Steven LafortuneYa está disponible la edición de 2025 del informe «Top 200 Most Common Passwords» de NordPass. Las contraseñas débiles y predecibles se siguen usando en todas partes, y los mismos patrones conocidos no dejan de reaparecer.
Sobre el informe
El informe de este año se basa en un esfuerzo conjunto de NordPass y NordStellar, elaborado con investigadores independientes especializados en incidentes de ciberseguridad. Analizaron filtraciones de datos públicas recientes y repositorios de la dark web desde septiembre de 2024 hasta septiembre de 2025, y organizaron los resultados de 44 países. Por primera vez, también examinaron los hábitos de contraseñas por generación, utilizando los metadatos disponibles para relacionar las contraseñas con grupos de edad.
El top 10
«123456» vuelve a encabezar la lista global de las contraseñas más comunes. Ha ostentado este dudoso honor durante seis de los últimos siete años. El resto del top 10 lo completan:
- admin
- 12345678
- 123456789
- 12345
- password
- Aa123455
- 1234567890
- pass@123
- admin123
Los patrones que no dejan de aparecer
No hace falta un equipo de analistas para darse cuenta de que ciertos patrones y temas destacan por sí solos:
- Contar hacia arriba: 12345, 123456, 12345678, 1234567890
- Palabras comunes y sus variaciones: «password», «pass»
- Nombres más números: combinaciones del tipo «nombre + 123»
- «Complejidad falsa»: sustituir letras por símbolos de forma predecible (por ejemplo, «P@ssw0rd»)
Las malas contraseñas no tienen edad
Uno de los hallazgos más interesantes del informe es lo similares que son las elecciones de contraseñas entre grupos de edad. Los investigadores descubrieron que la mala elección de contraseñas es común en todas las generaciones, y que «12345» y «123456» aparecen en los primeros puestos o cerca de ellos en todos los grupos.
Dicho esto, resulta esclarecedor observar las diferencias generacionales, ya que insinúan por qué persisten las contraseñas débiles:
- La generación Z es la más propensa a inspirarse en la cultura pop y la jerga de internet para crear contraseñas (por ejemplo, «skibidi»).
- Los millennials y la generación X no son tan informales como sus homólogos de la generación Z, pero siguen apoyándose en estructuras predecibles y a menudo buscan cumplir las reglas de contraseñas con el mínimo esfuerzo (por ejemplo, «Aa123455» o «pass@123»).
- Los baby boomers y usuarios de más edad tienden más a usar palabras conocidas, nombres o secuencias numéricas sencillas. Esto podría reflejar una preferencia por la comodidad y la facilidad para recordar por encima de la complejidad.
La conclusión no es que una generación sea «peor» que otra en cuanto a la elección y los hábitos de contraseñas. Es que cada generación tiene su propia versión de la misma estrategia de afrontamiento: en general, las personas eligen lo que pueden recordar, y lo hacen de forma que resulte fácil de adivinar. Este enfoque no resiste bien los ataques de adivinación modernos, especialmente cuando los atacantes pueden probar enormes volúmenes de contraseñas probables con rapidez y, después, reutilizar lo que funciona mediante el relleno de credenciales (credential stuffing) en otros sitios.
El camino a seguir
Como saben muchos profesionales de TI por una amplia (y desalentadora) experiencia, si la solución a este problema tan extendido depende de que los usuarios finales mejoren de repente y de forma drástica sus hábitos de contraseñas, entonces fracasará. Los usuarios finales han sido, son y siempre serán el eslabón más débil de la cadena de seguridad, y las contraseñas siguen siendo el vector más vulnerable de la superficie de ataque. Esperar que esto cambie no es una buena práctica: es solo un deseo.
Por lo tanto, el enfoque debería centrarse en políticas y herramientas que impidan las peores elecciones, faciliten al máximo las buenas elecciones y hábitos, y limiten los daños cuando los atacantes inevitablemente logren colarse. A continuación, seis estrategias para cerrar la brecha y reducir el riesgo:
1. Facilite credenciales seguras desde el diseño
Permita contraseñas y frases de contraseña largas, y evite reglas de complejidad rígidas que empujen a las personas hacia patrones predecibles (como «pass@123» o «Aa123455»). Combine esto con orientaciones claras como «use una frase corta que pueda recordar» para fomentar contraseñas más seguras con menos frustración.
2. Bloquee las contraseñas conocidas como débiles antes de que se establezcan
Añada controles de contraseñas prohibidas que rechacen las contraseñas más comunes y comprometidas, incluidas sus variaciones. Esto detiene «123456», «password» y «admin123» en la puerta de entrada, e impide que los usuarios elijan algo que los atacantes ya adivinan en primer lugar.
3. Exija unicidad y reduzca la reutilización con un gestor de contraseñas
Convierta las contraseñas únicas en algo innegociable, y respalde esta medida con un gestor de contraseñas para que los usuarios no tengan que memorizar decenas de inicios de sesión. Es una de las formas más eficaces de acabar con el relleno de credenciales.
4. Establezca la autenticación multifactor (MFA)
Si implementar la MFA en todas partes resulta un proyecto demasiado grande por el momento, priorice primero las cuentas administrativas, los sistemas financieros, las plataformas de RR. HH. y el acceso remoto. Por lo general, son las cuentas que los atacantes eligen como objetivo para causar el máximo daño.
5. Detecte y corrija la exposición con rapidez
Sustituya rápidamente las credenciales conocidas como débiles o reutilizadas, especialmente en el caso de las cuentas privilegiadas y de alto impacto (como se indica en el punto 4). Combine esto con la supervisión de credenciales filtradas y alertas cuando una contraseña reutilizada aparezca en datos de filtraciones, de modo que puedan restablecerse antes de que los atacantes se aprovechen de ellas.
6. Reduzca las contraseñas con el tiempo mediante inicios de sesión resistentes al phishing
Cuando tenga sentido hacerlo, pase a las claves de acceso (passkeys). Esto elimina de la ecuación el secreto reutilizable y dificulta mucho más que los atacantes roben algo que puedan usar en otro sitio.
La última palabra
La última lista de las contraseñas más comunes de NordPass no resulta preocupante porque sea sorprendente. Resulta alarmante porque nos resulta familiar. Cuando las organizaciones se centran en eliminar la fricción, estandarizar los controles adecuados y añadir capas de protección como la MFA y las claves de acceso, dejan de apostar por un comportamiento perfecto de los usuarios y empiezan a construir una resiliencia real.
