Cuánto tarda un hacker en descubrir una contraseña y qué influye

Preguntar cuánto tarda un hacker en descubrir una contraseña parece una cuestión con respuesta de cronómetro: diez minutos, tres días, veinte años… Pero la realidad es bastante menos cinematográfica. El tiempo depende de la contraseña, del método usado, del sistema atacado y de si el ciberdelincuente está intentando adivinarla o ya dispone de información que le ayude.

Además, no todos los ataques consisten en probar contraseñas una detrás de otra en una pantalla de inicio de sesión. Un servicio bien protegido limita los intentos fallidos, mientras que una base de datos de contraseñas obtenida tras una brecha puede permitir ataques offline mucho más rápidos. NIST distingue claramente ambos escenarios.

Por eso, las contraseñas inseguras no son únicamente las cortas. También lo son las previsibles, reutilizadas o ya expuestas en una filtración. «Madrid2026!» puede parecer más sofisticada que «madrid», pero sigue una lógica bastante fácil de anticipar. Y cambiar un año por otro tampoco convierte la contraseña en Fort Knox.

La respuesta a cuánto tarda un hacker en descubrir una contraseña cambia mucho según el caso. Una contraseña larga, aleatoria y exclusiva puede resistir ataques de fuerza bruta durante muchísimo tiempo, mientras que una clave corta y frecuente puede aparecer muy pronto en una lista de intentos. CISA recomienda contraseñas largas, aleatorias y únicas; su material divulgativo actual sitúa la referencia en 16 caracteres o más.

Cuánto tarda un hacker en descubrir una contraseña según el ataque

Imagina dos puertas. En la primera, alguien puede probar una llave cada pocos segundos. En la segunda, existe un vigilante que bloquea la entrada después de varios intentos. El ladrón tendrá un problema muy distinto en cada caso. Eso mismo sucede con las cuentas online.

No todas las contraseñas se atacan igual

En un ataque de fuerza bruta se prueban muchas combinaciones. Los ataques de diccionario son más listos: empiezan con palabras y contraseñas habituales. Por eso una frase larga y poco previsible puede ser mucho más resistente que una clave corta llena de símbolos.

NIST señala que la longitud es un factor principal de la resistencia de una contraseña y recomienda permitir contraseñas largas y frases de contraseña. También desaconseja obligar al usuario a combinar mayúsculas, números y símbolos mediante reglas rígidas, porque esas normas suelen generar patrones previsibles. «Contraseña1!» no es precisamente una obra maestra de ingeniería.

Hay otro detalle importante: cuánto se tarda en hackear una contraseña no depende únicamente de la clave. Si el servicio limita los intentos, un atacante no puede probar millones de combinaciones desde la pantalla de acceso. NIST considera el control de velocidad de los intentos una defensa esencial frente a los ataques online.

El escenario cambia si un atacante consigue una base de datos con contraseñas almacenadas de forma insegura. En ese caso puede trabajar offline. OWASP recomienda almacenar las contraseñas mediante funciones específicas y lentas, como Argon2id, bcrypt o PBKDF2, junto con un salt único. Así, cada intento resulta más costoso.

También conviene entender algo que suele pasarse por alto. Una contraseña puede ser excelente y, aun así, caer ante phishing, malware o ingeniería social. NIST señala que estos ataques no dependen de la longitud o complejidad de la contraseña: si alguien consigue que se la entregues, el «tiempo de descifrado» deja de importar.

Por eso, cuánto tiempo se tarda en descifrar una contraseña no debería ser la única pregunta. También importa si esa clave aparece en una filtración, si se utiliza en otras cuentas y qué protección adicional existe.

• Longitud: una contraseña más larga suele resistir mejor los ataques de fuerza bruta. NIST recomienda permitir al menos 64 caracteres y favorecer las frases de contraseña.
• Aleatoriedad: «CasaOviedo123» tiene más información que «casa», pero sigue siendo previsible. Una clave generada aleatoriamente ofrece mucha más resistencia.
• Unicidad: si una contraseña se reutiliza y una web sufre una brecha, los atacantes pueden probar esas credenciales en otros servicios. Una contraseña distinta en cada cuenta limita ese efecto.
• Filtraciones: una clave que ya aparece en una base de datos comprometida no debería seguir utilizándose. Have I Been Pwned permite comprobar contraseñas expuestas sin enviar la contraseña completa al servicio, mediante un sistema de k-anonymity.
• Límite de intentos: el bloqueo o control de velocidad dificulta los ataques online. Por eso la seguridad de una contraseña también depende del sistema que la protege.
• Gestor de contraseñas: permite generar claves largas, aleatorias y diferentes sin obligarte a memorizarlas todas. CISA y NIST recomiendan su uso como ayuda práctica.
• MFA: añadir un segundo factor significa que conocer la contraseña no basta. CISA destaca la autenticación multifactor como una capa adicional frente al acceso no autorizado.

En resumen, cuánto tarda un hacker en descubrir una contraseña no tiene una cifra fija. Una clave corta y previsible puede caer con rapidez; una contraseña larga, aleatoria y exclusiva cambia por completo el escenario. Y, además, un buen sistema de protección y el MFA pueden importar tanto como la propia contraseña.