- Contraseñas únicas por servicio, un gestor de contraseñas y 2FA son hoy el mínimo de higiene de seguridad para cualquier equipo.
- No es paranoia: es prevención frente al ataque más común, el uso de credenciales filtradas.
- Implantar estas 3 prácticas cuesta mucho menos que gestionar un incidente de seguridad.
Un escenario que vemos más a menudo de lo que nos gustaría: un servicio online cualquiera sufre una filtración. Entre los datos robados está el email de trabajo de un empleado y la contraseña que usaba allí. Esa misma contraseña era la de su correo corporativo. Nadie necesitó ingeniería social sofisticada ni malware avanzado: bastó con probarla.
Es el patrón más habitual de compromiso de cuentas: las credenciales filtradas de un servicio se prueban de forma automática en otros (lo que se conoce como credential stuffing). Si usas la misma contraseña en varios sitios, una sola filtración te expone en todos.
La solución no es memorizar contraseñas más complejas. La solución es un sistema de gestión de credenciales, y se apoya en 3 prácticas.
Práctica 1: contraseñas únicas, largas y aleatorias
La regla es sencilla: cada servicio tiene su propia contraseña. Debe ser larga (20 caracteres o más) y generada al azar. No intentes memorizarlas: para eso está el gestor.
¿Por qué funciona?
Si un servicio se filtra, los atacantes probarán tu contraseña en tu email, tu banca y tus herramientas de trabajo. Si cada cuenta tiene una contraseña distinta, el daño se queda en el servicio filtrado.
¿Cómo se aplica?
Con un gestor de contraseñas, que genera y guarda contraseñas únicas de forma automática. Y para saber si alguna de tus direcciones de correo ya ha aparecido en una filtración conocida, puedes consultar Have I Been Pwned.
Práctica 2: un gestor de contraseñas
Un gestor de contraseñas (1Password, Bitwarden o KeePass, entre otros) guarda todas tus credenciales en una bóveda cifrada. Accedes con una contraseña maestra, la única que tienes que recordar.
Funciones clave
- Generación de contraseñas aleatorias para cada servicio.
- Autocompletado del inicio de sesión en webs y aplicaciones.
- Sincronización entre dispositivos.
- Almacenamiento de otros datos sensibles (claves de API, números de cuenta).
- Compartir credenciales con el equipo sin que nadie tenga que ver la contraseña.
- Avisos de contraseñas débiles, repetidas o filtradas.
Lo que añaden las versiones para empresas
- Políticas de contraseñas obligatorias (longitud mínima, tipos de caracteres).
- Informes de quién tiene acceso a qué.
- Revocación de accesos cuando alguien deja la empresa.
- Integración con el inicio de sesión único (SSO) corporativo.
Cómo implantarlo
- Elige el gestor. Bitwarden es de código abierto y económico; 1Password destaca por su facilidad de uso. LastPass sufrió una brecha grave en 2022, así que, si lo estás valorando, infórmate bien antes de decidir.
- Migra las contraseñas. Cada persona traslada las suyas; las herramientas de importación desde el navegador lo facilitan mucho.
- Fija la política. Desde hoy, toda contraseña nueva va al gestor. Las antiguas se migran y se cambian de forma progresiva, empezando por las cuentas críticas.
- Forma al equipo. Basta con una sesión de 30 minutos para enseñar a usar el autocompletado, generar contraseñas y compartirlas.
Práctica 3: autenticación de dos factores (2FA o MFA)
La contraseña es algo que sabes. El segundo factor es algo que tienes (el móvil, una llave física) o algo que eres (tu huella). Aunque alguien consiga tu contraseña, sin el segundo factor no puede entrar.
Métodos de 2FA, de más a menos seguro
- Llaves de seguridad físicas y passkeys (YubiKey, Titan Security Key o las llaves de acceso del propio móvil). Son la opción más robusta y la única realmente resistente al phishing: solo responden ante la web legítima, así que una página falsa no puede aprovecharlas.
- Aplicaciones autenticadoras (Google Authenticator, Microsoft Authenticator, Authy). Generan códigos temporales en el propio dispositivo. Son más seguras que el SMS porque los códigos no viajan por la red telefónica.
- Código por SMS o llamada. Mejor que nada, pero vulnerable al duplicado fraudulento de la tarjeta SIM (SIM swapping).
- Email como segundo factor. Es débil: si comprometen tu correo, comprometen los 2 factores a la vez.
Dónde activar 2FA sí o sí
- Email corporativo: quien controla el correo puede restablecer casi cualquier otra contraseña.
- VPN y accesos remotos a sistemas.
- El propio gestor de contraseñas, que es la llave de todo lo demás.
- Sistemas con datos sensibles (CRM con datos de clientes, ERP, contabilidad).
- Cuentas de administración de infraestructura: hosting, dominios y DNS, servidores, panel de la web.
- Banca online.
Cómo implantarlo
La mayoría de servicios actuales permiten activar 2FA desde los ajustes de seguridad de la cuenta. Hay que hacerlo servicio a servicio, empezando por la lista anterior. Si algún servicio crítico no lo permite, plantéate si el riesgo justifica cambiar de proveedor. Y explica al equipo cómo escanear el código QR inicial y dónde guardar los códigos de recuperación.
Resistencias habituales y cómo responderlas
«Es incómodo buscar la contraseña en el gestor cada vez»
Los gestores actuales rellenan el inicio de sesión automáticamente. Acaba siendo más rápido que teclear. La adaptación se mide en días, no en meses.
«Si olvido la contraseña maestra, lo pierdo todo»
Por eso los gestores ofrecen mecanismos de recuperación: códigos de recuperación, un kit de emergencia para imprimir y guardar en un lugar seguro o, en las versiones para empresas, la recuperación de cuentas por parte de un administrador.
«Mi equipo no es técnico, no lo va a usar»
Con una formación adecuada y una política clara, sí lo usará. Hazlo obligatorio: sin gestor corporativo, no hay acceso a los sistemas.
«El 2FA ralentiza el día a día»
Son unos 5 segundos: abrir la app y escribir 6 dígitos. Es insignificante comparado con el tiempo que exige recuperar una cuenta comprometida. Y muchos servicios permiten marcar un dispositivo como de confianza durante un tiempo.
«¿Y si pierdo el móvil con el autenticador?»
Las principales apps autenticadoras permiten hacer copia de seguridad o trasladar las cuentas a otro dispositivo. Y los códigos de recuperación que da cada servicio al activar el 2FA deben guardarse en el gestor de contraseñas.
Política de seguridad mínima para equipos
Un documento sencillo, de una página, que cada persona del equipo lee y firma:
- Contraseñas: uso obligatorio del gestor corporativo. Una contraseña única por servicio, nunca reutilizada. La contraseña maestra, larga, memorizada y nunca apuntada en el ordenador ni en notas adhesivas.
- 2FA: activado en todos los servicios que lo permitan y obligatorio en email, VPN, gestor de contraseñas y sistemas críticos. App autenticadora o llave física antes que SMS.
- Dispositivos: pantalla bloqueada con PIN o biometría al levantarse del puesto. Actualizaciones del sistema operativo aplicadas en un máximo de 7 días.
- Phishing: nunca compartir credenciales por email, chat ni teléfono. Comprobar la dirección de la web antes de iniciar sesión. Avisar de cualquier correo sospechoso.
- Incidencias: si sospechas que tu cuenta está comprometida, avisa de inmediato al responsable de sistemas o a tu proveedor. Nadie será sancionado por informar de un error de seguridad.
Cómo comprobar que se está aplicando
- Informes del gestor: uso real, contraseñas débiles detectadas, contraseñas repetidas.
- Simulacros de phishing: envía correos de prueba. Quien caiga recibe formación adicional, no una bronca.
- Revisión de accesos: registros de inicio de sesión que muestren si se usa el 2FA (o si no se usa).
- Checklist de incorporación: una persona nueva no tiene acceso a nada hasta tener el gestor configurado y el 2FA activado en los sistemas críticos.
Preguntas frecuentes
¿Cuánto cuesta implantar esto?
Bitwarden tiene una versión gratuita para uso personal, y sus planes para empresas parten de unos 4 dólares por usuario al mes. Para un equipo de 10 personas, hablamos de 40 a 60 dólares mensuales según el plan. Los precios cambian, así que compruébalos en la web de cada proveedor. Comparado con lo que cuesta una brecha (horas de trabajo, reputación, posibles sanciones por el RGPD), es una cantidad pequeña.
¿Cuánto tiempo lleva?
La migración inicial, de 1 a 2 horas por persona. La formación, de 30 a 60 minutos. A partir de ahí, forma parte de la rutina.
¿Qué pasa cuando alguien deja la empresa?
Con un gestor empresarial, revocas su acceso a la cuenta y a las bóvedas compartidas. No hace falta cambiar todas las contraseñas que se compartieron a través del gestor, aunque sí conviene rotar las de los sistemas más críticos a los que tenía acceso.
¿Es 100% seguro?
Nada lo es. Los gestores también pueden tener fallos, pero el riesgo de usarlos es mucho menor que el de vivir con contraseñas repetidas y apuntadas en notas adhesivas.
Y si lo peor ya ha pasado y alguien ha entrado en tu web, aquí tienes qué hacer cuando tu web ha sido hackeada.
Conclusión
Contraseñas únicas, gestor de contraseñas y 2FA. No son medidas avanzadas, son básicas. Pero cierran la puerta al vector de ataque más común: las credenciales comprometidas.
Implantarlas no exige ser experto en seguridad: exige decisión, las herramientas adecuadas y una formación mínima. Y reduce mucho la probabilidad de que una filtración ajena acabe convertida en un incidente propio.
La seguridad de las cuentas es solo una parte. También conviene saber dónde se guardan realmente los datos de tus clientes y quién tiene acceso a ellos.
Si quieres implantar un gestor de contraseñas empresarial, activar el 2FA obligatorio en tus sistemas o formar a tu equipo en seguridad básica, en Baqueiro te ayudamos a hacerlo sin complicaciones. La decisión de priorizarlo es tuya, pero cuanto antes, mejor. Hablemos.