Al salir tienes tu correo principal con segundo factor activo, sabes por qué la longitud gana a la complejidad y tienes un plan para tus 5 cuentas críticas.
90 min · presencial o virtualAsesoría ProTech · Fabio Arias
La sesión en 5 movimientos
1 · Por qué caen
Los 3 ataques reales y el mito de la complejidad.
2 · Cementerio
Doce contraseñas: fuerte, débil y por qué.
3 · Las capas
Gestores, MFA y passkeys en orden de potencia.
4 · Auditoría express
Celular en mano: blindas TU identidad en 15 minutos.
5 · Checklist
Hábitos que sostienen todo esto el lunes.
“La contraseña del CEO de Twitter nunca salió de su equipo. Le robaron el número: su ‘segundo factor’ por SMS empezó a sonar en el celular de otra persona.”
Jack Dorsey, SIM swapping · agosto 2019
BLOQUE 1
Por qué la contraseña ya no basta
Nadie “adivina” claves en una pantalla negra: las rompen a escala industrial, o las reutilizan hasta que caen.
Los 3 ataques que sí pasan
Ataque
Cómo funciona
Qué lo detiene
Fuerza bruta
Probar combinaciones sin parar contra el login
Longitud + bloqueo de intentos
Diccionario
Probar palabras y variantes: P@ssw0rd!, V3rano2024!
No usar palabras reales ni patrones
Credential stuffing
Pares usuario:clave filtrados en OTRO sitio, probados aquí
No reutilizar jamás + MFA
El tercero es el que más cuentas tumba: no ataca tu fortaleza, ataca tu costumbre.
El mito de la complejidad
Años pidiendo “mayúscula, número y símbolo”. Resultado: Verano2024! — predecible y débil.
El estándar técnico cambió (NIST SP 800-63B): longitud sobre complejidad, mínimo 12 a 16 caracteres.
Permitir pegar (para usar gestores) y no forzar rotación sin motivo: la rotación compulsiva empeora las claves.
Filtrar contra listas de filtraciones (Have I Been Pwned): si ya salió a internet, no sirve.
Lo que de verdad mide la fuerza
Verano2024!
~30 bits · horas
caballo-bateria-ventana-cactus
~90 bits · siglos
K7$mP2!xL9@nQ (generada)
~92 bits · siglos
Regla práctica: 4 palabras al azar son más fuertes Y memorables que 8 caracteres retorcidos.
Mejor aún: que un gestor genere y recuerde por ti. Tú solo eliges la maestra.
El error más caro: reutilizar
La matemática del desastre
Una clave en 50 sitios significa que el sitio MÁS INSEGURO de los 50 decide la seguridad de los otros 49. El filtro de una tienda de zapatillas no es tu banco… pero comparten tu secreto.
¿La tuya ya salió?
haveibeenpwned.com agrega filtraciones públicas: escribe tu correo y te dice en cuáles apareció. No muestra contraseñas: solo si estás comprometido.
⏱ 15 minutos · en parejas
El cementerio de contraseñas
Reciben: 12 contraseñas de una “empresa real” (ficticia).
Deciden por cada una:fuertedébil y en una palabra el por qué.
Bonus: ¿cuáles creen que ya están en listas de filtración? ¿cuál salvaría un banco?