El segundo factor, mejor una llave de acceso, y un gestor, que no rellena la clave en una dirección que no es la suya[4] |
| Programa espía | Entra con una descarga o un adjunto y se lleva las contraseñas guardadas y hasta las sesiones abiertas del navegador[2] | Equipos al día. El segundo factor frena la contraseña robada, no la sesión: si hay sospecha, se cierran todas |
El relleno funciona porque repetimos claves. En los registros de inicio de sesión que analizó Verizon para su informe de brechas de 2025, una mediana del 19 % de los intentos diarios eran relleno de credenciales (el 12 % en pequeñas empresas). En los equipos infectados que estudió, una persona típica solo tenía distintas el 49 % de sus contraseñas[5].
Uno de los casos más sonados no necesitó romper nada. En 2024, un grupo entró en las bases de datos que varias empresas tenían en Snowflake, un servicio en la nube, con contraseñas robadas por programas espía. Las cuentas no tenían segundo factor, y alguna clave seguía sirviendo después de una infección de noviembre de 2020: nadie la había cambiado. Mandiant y Snowflake avisaron a unas 165 organizaciones que podían estar expuestas[6].
No es la única puerta: según el informe de Verizon de 2026, entrar por fallos de software (el 31 % de las brechas) ha superado por primera vez en 19 años a las credenciales robadas[7].
Contraseñas seguras según la guía del NIST: qué cuenta y qué no
La revisión de 2025 de la guía del NIST rompe con lo que todavía piden muchos formularios[1]:
- Longitud
- Un mínimo de 15 caracteres si la contraseña es lo único que protege la cuenta; de 8 si va con segundo factor.
- Símbolos obligatorios
- Fuera. La guía explica que quien elegiría «password» pone «Password1!» si le obligan a mayúscula, número y símbolo, y que los atacantes prueban primero lo que ya les ha funcionado.
- Cambio periódico
- Fuera también. Se cambia cuando hay indicios de filtración, no porque toque.
- Lista de prohibidas
- Sí: el servicio debe rechazar las contraseñas comunes, previsibles o ya filtradas.
La única que tienes que inventar es la que abre el gestor: una frase de cuatro o cinco palabras sin relación entre sí, sin tu nombre ni el de la empresa. Las demás las genera él.
El gestor de contraseñas: una distinta en cada sitio sin aprenderte ninguna
Un gestor de contraseñas guarda tus claves en una base de datos cifrada que se abre con una sola, la contraseña maestra, y en su versión para empresas permite compartirlas entre empleados de forma segura[8]. Las crea cuando te das de alta en un sitio y las rellena al entrar. Cuál te conviene depende de cuántos sois:
- Si trabajas solo
- Vale el del navegador o el del teléfono: el de Google, el de Apple o el de Microsoft Edge. El de Google te dice qué contraseñas se han filtrado, cuáles son débiles y cuáles repites[9].
- Si hay equipo
- Uno que deje compartir la cuenta de la tienda o la del proveedor sin mandarla por WhatsApp ni guardarla en un Excel, y quitar el acceso a quien se va. Como referencia, Bitwarden cobra 4 dólares por usuario al mes en su plan Teams, con pago anual y sin impuestos, y tiene un plan personal gratis[10].
Tiene otra ventaja: el gestor asocia cada contraseña a la dirección donde se guardó y solo la ofrece ahí[4]. Si en la página de «tu banco» no te la propone, mira la dirección antes de escribirla a mano.
Una contraseña larga y única no sirve de nada si la escribes en una página falsa.
La verificación en dos pasos y cuál elegir
La verificación en dos pasos (doble factor o autenticación multifactor) pide algo más que la contraseña al entrar desde un equipo nuevo: un código, un aviso en el móvil o una llave. Según Microsoft, bloquea más del 99 % de los ataques contra cuentas, que en su inmensa mayoría son masivos[2].
No todos los segundos factores protegen igual. Google midió en 2019 qué paraba cada comprobación que pide cuando un inicio de sesión le parece sospechoso. Contra los robots que prueban contraseñas filtradas bastó un código por SMS: paró el 100 %. La diferencia apareció en los ataques dirigidos, los de alguien que va a por ti[3]:
La llave de seguridad del gráfico es un pequeño dispositivo que se conecta al ordenador o al móvil[11]. Una llave de acceso lleva esa idea al propio teléfono u ordenador: entras con la huella, la cara o el PIN, y como no escribes nada, no hay nada que dar en una página falsa[12].
Si el correo de la empresa va con Google Workspace o con Microsoft 365, no dependas de que cada persona lo active. En Workspace, el administrador puede aplicar la verificación en dos pasos de manera forzosa[13]. En Microsoft 365, los valores predeterminados de seguridad obligan a registrarla, no tienen coste adicional y, si la cuenta se creó a partir del 22 de octubre de 2019, puede que ya estén activados[14].
Sin humo: el segundo factor no lo para todo. Un programa espía puede llevarse una sesión ya abierta[2], y el SMS se queda corto ante un ataque dirigido[3]. Llave de acceso en las cuentas que más importan y, en las demás, cualquier segundo factor antes que ninguno.
Qué cuentas proteger primero
Es lo que más nos preguntan cuando montamos el correo de una empresa: por dónde empiezo. Por este orden, porque cada una abre las siguientes:
- El correo y el gestorCualquier «he olvidado mi contraseña» acaba en tu buzón, y el gestor guarda todas las demás: los dos, con clave única y segundo factor. En el correo, comprueba también que no hay reglas de reenvío que no hayas creado tú (lo explicamos en cómo saber si un correo es falso).
- El banco y lo que cobraLa banca online y la pasarela de pago de la tienda: todo lo que mueve dinero.
- El dominio y el hostingQuien entra en la cuenta del dominio puede llevarse la web y el correo de golpe. Lo contamos en la diferencia entre dominio y hosting.
- La webEl administrador de WordPress o de la tienda puede cambiar cualquier cosa, también los datos de pago. Si encargas una web nueva, pide que ese usuario quede a tu nombre y con segundo factor.
- Redes y perfil de GoogleSon la cara pública del negocio, y recuperarlas si te las quitan depende del soporte de cada plataforma.
Si crees que ya te la han robado
- ✓Busca tu dirección en Have I Been Pwned, un buscador gratuito que reúne 1.039 webs filtradas y más de 17.800 millones de registros de correo[15]. Si sale, la contraseña que usabas en esa web está quemada en todos los sitios donde la repitas.
- ✓Cámbiala desde un equipo de confianza, empezando por el correo. Después, cierra las sesiones abiertas en los demás dispositivos y activa el segundo factor si no lo tenías.
- ✓Si en esa cuenta había datos de clientes, puede ser una brecha de datos personales. El RGPD obliga a notificarla a la Agencia Española de Protección de Datos sin dilación indebida y, de ser posible, en 72 horas, salvo que sea improbable que suponga un riesgo para las personas[16].
- ✓Si no sabes cómo seguir, llama al 017 de INCIBE: es gratuito y confidencial, y atiende también a empresas todos los días de 8:00 a 23:00[17].
Dudas rápidas
¿Cuántos caracteres debe tener una contraseña segura?
Al menos 15 si es lo único que protege la cuenta, y 8 si va con segundo factor, según la guía del NIST de 2025[1]. Una frase de varias palabras se recuerda mejor que una ristra de símbolos.
¿Y si pierdo el móvil del segundo factor?
Para eso están los códigos alternativos. Al activar la verificación en dos pasos, Google te deja imprimir o descargar un juego de códigos de 8 dígitos que sirven para el segundo paso si pierdes el teléfono[11]. Guárdalos en papel, en un sitio seguro y lejos del móvil.
¿Es seguro guardar las contraseñas en el navegador?
Es mejor que repetir la misma en todas partes, y el gestor de Google te avisa de las filtradas y las repetidas[9]. El riesgo son los programas espía, que se llevan las guardadas[5] y las sesiones abiertas[2]: si sospechas de un equipo, cambia las claves desde otro y cierra todas las sesiones.
¿Es seguro el SMS como segundo factor?
Es mucho mejor que nada, pero es el más flojo: en el estudio de Google de 2019 paró el 76 % de los ataques dirigidos, frente al 90 % del aviso en el móvil[3]. Donde se pueda, mejor una llave de acceso, que no se escribe y por eso no se puede entregar en una página falsa[12].
Fuentes
[1] Temoshok, D., Fenton, J., Choong, Y., Lefkovitz, N., Regenscheid, A., Galluzzo, R. y Richer, J. (2025, julio). NIST SP 800-63B-4. Digital Identity Guidelines: Authentication and Authenticator Management, National Institute of Standards and Technology, apartado 3.1.1 y apéndice A (en inglés). enlace
[2] Hogan-Burney, A. (2025, 16 de octubre). Extortion and ransomware drive over half of cyberattacks, Microsoft On the Issues, presentación del Microsoft Digital Defense Report 2025 (en inglés). enlace
[3] Thomas, K. y Moscicki, A. (2019, 17 de mayo). New research: How effective is basic account hygiene at preventing hijacking, Google Online Security Blog (en inglés). enlace
[4] Bitwarden. Forming URIs for Autofill, centro de ayuda, apartado de detección de coincidencias, consultado el 1 de octubre de 2026 (en inglés). enlace
[5] Langlois, P. Additional 2025 DBIR research on credential stuffing, Verizon Business, investigación complementaria al Data Breach Investigations Report 2025, consultado el 1 de octubre de 2026 (en inglés). enlace
[6] Mandiant. (2024, 10 de junio). UNC5537 Targets Snowflake Customer Instances for Data Theft and Extortion, Google Cloud Blog (en inglés). enlace
[7] Verizon. (2026, 19 de mayo). Breach entry point, 2026 DBIR finds, nota de prensa del Data Breach Investigations Report 2026 (en inglés). enlace
[8] INCIBE. (2024, 17 de septiembre). Gestores de contraseñas: qué son y cómo pueden mejorar la seguridad de las empresas, blog de Empresas. enlace
[9] Google. Cambiar contraseñas vulneradas en una cuenta de Google, Ayuda de Cuenta de Google, consultada el 1 de octubre de 2026. enlace
[10] Bitwarden. Business Password Manager Pricing, precios en dólares con pago anual y sin impuestos, consultado el 1 de octubre de 2026 (en inglés). enlace
[11] Google. Activar la verificación en dos pasos, Ayuda de Cuenta de Google, consultada el 1 de octubre de 2026. enlace
[12] Google. Iniciar sesión con una llave de acceso en lugar de una contraseña, Ayuda de Cuenta de Google, consultada el 1 de octubre de 2026. enlace
[13] Google. Implementa la verificación en 2 pasos, Ayuda de Google Workspace, paso 5, consultada el 1 de octubre de 2026. enlace
[14] Microsoft. (2025, 21 de julio). Configurar los valores predeterminados de seguridad para Microsoft Entra ID, Microsoft Learn. enlace
[15] Have I Been Pwned. Check if your email address has been exposed in a data breach, cifras de la portada consultadas el 1 de octubre de 2026 (en inglés). enlace
[16] Unión Europea. (2016, 27 de abril). Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales (Reglamento general de protección de datos), artículo 33, DOUE L 119, consultado en la web del BOE. enlace
[17] INCIBE. Tu Ayuda en Ciberseguridad, línea de ayuda 017, consultada el 1 de octubre de 2026. enlace
¿Cuántas cuentas de tu empresa dependen de una sola contraseña?
Repasamos contigo qué cuentas de la empresa no tienen verificación en dos pasos y cómo compartir las claves del equipo sin un Excel. Sin compromiso.