La mayoría de las cuentas robadas no se pierden por un ataque sofisticado. Se pierden porque la contraseña era el nombre de la empresa con el año, o porque era la misma del correo, del banco y de una página que fue hackeada hace tiempo.
Esta guía reúne las reglas que de verdad protegen, en lenguaje que todo el equipo puede aplicar.
Qué hace segura una contraseña
- Longitud. Es lo que más pesa. Una frase de cuatro o cinco palabras sin relación entre sí es más fuerte y más fácil de recordar que una palabra corta con símbolos.
- Que sea única. Una contraseña distinta para cada servicio. Si se filtra una, las demás siguen a salvo.
- Que no se pueda adivinar. Nada de nombres, fechas, placas, el nombre de la empresa ni secuencias del teclado.
- Que no esté escrita a la vista. Ni en un papel pegado al monitor ni en un archivo llamado claves.
Cambiar la contraseña cada mes por obligación ya no se recomienda: la gente termina usando variaciones previsibles. Se cambia cuando hay sospecha de que fue expuesta.
El gestor de contraseñas
Nadie puede recordar decenas de contraseñas largas y distintas. Para eso existen los gestores: programas que las guardan cifradas y las escriben por ti. Solo necesitas recordar una, la contraseña maestra.
- Generan contraseñas largas y aleatorias.
- Las rellenan solo en el sitio legítimo, lo que ayuda contra páginas falsas.
- Avisan si una contraseña está repetida o apareció en una filtración.
- Permiten compartir un acceso con un compañero sin mostrarle la clave.
Verificación en dos pasos
Es pedir algo más además de la contraseña: un código que solo tú tienes en ese momento. Aunque alguien robe la clave, no puede entrar. Hay varias formas, de menor a mayor seguridad:
- Código por mensaje de texto: mejor que nada, pero el más débil.
- Aplicación de autenticación en el celular, que genera códigos que cambian cada pocos segundos.
- Notificación que apruebas en el celular.
- Llave física de seguridad o llave de acceso del dispositivo.
Actívala primero donde más duele perder el acceso: correo, banca, redes sociales de la empresa, el administrador de la página web y el dominio. Guarda los códigos de respaldo en un lugar seguro.
¿Quién tiene las claves de tu empresa?
Revisamos los accesos de tu empresa, activamos la verificación en dos pasos en las cuentas críticas, organizamos un gestor de contraseñas y capacitamos al equipo.
Reglas para la empresa
- Un usuario por persona en cada sistema. Las cuentas compartidas impiden saber quién hizo qué.
- Las cuentas son de la empresa, creadas con correos corporativos, no con el correo personal de un empleado.
- Inventario de accesos: qué servicios se usan y quién administra cada uno.
- Baja el mismo día en que alguien se retira.
- La gerencia conoce cómo recuperar los accesos críticos.
- Nadie pide claves por mensaje. Si alguien las solicita, es un intento de fraude hasta que se demuestre lo contrario.
Preguntas frecuentes
¿Es seguro guardar las contraseñas en el navegador?
Es mejor que repetirlas o anotarlas en papel. Un gestor dedicado ofrece más control, sobre todo para compartir accesos dentro de un equipo.
¿Qué pasa si pierdo el celular con la verificación en dos pasos?
Se recupera el acceso con los códigos de respaldo que entrega cada servicio al activarla. Por eso hay que guardarlos.
¿Cómo sé si mi contraseña fue filtrada?
Los gestores y varios navegadores avisan cuando una clave aparece en filtraciones conocidas. Si pasa, cámbiala en ese servicio y en cualquier otro donde la hayas usado.
En resumen
Contraseñas largas y únicas, un gestor para recordarlas y verificación en dos pasos en lo importante. Tres hábitos que detienen la mayoría de los accesos indebidos.
Complementa con cómo identificar correos falsos, qué es una VPN y las copias de seguridad para empresas.