El NIST cambia de criterio: por qué ya no es seguro cambiar contraseñas frecuentemente

Durante décadas, la recomendación de cambiar las contraseñas cada pocos meses ha sido un pilar de la ciberseguridad. Sin embargo, el Instituto Nacional de Estándares y Tecnología (NIST) ha actualizado sus directrices para reflejar un cambio de paradigma: forzar a los usuarios a modificar sus claves de acceso de manera periódica puede resultar contraproducente.

Por qué el cambio frecuente reduce la seguridad

Las últimas recomendaciones del NIST, recogidas en la guía SP 800-63-4, señalan que la obligación de cambiar contraseñas periódicamente —generalmente cada uno o tres meses— Incentiva a los usuarios a crear claves más débiles, predecibles y fáciles de recordar. Esta práctica, lejos de mejorar la protección, facilita el trabajo de los ciberdelincuentes.

Según el documento, cuando las credenciales se eligen correctamente, el requisito de cambiarlas periódicamente puede reducir la seguridad porque la carga adicional motiva el uso de contraseñas más simples. Los usuarios tienden a generar combinaciones que puedan recordar con facilidad, lo que las hace también más vulnerables a ataques automatizados.

Las nuevas recomendaciones del NIST

La nueva estrategia del NIST se centra en mantener contraseñas robustas, únicas y difíciles de adivinar, modificándolas únicamente cuando existe evidencia de compromiso o cuando han Appecido en filtraciones de datos. Entre los cambios más destacados, el organismo propone prohibir los restablecimientos obligatorios de contraseñas, el uso obligatorio de ciertos caracteres y las preguntas de seguridad.

Las directrices indican que los verificadores no deben exigir cambios periódicos de contraseñas, pero sí deben forzar la modificación si hay indicios de que el autenticador está comprometido. Esta aproximación busca reducir la carga cognitiva de los usuarios mientras mantiene la seguridad.

Cómo crear contraseñas seguras

Los expertos en ciberseguridad coinciden en varias prácticas fundamentales para proteger las cuentas. Las contraseñas deben tener al menos ocho caracteres e incluir una combinación de letras mayúsculas, minúsculas, números y símbolos. Es recomendable que las letras no formen palabras reconocibles y que los números no tengan significado personal.

Para complementar la seguridad, los especialistas recomiendan activar la autenticación multifactor (MFA) en tantas cuentas como sea posible. Este enfoque dificulta significativamente los intentos de acceso no autorizado, incluso cuando las contraseñas han sido comprometidas.

El uso de gestores de contraseñas representa otra herramienta fundamental. Estas aplicaciones generan claves aleatorias y complejas que se almacenan de forma encriptada, eliminando la necesidad de memorizar múltiples combinaciones y permitiendo el uso de contraseñas más largas y seguras.

Las contraseñas más usadas en España

A pesar de las advertencias de los expertos, muchas personas en España continúan utilizando combinaciones extremadamente vulnerables. Las contraseñas más populares incluyen 'admin', '123456', 'mallorca64', 'barcelona', '000000', 'Shell123' y 'carl0s'.

Estas credenciales pueden ser descifradas por un hacker en menos de un segundo, lo que representa un riesgo significativo para la seguridad informática de quienes las utilizan.

Por qué importa

Los ciberataques son cada vez más frecuentes y sofisticados. La adopción de prácticas de seguridad obsoletas puede generar una falsa sensación de protección mientras se exponen los sistemas a riesgos reales. El cambio de enfoque del NIST representa un reconocimiento de que la seguridad efectiva debe equilibrar la protección con la usabilidad.

Qué puedes hacer

Para mejorar la seguridad de tus cuentas, considera las siguientes acciones: genera contraseñas largas y únicas para cada servicio, utiliza un gestor de contraseñas para almacenarlas de forma segura, activa la autenticación multifactor siempre que sea posible, y cambia tus contraseñas únicamente cuando existan indicios de compromiso o tras conocer una filtración de datos que afecte a tus cuentas.

Con información de Tecnología.