La compañía de ciberseguridad Hive Systems ha publicado su esperada tabla de contraseñas 2025, un recurso que analiza cuánto tiempo tardaría un atacante en descifrar una contraseña en función de su longitud y complejidad. Los resultados son preocupantes: muchas claves que se consideran «fuertes» pueden ser vulneradas en cuestión de segundos con los recursos adecuados.
Hive Systems comenzó a elaborar esta tabla en 2020, basándose en datos de la herramienta howsecureismypassword.net, y desde entonces ha actualizado sus simulaciones anualmente para reflejar el progreso del hardware y los métodos de ataque. En esta edición, la simulación se ha realizado utilizando un sistema compuesto por 12 unidades gráficas NVIDIA RTX 5090 y el algoritmo de hash bcrypt con un factor de trabajo de 10.
Aunque la tabla de Hive Systems se basa principalmente en la capacidad de cálculo de las GPU, no debe subestimarse el impacto creciente de la inteligencia artificial en la ciberseguridad. Herramientas basadas en aprendizaje automático están empezando a identificar patrones comunes en las contraseñas humanas, lo que podría acelerar aún más los ataques de descifrado si no se adoptan prácticas adecuadas de generación de claves.
El uso de contraseñas previsibles o repetidas puede ser especialmente vulnerable frente a estos sistemas, que pueden aplicar modelos de predicción más eficientes que la fuerza bruta tradicional.
Cómo se almacenan y vulneran las contraseñas
Cuando un usuario crea una contraseña, la mayoría de los servicios no la almacenan directamente, sino que aplican una función criptográfica de hashing para protegerla. Esta función transforma la contraseña en una cadena de caracteres aparentemente aleatoria e irreversible. Por ejemplo, la palabra «password» puede convertirse en un hash como 5f4dcc3b5aa765d61d8327deb882cf99.
A pesar de este proceso, los atacantes pueden descifrar contraseñas robadas si obtienen sus versiones hasheadas, mediante técnicas como ataques por fuerza bruta o de diccionario. Estas estrategias consisten en probar millones de combinaciones posibles hasta encontrar la que genera el mismo hash. Herramientas como Hashcat, aprovechando el poder de cálculo de tarjetas gráficas de alto rendimiento, permiten llevar a cabo estos ataques de forma masiva y cada vez más eficiente.
El papel del hardware en el descifrado de contraseñas
Las tarjetas gráficas modernas, como las RTX 5090 utilizadas por Hive Systems, pueden ejecutar millones o incluso miles de millones de cálculos por segundo, lo que reduce considerablemente el tiempo necesario para vulnerar contraseñas. Incluso algoritmos de protección robustos como bcrypt pueden ser superados si los recursos y el tiempo lo permiten.
En concreto, aunque bcrypt está diseñado para ser lento y dificultar los ataques automatizados, una contraseña de ocho caracteres puede ser descifrada en cuestión de meses si se cuenta con el equipo adecuado. Si, por el contrario, el atacante dispone de menos recursos o se enfrenta a contraseñas más largas y complejas, el proceso puede llevar siglos.
El caso LastPass: una advertencia sobre malas configuraciones
El informe también subraya la importancia de una correcta configuración de los algoritmos de hash. En 2022, el gestor de contraseñas LastPass sufrió una violación de seguridad que permitió a los atacantes sustraer datos cifrados. En 2025, esa brecha fue relacionada con un robo de criptomonedas valorado en 150 millones de dólares.
Aunque LastPass utilizaba el algoritmo PBKDF2 con SHA-256, lo hacía con una configuración de solo 5.000 iteraciones, lo que resultó insuficiente para resistir un ataque prolongado. Tras el incidente, la empresa elevó su recomendación a 600.000 iteraciones, demasiado tarde para evitar el daño.
La edición 2025 de la tabla de contraseñas de Hive Systems vuelve a demostrar que la seguridad de las contraseñas no es estática. A medida que la tecnología avanza, los métodos de protección deben adaptarse, y tanto empresas como usuarios individuales deben asumir una postura proactiva frente al riesgo creciente.
Una contraseña que en 2020 podía resistir un ataque durante décadas, en 2025 puede ser vulnerada en segundos.
