Cada año, el primer jueves de mayo, se conmemora el Día Mundial de la Contraseña, una fecha impulsada por la industria de la ciberseguridad para concientizar sobre la importancia de proteger nuestros accesos digitales. Sin embargo, este 2025, el mensaje parece haber dado un giro: ya no se trata de crear contraseñas más seguras, sino de eliminarlas definitivamente.

“La excesiva dependencia de las contraseñas se está convirtiendo en el riesgo que buscamos evitar”, advierten expertos del sector. Los números respaldan esa preocupación: según el Informe de Investigaciones de Filtraciones de Datos de Verizon (2024), el 81 % de los ataques informáticos aún involucra contraseñas débiles o robadas.

Alejandro Botter, gerente de ingeniería de la firma Check Point para el sur de Latinoamérica, advierte: “Los ciberdelincuentes se aprovechan de un sistema donde gran parte de la validación de identidad aún depende de contraseñas. Si asumimos que las credenciales pueden ser robadas, entonces debemos adoptar métodos más robustos como el doble factor de autenticación o la biometría”.

Un talón de Aquiles cada vez más vulnerable

Según Nordpass, “123456” sigue siendo una de las claves más usadas a nivel global. Y de acuerdo a una encuesta de Google y Harris Poll, al menos el 65 % de las personas reutiliza sus contraseñas en varios servicios, una práctica riesgosa que facilita los ataques masivos de robo de credenciales.

La inteligencia artificial ha agravado el escenario. Los ataques de fuerza bruta, hoy potenciados por procesadores gráficos de alta velocidad y herramientas especializadas, pueden probar millones de combinaciones por segundo. Lo que antes tomaba años, ahora puede resolverse en minutos.

El negocio de las contraseñas robadas

La economía del cibercrimen se alimenta de esta fragilidad. Se estima que más de 24.600 millones de combinaciones de usuario y contraseña circulan actualmente en foros clandestinos. En el caso de Booking.com, por ejemplo, miles de accesos robados se vendieron por apenas U$S2.000, con actualizaciones mensuales incluidas.

Grupos de amenazas como Kimsuky (Corea del Norte), MuddyWater (Irán) y APT28 (Rusia) encabezan campañas globales de robo de credenciales mediante malware, inteligencia artificial y ataques avanzados. En lo que va de 2024, se comprometieron más de 3.900 millones de credenciales en 4,3 millones de dispositivos infectados.

Incluso sistemas considerados más seguros, como la autenticación multifactor (MFA), han sido vulnerados. Herramientas como EvilProxy permiten interceptar en tiempo real los tokens de verificación, anulando esa barrera adicional.

¿Estamos ante el fin de las contraseñas?

Frente a esta amenaza, grandes organizaciones ya están apostando por métodos de autenticación sin contraseña. Google, Microsoft, Apple y Shopify, entre otras, implementan claves de acceso cifradas, tokens físicos o biometría como alternativas seguras.

Microsoft anunció que migrará sus mil millones de usuarios a sistemas sin contraseñas, y según la consultora Gartner, el 60 % de las empresas eliminará las claves tradicionales para 2025. Gobiernos como los de India y Singapur ya promueven sistemas de identificación digital como Aadhaar y Singpass, que permiten acceder a servicios estatales y privados sin necesidad de claves convencionales.

Cómo prepararse para un futuro sin contraseñas

Aunque su desaparición no será inmediata, los especialistas recomiendan avanzar hacia ese modelo con estos pasos:

• Adoptar autenticación biométrica o basada en dispositivos.
• Implementar soluciones de Confianza Cero (Zero Trust) y Gestión de Acceso Privilegiado (PAM).
• Utilizar herramientas de protección como Check Point Harmony, que previene ataques de phishing y uso indebido de credenciales.
• Capacitar a los usuarios no solo en cómo crear contraseñas fuertes, sino en cómo dejar de depender de ellas.

El Día Mundial de la Contraseña como punto de inflexión

Más que recordar qué claves no usar, el Día Mundial de la Contraseña debería marcar el comienzo de su retirada. Las tecnologías existen, las amenazas lo exigen y los usuarios ya no pueden confiar en lo que simplemente recuerdan.

“La seguridad ya no depende de lo que recordamos, sino de lo que somos y lo que tenemos”, concluyen desde Check Point.