La nueva técnica con la que los hackers pueden robar tu contraseña sin que te des cuenta
Estamos en la era de la virtualidad y las plataformas online. Eso, inevitablemente, se traduce en muchas contraseñas ‘para todo’. Para el banco, tu cuenta de Instagram, LinkedIn y un largo etcétera. Como muchas de las cosas que antes se hacían presencialmente hoy se han llevado a internet, los ciberdelincuentes se las ingenian para robar y suplantar la identidad de los usuarios de diferentes formas. Antes robaban carteras y ahora buscan engañar al usuario para que, mientras crece que no hay peligro, el delincuente pueda robar sin problema.
Cada vez que vamos a crear un usuario nuevo en cualquier plataforma, suele aparecer una alerta que nos recomienda utilizar mayúsculas, números y símbolos. Esta es la forma más segura conocida hasta el momento, pero en ocasiones ni siquiera este sistema nos salva. Actualmente, los hackers no requieren de ordenadores de grandes rendimientos, potencias de cálculo increíbles o IA. Utilizan una forma mucho más sencilla para adivinar qué estamos pensando cuando colocamos nuestras contraseñan, apelan al hecho de que los humanos somos predecibles.
Actualmente, los hackers no requieren de ordenadores de grandes rendimientos, potencias de cálculo increíbles o IA
Cómo consiguen tu contraseña
Algunas empresas solicitan a sus empleados que cambien su contraseña de acceso cada cierto tiempo (por ejemplo, tres meses). Piden a todos que sigan una serie de normas de complejidad, que se inventen algo aleatorio para que nadie pueda descifrarlo. Pero es precisamente esa búsqueda de fortaleza la que se convierte en nuestro lado más vulnerable. Generalmente, buscas lo primero que tienes delante. Los atacantes lo saben y ya han empezado a utilizar herramientas que leen tu entorno para atacarte de forma silenciosa.
La clave de su engaño está en CeWL, un programa de código abierto dedicado a rastrear sitios webs para procesar todas las palabras que aparecen. Ya no intentan adivinar tu contraseña utilizando la fecha de tu cumpleaños o probando la secuencia ‘123456’.
En su lugar, este software crea una lista personalizada que tanto tú como tu entorno utilizáis de manera constante. Cuando tiene recopilada la jerga corporativa, el ciberdelincuente cuenta con el 90% del trabajo hecho. No siempre, pero sí en varias oportunidades. No le es necesario probar millones de combinaciones. Solo debe agregar palabras clave con el clásico 2026 o 2027, según el año, y una mayúscula al principio o al final, con un símbolo como una exclamación o interrogación.
Usan herramientas como Hashcat para aplicar reglas de mutación. Por ejemplo, si trabajas en una agencia de viajes, toma la palabra viajes y genera automáticamente todas las variantes posibles: ViAjeS, Viajes2026, ViajeS1!, etc. Como el ser humano suele seguir patrones predecibles, en muchas ocasiones el software termina encontrando la combinación correcta, permitiendo que el hacker encuentre la combinación correcta en cuestión de segundos.
Poner palabras clave de tu empresa o incluso el propio nombre es ponérselo muy fácil a los hackers para que puedan ingresar.
Los atacantes ya han empezado a utilizar herramientas que leen tu entorno para atacarte de forma silenciosa
Otras formas en las que los hackers pueden obtener tu contraseña
‘Jugar a las adivinanzas’ no es la única manera en la que los hackers actúan. Otra forma es publicar anuncios maliciosos en Google, diseñados para llevar a los usuarios a perfiles falsos. ¿Qué pasa cuando llegan allí? Los ciberdelincuentes los engañan imitando gestores populares como 1Password o Bitwarden. Parecen legítimos, pero llevan a páginas creadas para recopilar direcciones de correo, claves maestras y datos sensibles.
ESET, compañía especializada en ciberseguridad, detectó el uso de un malware diseñado exclusivamente para robar credenciales almacenadas en aplicaciones. Esta operación malintencionada se le atribuyó a un grupo vinculado a Corea del Norte. En esa oportunidad, el malware estaba oculto en archivos enviados como parte de una presunta entrevista laboral. Contenía funciones para extraer datos desde extensiones del navegador y desde gestores como 1Password y Dashlane.
La misma empresa de ciberseguridad ha alertado sobre el auge de aplicaciones falsas que imitan a gestores de contraseñas legítimos.
‘Jugar a las adivinanzas’ no es la única manera en la que los hackers actúan
Cómo evitar que los hackers adivinen tu contraseña
La solución a este problema es no poner contraseñas que sean predecibles y fáciles de interceptar por los hackers. Es decir, el nombre de la empresa o el producto principal no debe utilizarse como contraseña para los empleados. Si lo aplicamos en contraseñas de particulares, hay que excluir fechas de cumpleaños, días de aniversario y frases típicas que utilices comúnmente.
Algunas personas ya han empezado a utiliza gestores de contraseñas o las llamadas passkeys (llaves digitales). Si la contraseña la genera una máquina de manera aleatoria, no será posible que aparezca ninguna palabra corporativa. También hay que mantenerse alerta ante posibles sitios fraudulentos, evitando ingresar y después pensarlo.
Es prudente establecer una contraseña que sea una frase larga y única, activar siempre la autenticación en dos pasos, mantener actualizado todo el software relacionado con el gestor de contraseñas y descargar aplicaciones solo desde tiendas oficiales.
Puede parecer un detalle menor, pero elegir bien nuestras contraseñas es una de las decisiones más importantes hoy en día. Protege tus cuentas bancarias, el acceso a tus conversaciones privadas e incluso a documentos confidenciales de tu trabajo. A menudo, subestimamos estos pequeños gestos, pero acciones tan simples como asegurar tu red Wi-Fi o dedicar unos minutos a crear una buena contraseña pueden marcar una gran diferencia y evitarte más de un dolor de cabeza en el futuro.
