A menudo ocurre que las herramientas más simples son las que duran más, porque al final hacen el trabajo.
Tomemos como ejemplo la cinta adhesiva: es un clásico resistente del hogar que no se inventó para ser elegante ni tecnológica. Fue diseñada para funcionar, ya sea con una tienda de campaña con goteras o con un pinchazo incómodo: una forma fiable de resolver el problema en una situación complicada.
Las credenciales robadas desempeñan un papel similar en la estrategia de un actor de amenazas. Es un método antiguo que sigue siendo eficaz.
En cuanto a la adopción masiva, la simplicidad siempre supera a la sofisticación. Y en la era de los deepfakes y el hackeo asistido por IA, las credenciales robadas siguen siendo la herramienta predilecta de los ciberdelincuentes.
Repensando el papel de las contraseñas
Por razones similares, la contraseña sigue vigente: las innovaciones deben ser fáciles de implementar. Las personas necesitan una experiencia mucho mejor para aceptar el cambio. Y a pesar de todas las molestias que generan las contraseñas, con rutinas de monólogos creadas a partir de la necesidad de números y símbolos, son una herramienta cotidiana que todos comprenden.
La 2FA añade una capa adicional de seguridad y, a pesar de los esfuerzos de los proveedores por simplificar el proceso, la gente seguirá sintiéndose molesta por tener que usar su teléfono. Las claves de acceso están ganando terreno, pero aún no se usan ampliamente. Por lo tanto, en el futuro próximo, cabe esperar que muchos servicios sigan ofreciendo un inicio de sesión con nombre de usuario y contraseña.
Por supuesto, no se trata solo de la presión del usuario. La simplicidad de un nombre de usuario y una contraseña facilita las cosas a los desarrolladores: ya no es necesario recurrir a un proveedor para obtener una solución avanzada sin contraseñas, ya que estas son fáciles de implementar.
Las contraseñas también son populares entre los delincuentes
Desafortunadamente, esto deja a las contraseñas como una forma muy común para que los hackers accedan a lugares donde no deberían estar. La mayoría de los ataques provienen de bases de datos de nombres de usuario y contraseñas robadas, también conocidas como «combolistas», porque son económicas, efectivas y fáciles de conseguir.
Es difícil calcular la cantidad exacta de contraseñas que una persona promedio puede recordar. Aunque se les dice repetidamente a los usuarios que no reutilicen las contraseñas y se les mencionan las ventajas de los gestores de contraseñas, la triste realidad es que muchos optan por el camino más fácil. Si no pueden usar una contraseña sencilla y fácil de adivinar (y la mayoría de los servicios actuales no lo permiten), optan por la segunda mejor opción: usar la misma contraseña compleja repetidamente.
Este lamentable hecho de la naturaleza humana es lo que convierte a las contraseñas robadas en la cinta adhesiva del arsenal de los actores de amenazas. Son fáciles de usar. Si bien la mayoría de los hackers automatizan la verificación de contraseñas, podríamos comprar algunas hoy mismo y empezar a revisarlas en diferentes servicios. Y aunque se necesiten conocimientos de la dark web para acceder a muchas listas de combinaciones, Genesis Market existía en la «red limpia» (es decir, el internet «normal») hasta que fue desmantelado en 2023. Existen muchos mercados alternativos que combinan internet, la dark web y canales de Telegram.
La falta de autenticación de dos o múltiples factores nos permite extender la metáfora: los combolistas, cuando contienen contraseñas reutilizadas, no suelen interferir con las comprobaciones de seguridad adicionales. Incluso si lo hacen, los hackers pueden usarlos en otros servicios para intentar obtener un mayor acceso a la información privada de alguien.
Por qué sigue siendo importante en 2025
En ciberseguridad, es fácil distraerse con la última amenaza: una nueva vulnerabilidad, una técnica sofisticada, un colectivo de hackers con el nombre más absurdo hasta la fecha. Pero debemos centrarnos en lo fundamental.
Independientemente de las últimas noticias , la humilde contraseña seguirá siendo una vulnerabilidad durante un tiempo. Incluso si una empresa implementa la mejor tecnología de autenticación multifactor (MFA) disponible, la falta de seguridad en otros entornos podría posibilitar ataques de ingeniería social.
Solo podemos cambiar la naturaleza humana hasta cierto punto, y por eso debemos seguir insistiendo en el principio de una buena higiene de contraseñas. Si las personas comprenden que su información personal y sus servicios están en riesgo, esto puede ayudar a impulsar un mejor enfoque que también se aplique en el ámbito laboral.
Necesitamos superar la fricción que conlleva la MFA y hacer que sea una opción obligatoria para todos, desde el director ejecutivo hasta el último, sin excusas. Una buena cultura de seguridad requiere la participación de todos.
Como la confiable cinta adhesiva, la lista de combos estará presente por mucho tiempo, siendo una herramienta eficaz en el arsenal del ciberdelincuente. Ante cualquier nueva amenaza que surja, los expertos en ciberseguridad deben tener esta técnica presente.
Fuente y redacción: helpnetsecurity.com
