Un nuevo informe sobre seguridad de contraseñas revela que millones de usuarios y organizaciones siguen utilizando combinaciones extremadamente predecibles, lo que facilita a los cibermalos que hagan de las suyas.
El estudio indica que las claves de ocho caracteres son las más comúnmente filtradas, con más de 1.077 millones de incidencias, seguidas de las de diez y nueve caracteres. Entre las más utilizadas y fácilmente vulnerables destacan “123456”, “123456789”, “12345678”, “admin” y “password”.
Estos patrones simples y repetitivos, que combinan secuencias numéricas o términos predeterminados, continúan dominando, a pesar de los años de campañas de concienciación y políticas de complejidad implementadas por las organizaciones.
El informe también señala que el riesgo no se limita a usuarios particulares. Muchas credenciales robadas corresponden a cuentas funcionales o administrativas en entornos corporativos, como accesos a redes privadas virtuales (VPN), directorios activos o sistemas internos. Esta situación proporciona a los atacantes acceso confiable a los sistemas empresariales, a menudo eludiendo defensas perimetrales, y refleja la facilidad con la que los ciberdelincuentes pueden explotar credenciales reutilizadas o predecibles.
“En entornos empresariales, esto crea un riesgo real de que las credenciales robadas por malware se reutilicen como contraseñas de Active Directory (AD), red privada virtual (VPN) o identidad en la nube, lo que brinda a los atacantes acceso confiable a los sistemas corporativos”, señala Specops.
Los patrones observados van más allá de combinaciones simples. Los usuarios siguen recurriendo a términos base comunes, como “admin”, “guest”, “cisco” o “hello” (hola), y a estructuras basadas en nombres, como “FirstName@123”.
Además, existen variaciones regionales y lingüísticas que mantienen la misma previsibilidad, por ejemplo “Pakistan@123”, “India@123”, “hola1234” o “senha123”, lo que demuestra que la mala práctica es universal.
A pesar de que los requisitos de longitud y complejidad han aumentado, los datos muestran que los passwords más largos y complejos tampoco garantizan seguridad si se reutilizan o son robados mediante malware o phishing. Esto evidencia que la protección no depende únicamente de la creación de contraseñas seguras, sino de la gestión continua y la vigilancia de credenciales comprometidas.
Los expertos recomiendan en la medida de lo posible evitar la reutilización y generar claves únicas (si es posible usando gestores), implementar autenticación multifactor y, cuando sea posible, adoptar métodos de acceso sin contraseña, como passkeys.
Los mayores ladrones de contraseñas
El documento también ha analizado cuáles son los malwares que más claves han comprometido. En este sentido, el más activo fue Lumma. Esta herramienta se hizo con cerca de 61 millones de credenciales robados.
En segunda posición se situó Redline, con 31,1 millones de credenciales vulneradas. Hace unos meses EE.UU ofreció una recompensa de 10 millones de dólares para quien aportara pistas sobre este infostealer y su creador.
Por detrás se sitúan Vidar (5,9 millones), StealC (3,4 millones) y Raccoon Stealer (con 1,6).
Acerca del autor
