Contraseñas y segundo factor: lo primero que hay que arreglar en una empresa
El 100 % de los incidentes que hemos visto en empresas pequeñas empezó por una credencial. Qué hacer esta semana, qué segundo factor elegir y cómo se gestionan los accesos cuando alguien se va.
· Seguridad
Antes de invertir en cualquier otra medida de seguridad, hay una que devuelve más que todas las demás juntas y no cuesta prácticamente nada: arreglar cómo se gestionan las credenciales.
El motivo es simple. Los incidentes que sufre una empresa pequeña casi nunca empiezan con una vulnerabilidad exótica: empiezan con una contraseña reutilizada que apareció en una filtración de otro servicio.
Por qué la contraseña reutilizada es el problema
Alguien de tu equipo se registró hace seis años en un foro cualquiera con su correo del trabajo y una contraseña. Ese foro sufrió una filtración. Esa pareja correo-contraseña lleva años circulando.
Los ataques no adivinan contraseñas: prueban las que ya tienen, automáticamente, contra miles de servicios. Si esa misma contraseña abre el correo corporativo, ya está. Y a partir del correo se llega a todo lo demás, porque el correo es donde se recuperan las contraseñas de los otros servicios.
De ahí sale el fraude del cambio de cuenta bancaria que contamos en cómo roban una transferencia a una empresa.
Lo que hay que hacer, en orden
1. Segundo factor en el correo, hoy
Si solo vas a hacer una cosa de esta lista, que sea esta. Con segundo factor activo, una contraseña filtrada no basta para entrar.
Y no todos los segundos factores valen lo mismo:
- SMS: mejor que nada, pero es el más débil. Existe el fraude de duplicado de tarjeta SIM.
- Aplicación de códigos: buena opción, gratuita y suficiente para la mayoría.
- Llave física o clave de acceso: lo más robusto, y lo único que resiste bien el phishing, porque no se puede «teclear» en una web falsa.
2. Un gestor de contraseñas para el equipo
Es la pieza que hace posible todo lo demás. Con un gestor, cada servicio tiene una contraseña distinta y larga que nadie necesita recordar.
Lo que resuelve además, y es lo que más se subestima: deja de haber contraseñas en post-its, en un Excel compartido o en un chat. Y permite compartir un acceso sin revelar la contraseña, y retirarlo después.
3. Comprobar qué correos tuyos están en filtraciones
Existen servicios públicos y gratuitos que dicen si una dirección aparece en filtraciones conocidas. Compruébalo con las cuentas de tu empresa. Es información pública que los atacantes ya tienen; lo raro es que la víctima sea la última en mirarla.
4. Revisar quién tiene acceso a qué
Haz la lista de servicios de la empresa y, para cada uno, quién entra. Lo que aparece siempre:
- Ex-empleados con acceso vigente.
- Proveedores antiguos que siguen dentro.
- Cuentas compartidas con la contraseña que sabe todo el mundo.
- Personas con permisos de administración que no necesitan.
5. Un procedimiento de salida
Cuando alguien deja la empresa, una lista escrita de qué se revoca y en qué orden, ejecutada el mismo día. Sin esa lista, siempre queda algo abierto — y suele descubrirse meses después.
Lo que ya no se recomienda
Dos prácticas heredadas que conviene abandonar:
Obligar a cambiar la contraseña cada 90 días. Las guías actuales de referencia desaconsejan la caducidad periódica sin motivo: produce contraseñas peores y predecibles, con un número al final que sube de uno en uno. El cambio se fuerza cuando hay indicio de compromiso.
Las reglas de composición barrocas. Exigir mayúscula, número y símbolo produce contraseñas cortas y difíciles de recordar. La longitud importa mucho más que la complejidad: una frase larga es mejor y más fácil de recordar que ocho caracteres con símbolos.
El plan de esta semana
- Lunes: segundo factor en el correo de todo el equipo.
- Martes: gestor de contraseñas contratado y cuentas creadas.
- Miércoles: cambiar las contraseñas de los servicios críticos, empezando por banca y correo.
- Jueves: revisar accesos y retirar los que sobran.
- Viernes: escribir el procedimiento de alta y baja de accesos, y guardarlo donde se encuentre.
Cinco días, coste casi nulo, y elimina la vía de entrada de la mayoría de los incidentes.
Si esto es tu caso
Implantarlo con el equipo —incluida la parte incómoda, que es que la gente lo use de verdad— es seguridad y cumplimiento. Lo demás del mínimo razonable está en lo mínimo que hay que tener, y la otra mitad, en copias de seguridad.
Y si tratas datos de clientes, esto no es solo prudencia: las medidas de seguridad son una obligación, y su ausencia agrava cualquier incidente. Está en el registro de actividades de tratamiento.
Somos Mindset & Code: automatización, datos y desarrollo para pymes y autónomos. Puedes ver qué hacemos y a qué precio.
Fuentes: INCIBE, guías de gestión de credenciales y doble factor para pymes; NIST SP 800-63B, directrices de identidad digital que desaconsejan la caducidad periódica de contraseñas y las reglas de composición. Guía informativa.