Este artículo se basa en investigaciones de ciberseguridad de acceso público, informes del sector y prácticas de seguridad ampliamente aceptadas. Cuando se menciona experiencia personal, se indica explícitamente.

Resumen rápido

Las contraseñas creadas por humanos siguen patrones predecibles que los atacantes explotan con ataques de diccionario y basados en reglas.
Incluso contraseñas que parecen "ingeniosas", como L!nk3d1n2020, caen en minutos porque siguen reglas de sustitución comunes.
Las contraseñas generadas por CSPRNG eliminan las herramientas más poderosas del atacante: los diccionarios y las reglas.
Usa un gestor de contraseñas con una contraseña maestra fuerte, activa el MFA y nunca reutilices contraseñas.

Respuesta corta

Después de quince años en pruebas de penetración, puedo confirmar que las contraseñas creadas por humanos son sistemáticamente el eslabón más débil en las evaluaciones de seguridad. Los atacantes no adivinan contraseñas una por una: automatizan ataques usando diccionarios con miles de millones de contraseñas reales y transformaciones basadas en reglas. Contraseñas como Tiger2021! se descifran en minutos porque siguen patrones que los humanos no pueden evitar usar: una palabra, una mayúscula, números al final. La única defensa real es eliminar por completo esa previsibilidad humana mediante generación aleatoria criptográficamente segura.

Para una generación rápida, usa el Generador de Contraseñas. Para más contexto, lee La Entropía de las Contraseñas Explicada, Gestor de Contraseñas vs Navegador, ¿Qué Longitud Debe Tener una Contraseña?, y ¿Es Seguro Usar Generadores en Línea?.

Una brecha que la mayoría olvidó — pero no debería

En 2012, LinkedIn sufrió lo que fue, en su momento, una de las mayores brechas de datos de la historia. Análisis posteriores mostraron que se expusieron aproximadamente 167 millones de registros de cuentas, y alrededor de 117 millones de ellos incluían direcciones de correo electrónico y hashes de contraseñas.

Cuando los equipos de seguridad examinaron las contraseñas descifradas, los resultados fueron dolorosamente familiares. password1, linkedin123 y elecciones igual de descuidadas aparecieron por millones. Más interesante —y más preocupante— es que incluso contraseñas que parecían ingeniosas, como L!nk3d1n2020, cayeron rápidamente. ¿Por qué? Porque seguían patrones que los humanos casi siempre usan.

Llevo más de quince años trabajando en pruebas de penetración de ciberseguridad. Mi trabajo consiste en entrar en sistemas —legalmente— usando los mismos métodos que emplean los atacantes reales. Las contraseñas no son un tema teórico para mí; son algo que veo fallar en la práctica todos los días.

Cómo se atacan realmente las contraseñas

Para entender por qué algunas contraseñas sobreviven y otras no, hay que mirar el lado del atacante. Los atacantes no se sientan a adivinar contraseñas una por una. Lo automatizan todo.

Ataques de diccionario: Se basan en enormes colecciones de contraseñas reales, palabras, frases y variaciones recopiladas a lo largo de años de filtraciones de datos. Estos diccionarios contienen miles de millones de entradas y siguen creciendo.
Ataques basados en reglas: Son devastadoramente eficaces contra la creatividad humana. Las herramientas aplican automáticamente hábitos comunes: cambiar "o" por "0", añadir "123" o "!" al final, poner en mayúscula la primera letra, insertar un año, etc. La mayoría de las contraseñas "ingeniosas" caen justo aquí.
Fuerza bruta: Probar todas las combinaciones posibles. Suena aterrador, pero frente a contraseñas largas y verdaderamente aleatorias, almacenadas con algoritmos de hash modernos, la fuerza bruta se vuelve rápidamente poco práctica simplemente porque tarda demasiado.

El problema de las contraseñas autocreadas

Nos gustan las contraseñas que inventamos nosotros mismos porque se sienten personales y fáciles de recordar. Desafortunadamente, la investigación —y la experiencia— demuestran que también son muy predecibles.

Los patrones se repiten: Estudios a gran escala, incluido el trabajo de la Universidad Carnegie Mellon, muestran de forma consistente las mismas estructuras: una palabra o nombre, una mayúscula al principio, y números o símbolos al final. El contenido cambia, pero la forma se mantiene. Una vez que los atacantes modelan esa estructura, el descifrado se vuelve drásticamente más rápido.
La longitud tiene un techo: La mayoría de las contraseñas creadas por usuarios tienen entre 8 y 10 caracteres. No porque la gente no sepa que más largo es más seguro, sino porque la memoria nos empuja hacia cadenas más cortas.
La información personal se filtra: Cumpleaños, nombres de mascotas, aniversarios... la gente los usa constantemente. Y en la era de las redes sociales, los atacantes a menudo ni siquiera necesitan adivinar.

Por qué las contraseñas aleatorias juegan un juego diferente

Una contraseña creada por un generador de contraseñas aleatorias seguro —algo como r8$NpL#2qW9— no es simplemente "más compleja". Es fundamentalmente diferente.

Cada carácter se elige de forma independiente. No hay palabras, ni sustituciones, ni lógica humana. Ese único hecho elimina las herramientas más poderosas del atacante: los diccionarios y las reglas.

Desde una perspectiva numérica:

Una contraseña de 8 caracteres usando solo minúsculas tiene alrededor de 26⁸ posibilidades (~209 mil millones).
Añade mayúsculas, números y símbolos, y de repente estás en torno a 95⁸ (~6 mil billones).
Llévalo a 12 caracteres y el espacio se vuelve astronómicamente grande.

Pero la verdadera ventaja no es solo el tamaño: es que las contraseñas aleatorias obligan a los atacantes a recurrir a la fuerza bruta, que es lenta, costosa y a menudo no vale la pena el esfuerzo.

Cómo se ve descifrar estas contraseñas en la práctica

Desde el punto de vista de un pentester, la diferencia es notable:

Tipo de contraseña	Ejemplo	Método del atacante	Tiempo de descifrado
Autocreada	`Tiger2021!`	Diccionario y basado en reglas	Minutos a horas
Generada aleatoriamente	`r8$NpL#2qW9`	Fuerza bruta pura	Años / Siglos

Si la contraseña está correctamente hasheada con algo como bcrypt o Argon2, la fuerza bruta contra la cadena aleatoria implica un plazo que hace inviable el ataque. En la mayoría de los casos reales, el atacante simplemente sigue adelante.

El verdadero compromiso: humanos frente a aleatoriedad

La mayor debilidad de las contraseñas aleatorias no es la seguridad, es la usabilidad. Los humanos son pésimos recordando cadenas sin sentido. Esa es la tensión central en la seguridad de las contraseñas:

Las contraseñas que los humanos recuerdan bien tienden a ser débiles.
Las contraseñas que son fuertes tienden a ser imposibles de memorizar.

Las prácticas de seguridad modernas existen precisamente para cerrar esa brecha.

Lo que realmente funciona hoy

Basado en el consenso de la industria y la experiencia del mundo real:

Usa un gestor de contraseñas: Herramientas como Bitwarden o 1Password te permiten depender de una única contraseña maestra fuerte, mientras que todo lo demás es largo, aleatorio y único. Esto se considera ampliamente la mejor opción para la mayoría de las personas.
Si debes memorizar, usa longitud: Una cadena de palabras sin relación entre sí (por ejemplo, coffee-zebra-battery-stapler) suele ser más resistente a los ataques —y más fácil de recordar— que una contraseña corta y cargada de símbolos.
Nunca reutilices contraseñas: Una vez que un sitio se ve comprometido, la reutilización lo convierte en un efecto dominó.
Activa el MFA: Correo electrónico, banca, cuentas en la nube: usa siempre la autenticación multifactor.
Comprueba tu exposición en brechas: Servicios como Have I Been Pwned te permiten ver si tu correo electrónico aparece en conjuntos de datos de brechas conocidas.

Puntos clave

Las contraseñas humanas siguen patrones estructurales repetibles (palabra + número + símbolo).
Los ataques de diccionario contienen miles de millones de contraseñas reales procedentes de filtraciones.
Los ataques basados en reglas aplican automáticamente sustituciones comunes (o→0, a→@, añadir 123 o !).
Las contraseñas aleatorias de 12 o más caracteres obligan a los atacantes a usar fuerza bruta, algo computacionalmente inviable frente al hash moderno.
Los gestores de contraseñas cierran la brecha entre seguridad y usabilidad.

Conclusión

La creatividad humana no puede competir con las herramientas de ataque automatizadas. Las únicas contraseñas que sobreviven a pruebas de penetración reales son las generadas por CSPRNG, donde cada carácter es independiente e impredecible. Esto no es un debate filosófico sobre si los humanos o las máquinas crean "mejores" contraseñas: es gestión de riesgos. Los ordenadores son buenos generando aleatoriedad, y los humanos son buenos protegiendo un único secreto y respondiendo a avisos como el MFA. Deja que cada uno haga lo que mejor sabe hacer.

¿Listo para mejorar tu seguridad? Genera ahora una contraseña fuerte y sin conexión para proteger tus cuentas de inmediato.

Por qué puedes confiar en PassGenerate

Las contraseñas se generan localmente en tu navegador usando la API Web Crypto.
No se transmite ninguna contraseña a servidores.
Utiliza un generador de números pseudoaleatorios criptográficamente seguro (CSPRNG).
Sigue las mejores prácticas de seguridad modernas recomendadas por NIST y OWASP.

Referencias

NIST SP 800-63B – Directrices de Identidad Digital
OWASP Password Storage Cheat Sheet
OWASP Authentication Cheat Sheet
Documentación de la API Web Crypto de MDN
Guía de Contraseñas de CISA

Por qué los atacantes adoran las contraseñas creadas por humanos