Vivimos en una sociedad en la que prácticamente toda nuestra actividad profesional y personal depende de herramientas digitales. Consultamos nuestras cuentas bancarias, presentamos impuestos, intercambiamos documentos, gestionamos facturas, recibimos notificaciones administrativas y accedemos a multitud de aplicaciones mediante un nombre de usuario y una contraseña.
Sin embargo, pocas veces nos detenemos a pensar qué podría suceder si una persona desconocida consiguiera acceder a una de esas cuentas.
El problema no es únicamente que alguien pueda leer nuestros correos electrónicos. A través de ellos podría recuperar contraseñas de otros servicios, hacerse pasar por nosotros, acceder a documentos confidenciales o intentar realizar operaciones económicas fraudulentas.
En el ámbito empresarial, estas situaciones pueden tener consecuencias especialmente importantes. Una cuenta comprometida puede poner en riesgo información de clientes, proveedores y trabajadores, además de afectar a la continuidad de la propia actividad.
Por ello, utilizar contraseñas seguras y activar la doble verificación se ha convertido en una de las medidas básicas de protección digital.
1. ¿Por qué nuestras contraseñas pueden resultar vulnerables?
Uno de los errores más habituales consiste en utilizar contraseñas sencillas que podamos recordar fácilmente.
Nombres de familiares, fechas de nacimiento, el nombre de nuestra empresa acompañado de un año o combinaciones como «Empresa2026!» pueden parecer suficientes para proteger una cuenta.
Pero estas contraseñas siguen patrones previsibles que los ciberdelincuentes pueden utilizar en sus intentos de acceso.
Otro problema frecuente es repetir la misma contraseña en diferentes plataformas.
Imaginemos que utilizamos una única clave para consultar el correo electrónico, acceder a una tienda en Internet y entrar en una aplicación profesional.
Si una de esas plataformas sufre una filtración de credenciales, los atacantes podrían probar la contraseña obtenida en los restantes servicios.
Esta técnica, conocida como credential stuffing, consiste precisamente en utilizar credenciales previamente comprometidas para intentar acceder a otras cuentas.
Por tanto, el riesgo no depende exclusivamente de la seguridad de nuestros propios equipos, sino también de cómo administramos nuestras claves y de lo que pueda ocurrir en los servicios digitales que utilizamos.
2. ¿Cómo debe ser una contraseña segura?
La principal recomendación es utilizar contraseñas largas, únicas y difíciles de predecir.
Actualmente, las buenas prácticas en ciberseguridad conceden especial importancia a la longitud de las contraseñas.
Como referencia, las directrices NIST SP 800-63B recomiendan exigir al menos 15 caracteres cuando la contraseña constituye el único factor de autenticación.
Una opción consiste en utilizar frases de acceso largas, construidas con palabras que no formen expresiones habituales ni puedan relacionarse fácilmente con nuestros datos personales.
También podemos utilizar contraseñas aleatorias generadas por un gestor de contraseñas.
Lo verdaderamente importante es que cada cuenta tenga una clave diferente y que esta no sea conocida por terceras personas.
¿Es necesario cambiar periódicamente las contraseñas?
Durante años se recomendó modificar todas las contraseñas cada cierto número de meses.
Sin embargo, las recomendaciones técnicas actuales han evolucionado.
El cambio periódico obligatorio, cuando no existen indicios de compromiso, puede fomentar prácticas poco seguras, como realizar pequeñas modificaciones sobre la misma contraseña.
Por ello, actualmente se da prioridad a utilizar claves robustas y únicas, y a sustituirlas inmediatamente cuando se sospeche que han podido ser descubiertas, filtradas o utilizadas por terceros.
Esto no impide que una organización establezca medidas adicionales cuando su análisis de riesgos lo justifique.
3. ¿Cómo podemos recordar tantas contraseñas diferentes?
Esta es una de las principales dificultades que encontramos.
Entre correos electrónicos, bancos, plataformas de gestión, administraciones públicas, redes sociales y servicios profesionales, podemos acumular decenas de credenciales.
Pretender recordarlas todas puede conducirnos a utilizar contraseñas repetidas o demasiado sencillas.
Para evitarlo existen los gestores de contraseñas, aplicaciones diseñadas para generar, almacenar y recuperar credenciales de forma protegida.
Estas herramientas permiten mantener claves diferentes para cada servicio sin necesidad de memorizarlas individualmente.
En las empresas conviene utilizar soluciones aprobadas por la organización, con medidas adecuadas de cifrado, recuperación, control de accesos y autenticación.
El gestor también debe protegerse mediante una contraseña maestra robusta y, cuando sea posible, autenticación multifactor.
4. ¿Qué es la doble verificación y por qué resulta tan importante?
La doble verificación, también denominada autenticación en dos factores o 2FA, añade una protección adicional al proceso de identificación.
Tradicionalmente, para entrar en una aplicación bastaba con introducir el nombre de usuario y la contraseña.
Con la doble verificación, el sistema solicita una segunda comprobación de nuestra identidad.
Por ejemplo, cuando intentamos acceder al correo corporativo, después de introducir la contraseña puede solicitarse un código generado por una aplicación instalada en nuestro teléfono móvil.
Esto significa que, aunque un ciberdelincuente haya conseguido conocer nuestra contraseña, todavía necesitará superar el segundo mecanismo de autenticación.
La diferencia es considerable.
La contraseña demuestra que conocemos una información secreta. La segunda verificación añade otra prueba de identidad.
¿Qué métodos de doble verificación existen?
Entre los más habituales encontramos los códigos temporales generados por aplicaciones de autenticación, los dispositivos físicos de seguridad y las notificaciones de aprobación en un dispositivo previamente registrado.
También existen sistemas que utilizan mensajes SMS, aunque pueden presentar mayores riesgos frente a determinadas formas de fraude, como el secuestro de una línea telefónica.
Las tecnologías más recientes permiten utilizar claves de acceso digitales, conocidas como passkeys, que, cuando están correctamente implementadas, pueden ofrecer protección adicional frente a determinadas modalidades de phishing.
Siempre que los servicios lo permitan, es recomendable dar preferencia a métodos de autenticación resistentes a la suplantación de páginas web.
En cualquier caso, la doble verificación no elimina completamente los riesgos. Nunca debemos entregar códigos temporales a terceros ni aprobar solicitudes de acceso que no hayamos iniciado.
5. Un ejemplo práctico: cuando una contraseña robada abre la puerta a un fraude
Imaginemos el siguiente supuesto.
Una empresa recibe un correo que aparentemente procede de uno de sus proveedores habituales.
El mensaje solicita revisar una factura a través de un enlace.
El empleado pulsa sobre él y accede a una página que imita el aspecto del correo corporativo.
Sin darse cuenta, introduce su nombre de usuario y contraseña.
En realidad, esos datos han sido enviados a los ciberdelincuentes.
Si la cuenta no dispone de medidas adicionales de autenticación, los atacantes podrían intentar acceder al buzón, consultar mensajes intercambiados con proveedores y clientes o enviar comunicaciones suplantando al empleado.
Incluso podrían intentar solicitar cambios de cuentas bancarias para desviar pagos.
Si la cuenta cuenta con doble verificación, el atacante tendrá que superar esa protección adicional. Esto puede impedir el acceso, aunque la contraseña haya sido descubierta.
Naturalmente, existen ataques sofisticados capaces de intentar engañar también a los sistemas de doble verificación. Por ello, debemos mantener la precaución ante enlaces desconocidos y solicitudes inesperadas.
Este ejemplo demuestra que la seguridad digital no depende de una única medida, sino de combinar varias protecciones complementarias.
6. La importancia de proteger las cuentas en las empresas
En una empresa no todas las cuentas tienen el mismo nivel de riesgo.
El correo electrónico, la banca electrónica, las plataformas de gestión documental, las aplicaciones de facturación y los sistemas de administración de personal pueden permitir el acceso a información especialmente relevante.
Por este motivo, conviene establecer una política de seguridad que contemple, al menos, las siguientes medidas:
- Utilizar cuentas individuales para cada trabajador.
- Evitar que varias personas compartan un mismo usuario y contraseña.
- Activar la autenticación multifactor en los accesos relevantes.
- Aplicar permisos ajustados a las funciones de cada empleado.
- Implantar un gestor corporativo de contraseñas cuando resulte adecuado.
- Revisar los accesos cuando una persona cambie de funciones o deje de trabajar en la organización.
- Formar periódicamente al personal para identificar intentos de fraude y accesos sospechosos.
No debemos olvidar que un empleado puede tener acceso legítimo a determinados documentos por razón de su trabajo, pero eso no significa que necesite acceder a toda la información de la empresa.
El principio de conceder únicamente los permisos necesarios constituye otra medida esencial para reducir los riesgos.
7. Contraseñas, doble verificación y protección de datos personales
La seguridad de las contraseñas también tiene relación con nuestras obligaciones en materia de protección de datos.
El artículo 32 del Reglamento General de Protección de Datos establece que responsables y encargados del tratamiento deben aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo.
La normativa no impone una contraseña determinada ni obliga de manera general a utilizar un mismo sistema de doble verificación en todas las aplicaciones.
Lo que exige es analizar los riesgos y adoptar medidas adecuadas considerando, entre otros factores, la naturaleza de los datos tratados y las consecuencias que podría tener un acceso no autorizado.
Cuando una empresa gestiona información laboral, económica, bancaria o de otra naturaleza confidencial, la protección de las cuentas y los sistemas de acceso adquiere especial importancia.
Por tanto, no se trata simplemente de cumplir una obligación formal. Se trata de adoptar medidas razonables para proteger información que nos ha sido confiada.
8. ¿Qué debemos hacer si sospechamos que alguien conoce nuestra contraseña?
Si recibimos un aviso de acceso desconocido, detectamos movimientos extraños en una cuenta o sospechamos que nuestras credenciales han podido ser sustraídas, debemos actuar con rapidez.
Lo primero es acceder al servicio desde su página o aplicación oficial, nunca desde el enlace de un mensaje sospechoso.
A continuación, debemos cambiar la contraseña desde un dispositivo seguro, revisar las sesiones abiertas y cerrar aquellas que no reconozcamos.
También resulta conveniente comprobar si se han modificado los métodos de recuperación, los dispositivos autorizados o las configuraciones de seguridad.
Cuando la cuenta pertenece a una empresa, debemos comunicar inmediatamente la incidencia al responsable correspondiente para que pueda evaluar si existen otros sistemas o datos afectados.
Si se sospecha que el dispositivo está infectado, es recomendable seguir las instrucciones del responsable técnico antes de continuar utilizándolo.
La rapidez puede ser decisiva para impedir que un incidente inicialmente limitado se convierta en un problema de mayor alcance.
9. La formación de los trabajadores, una protección imprescindible
Podemos disponer de programas antivirus, sistemas de copias de seguridad y aplicaciones protegidas. Sin embargo, muchas situaciones de riesgo comienzan con una actuación aparentemente inofensiva.
Un empleado que utiliza una contraseña repetida, comparte sus credenciales o aprueba una solicitud de acceso desconocida puede facilitar involuntariamente una intrusión.
Por este motivo, las empresas deben acompañar las medidas tecnológicas de formación práctica y procedimientos comprensibles para sus equipos.
No se trata de convertir a cada trabajador en un especialista en informática, sino de enseñarle a reconocer los riesgos habituales, utilizar correctamente las herramientas y saber cómo actuar cuando detecta un problema.
La ciberseguridad debe formar parte de la organización cotidiana de las empresas, del mismo modo que lo hacen la prevención de riesgos laborales, el cumplimiento normativo o la protección de datos.
10. Proteger nuestras cuentas es proteger nuestra actividad
La transformación digital nos permite trabajar con mayor agilidad, acceder a servicios desde cualquier lugar y realizar operaciones que hace unos años requerían desplazamientos y numerosos trámites.
Pero también exige asumir nuevas responsabilidades.
Una contraseña segura es una primera barrera de protección. La doble verificación añade una segunda defensa. Y la formación de las personas permite utilizar ambas correctamente.
No necesitamos esperar a sufrir un fraude para mejorar nuestra seguridad.
Conviene comenzar por revisar nuestras cuentas más importantes, comprobar cuáles tienen activada la doble verificación y sustituir las contraseñas que sean débiles o estén repetidas.
Son actuaciones relativamente sencillas que pueden evitar consecuencias económicas, profesionales y personales de considerable importancia.
La seguridad informática comienza con pequeños hábitos, pero sus beneficios alcanzan a toda la organización.
Desde APLAGES Grupo
En APLAGES entendemos que la protección de la información debe integrarse en la gestión habitual de las empresas.
Nuestra experiencia en asesoramiento empresarial y protección de datos nos permite comprobar que la seguridad requiere tanto medidas organizativas como formación y concienciación.
La confianza de clientes, trabajadores y proveedores se construye también mediante el compromiso de proteger adecuadamente la información que nos facilitan.
Por ello, recomendamos a empresas, autónomos y particulares revisar sus sistemas de identificación y adoptar medidas que reduzcan los riesgos de accesos indebidos.
AUTOR DEL BLOGJosé María Quintanar Isasi
Asesor fiscal tributario, mediador de seguros y socio fundador de APLAGES Grupo.