¿Cuánto se tarda en hackear una contraseña? Menos de lo que imaginas
(Actualizado a 13/11/2025)
¿Cuánto se tarda en hackear una contraseña? Cómo no, es algo variable. Depende, sobre todo, del tipo de combinación que elijas y de su longitud. Cuanto más corta y menos compleja sea, más fácil les resultará a los cibercriminales encontrarla. A veces, de forma instantánea. Otras, en segundos. ¿Qué podemos hacer para protegernos?
Antes que nada, repasemos las recomendaciones generales para crear una contraseña. Normalmente, una contraseña fuerte requiere el uso de números, letras (tanto mayúsculas como minúsculas) y símbolos. Cuanto más larga, mejor. Si damos por supuesto que el sistema bloqueará el acceso en cuanto se supere un determinado número de intentos, eso convierte en una misión casi imposible que un posible intruso la adivine tratando de introducirla físicamente con un teclado. Si sólo usamos cuatro números, como, por ejemplo, el PIN de un móvil o de una tarjeta de crédito, hablamos de 10.000 posibles combinaciones. Parece mucho. Pero, en realidad, no es tanto. Crear un programa que vaya variando la IP, por ejemplo, cada vez que haya un bloqueo, y que vaya probando números no es algo realmente tan complejo, por mucho que lleve tiempo.
La realidad, no obstante, es que ningún ciberdelincuente pierde el tiempo en hacerlo de esa manera. Hay una forma más rápida y práctica de encontrarlas. Antes que nada, cómo no, debes saber que una contraseña no se guarda en un formato que resulta legible. Lo que se hace es aplicarle un algoritmo de encriptación por medio de software y lograr así un hash resultante. Uno de los más utilizados, a pesar de que se ha visto ya superado por nuevas versiones, es el MD5. Tal y como señalaban en 2022 desde Hive Systems, por ejemplo, usando este estándar, el hash resultante de la palabra password sería 5f4dcc3b5aa765d61d8327deb882cf99.
El método de fuerza bruta tarda en ocasiones apenas unos segundos en hackear una contraseña
Cuando se produce un robo o filtración de usuarios y contraseñas, lo que se filtra, de hecho, son esos hashes. Para descubrir qué combinaciones de caracteres corresponden a cada uno, se usa un método llamado de fuerza bruta. Por software, se van probando combinaciones y se comparan los hashes resultantes. En el pasado, eso llevaba un tiempo. Ahora, cada vez es menos. El aumento de la potencia de cálculo de un elemento tan usual como las tarjetas gráficas está convirtiéndose en un factor determinante. En el año 2022, en sólo un salto generacional, como el que va de la serie RTX 2000 a la serie RTX 3000 de Nvidia, ya se produjo una reducción considerable de ese tiempo. Si tenemos en cuenta el paso aún más pronunciado que se dio con la aparición de la serie RTX 5000 y el que significará también la irrupción de la serie RTX 6000, con sus correspondientes equivalentes con chip AMD, la reducción de los tiempos puede ser aún más exagerada. Muy especialmente, si le sumamos a esa capacidad de computación la hoy en día tan omnipresente IA.
Las pruebas realizadas en 2022 indicaban que hackear una contraseña de ocho caracteres con una combinación de números, símbolos y letras mayúsculas y minúsculas, la que se pide de forma habitual para registrarse en páginas como foros o en servicios de streaming, ya era por lo menos tres horas más rápido. En lo que anteriormente se tardaba un máximo de ocho horas, en aquel entonces se tardaba un máximo de cinco. Y, en el caso de recurrir a un servicio de computación en la nube, la realidad era aún más aterradora: sólo se tardaba 39 minutos en encontrarla. En el caso de que la combinación de la contraseña esté construida con un carácter menos, con siete en lugar de con ocho, el tiempo se reducía aún más drásticamente: 31 segundos. La inversión requerida entonces era considerable. Hoy en día, puede que no tanto. A no ser, por supuesto, que se aprovechen tarjetas con GPU de ultimísima generación, cuyo precio puede llegar a rozar los 1.500 euros.
La pregunta, una vez comprobado cuánto se tarda en hackear una contraseña con la tecnología que ya se tenía disponible en aquel entonces, resulta bastante obvia: ¿qué podíamos hacer para protegernos? Tanto en ese momento como hoy en día, las Tecnologías de la Información, en este caso, nos ofrecen varias alternativas.
Protégete con factores de doble autenticación y tecnología passwordless
El factor de doble autenticación, cómo no, es una de las grandes precauciones que podemos tomar para evitar que se haga un uso no deseado de nuestro usuario y contraseña. Algo que puede hacerse por medio de mensajes de móvil, sistemas biométricos, etc. Además, desde hace ya un tiempo hay otra alternativa que está tomando a su vez una relevancia creciente: la tecnología passwordless. Desde AWERTY, podemos ayudarte a reforzar la seguridad de tu negocio a través de la implementación de estas dos alternativas. E, incluso, por medio de una combinación de ambas. Si buscas la manera de potenciar la seguridad de tu entorno Microsoft 365, puedes contar con nuestro servicio gestionado AWERTY Ciberseguridad M365. Con él, blindamos las identidades de tus usuarios, los dispositivos, las aplicaciones y los datos.
Además, también podemos poner a tu alcance sistemas de autenticación passwordless basados en el estándar FIDO. En este caso, por medio de dispositivos que se conectan a los equipos a través del puerto USB y que se encargan de multiplicar de esta manera la protección ante posibles accesos no autorizados a los sistemas de tu negocio. Ante todo, lo que queremos es convertirnos en tu partner tecnológico de referencia. Ayudarte y guiarte para que puedas aprovechar al máximo todo lo que la transformación digital puede hacer para modernizar la gestión de tu negocio. Si tienes alguna duda o pregunta que plantearnos, ponte en contacto con nosotros. Estaremos encantados de darte una respuesta. Sin compromiso.
