1, 2, 3, 4, 5, 6 o cómo pasa factura ser un vago a la hora de poner una contraseña

Collection #1 es la mayor brecha que se ha detectado y compartido nunca. Yahoo sufrió la pérdida de información de 3.000 millones de cuentas tiempo atrás, pero nunca salió a la luz. Son datos que multiplican las estafas por suplantación de identidad y el chantaje, como la 'sextorsion', la extorsión que realizan los piratas informáticos enviando un correo al usuario en el que muestran su contraseña y le aseguran que disponen de un vídeo comprometedor, supuestamente tomado con la 'webcam', viendo contenido pornográfico. En realidad, un farol que basa su eficacia en que hay muchos consumidores de pornografía.

Hunt ofrece a la gente una web gratuita –haveibeenpwned.com– en la que el usuario puede introducir su dirección de correo electrónico y comprobar si ha sido violada, y un segundo campo en el que teclear la contraseña para ver si ha sido capturada. Esto es también un juguete para curiosos, eficaz para constatar que 23,2 millones de esas personas 'hackeadas' utilizaron la contraseña más simple y obvia: 123456. Que casi tres millones, en un alarde de seguridad, la estiraron hasta el 8. O que 3,6 millones son tan originales que ponen password como password (clave). Algunos más sofisticados, cerca de 51.000, al menos lo complican hasta crear P@ssw0rd.

«Es tremendo que, de casi 800 millones de cuentas, solo 22 tienen contraseñas únicas. Aplicamos la ley del mínimo esfuerzo para protegernos a pesar de que internet se cuela imparablemente en nuestras casas. Cada vez es más habitual la compra online, cargar nuestras tarjetas, la televisión... ¡Si hasta la nevera puede llegar a estar conectada! Pues todo eso requiere entornos cada vez más seguros para evitar sustos», explica Morán, cuya empresa ofrece un máster en ciberseguridad y ha elaborado un decálogo para internautas.

Dice Troy Hunt que la única contraseña segura es aquella «que no puedes recordar». Por eso recomienda un gestor de credenciales. Y si eso, por edad o desconocimiento, nos resulta demasiado complicado, es preferible volver a la fórmula del gestor analógico, una libreta con las claves que esté en casa a buen recaudo, porque los nuevos cacos ya no necesitan poner un pie en tu vivienda para robarte. Aunque hay sistemas más sofisticados, como la autenticación de dos factores para proteger nuestras cuentas digitales –por ejemplo, recibir un SMS con un código de acceso cuando vamos a entrar– o aplicaciones como Google Authenticator o Authy.

España cuenta con un Instituto Nacional de Ciberseguridad (Incibe) en León, donde trabaja Jorge Chinea. Es el coordinador del área de servicios de ciberseguridad y dice que no le ha sorprendido nada que tantísima gente utilice el 123456 como patético dique para contener a los ciberdelincuentes. Aprecia más errores comunes: «En el ámbito empresarial, vemos que el 'post it' con la clave pegado en el ordenador es un hábito muy común entre los empleados. Las pequeñas y medianas empresas solo toman conciencia cuando tienen un susto o cumplen cuando la ley les obliga. Son minoría los que ven en la ciberseguridad un factor diferencial». Chinea cree que hay tres mandamientos que los usuarios deberían acatar sin excusas: no compartir, no enseñar y, de vez en cuando, cambiar. «Con las contraseñas hay que hacer como con la ropa interior», bromea.

La teoría es relativamente sencilla, pero ponerla en práctica resulta complicado cuando hay que tener una contraseña diferente para un par de cuentas de correo, dos o tres perfiles en redes sociales, varias plataformas de televisión, series y películas, el banco, el wifi, una suscripción al periódico, el teléfono, la aplicación con los entrenamientos del gimnasio, la compañía aérea, un portal de venta de entradas, una compañía de transporte urgente, la maleta, un máster y mil cosas más que a menudo exigen establecer una combinación para tener acceso. «Yo aconsejo las reglas mnemotécnicas, reemplazar las vocales por números, arrobas u otros símbolos... E ir cambiándolas. Por ejemplo, cuando te obligan en el trabajo, aprovechar y hacerlo también en el resto de cuentas. Lo ideal es establecer unos mínimos de seguridad y poco a poco ir mejorándolos. El uso de herramientas para almacenar contraseñas está bien, pero es mejor no tener que apuntarlas», advierte el experto.

El coordinador del Incibe recomienda especialmente hacer un ejercicio mental para entender lo importante que es proteger la cuenta de correo electrónico. «¿A que nadie pegaría un 'post it' con la combinación en la caja fuerte? Pues lo mismo con las contraseñas de todo lo demás. Hay que trasladar estos hábitos a la vida virtual». Aunque, al final, lo más sensato parece ser encontrar el equilibrio, que no esté descompensada la lucha entre la comodidad y la seguridad.