Por qué es importante tener una contraseña segura: guía para empresas

Correo electrónico, aplicaciones de gestión, banca online, CRM, ERP, almacenamiento en la nube, herramientas de Recursos Humanos, accesos remotos… Una empresa utiliza decenas de servicios digitales cada día, y detrás de muchos de ellos sigue existiendo una barrera aparentemente sencilla: una contraseña.

Por eso, entender por qué es importante tener una contraseña segura no es solo una cuestión informática, sino de seguridad empresarial. Una contraseña comprometida puede dar acceso a información confidencial, facilitar la suplantación de un empleado o convertirse en la puerta de entrada a otros servicios de la organización.

Y el problema no siempre empieza con un ataque sofisticado. A veces empieza con algo cotidiano: una contraseña reutilizada, compartida entre compañeros o demasiado fácil de adivinar. El último informe anual de NordPass y NordStellar, elaborado a partir de 2,5 TB de credenciales filtradas en 44 países, lo confirma: en España, las tres contraseñas más usadas siguen siendo admin, 123456 y 12345678.

Índice

1. Por qué es importante tener una contraseña segura
2. Qué puede pasar si una contraseña se compromete
3. Cuándo hay que notificar a la AEPD
4. Cómo crear contraseñas seguras y gestionarlas
5. Doble factor y passkeys
6. Usuarios compartidos y bajas de empleados
7. ¿Qué hacer si sospechas que una contraseña ha sido comprometida?
8. NIS2, checklist y preguntas frecuentes

¿Por qué es importante tener una contraseña segura?

Una contraseña segura es importante porque es una de las primeras barreras frente al acceso no autorizado a una cuenta, aplicación o sistema. Si alguien consigue las credenciales de un usuario, puede consultar su correo y su documentación, suplantar su identidad o usar esa cuenta para intentar comprometer otros servicios.

El riesgo aumenta cuando se usa la misma contraseña en varias plataformas: una única credencial filtrada puede acabar funcionando como una llave maestra. Y las empresas no guardan solo información interna. Datos de clientes, proveedores, empleados, operaciones comerciales o documentación financiera están al alcance de las cuentas que el equipo usa a diario.

Por eso, una buena política de contraseñas no debería depender de que cada empleado decida por su cuenta cómo protegerse. Debe formar parte de la estrategia de ciberseguridad de la empresa.

Malas prácticas habituales (y no todas son contraseñas sencillas)

Al pensar en una contraseña insegura imaginamos «123456», «password» o el nombre de la empresa seguido del año. Son malas contraseñas, evidentemente. Pero hay prácticas menos obvias que generan el mismo riesgo:

Son soluciones cómodas, pero con un coste: cada vez es más difícil saber quién tiene acceso a qué. Y esa falta de control es uno de los principales problemas de seguridad de cualquier empresa.

¿Qué puede pasar si una contraseña se compromete?

Depende de la cuenta. No es lo mismo perder el acceso a una aplicación secundaria que el del correo, una cuenta de administrador, el ERP o la plataforma donde se guarda documentación confidencial. Pero hay algo importante: las cuentas no funcionan de forma aislada.

Imagina que un atacante accede al correo de un empleado. Desde ahí puede encontrar conversaciones con clientes, facturas, adjuntos, nombres de compañeros y avisos de otros servicios. Puede pedir restablecimientos de contraseña en otras plataformas o hacerse pasar por el usuario legítimo ante empleados, clientes y proveedores. Una contraseña débil no suele comprometer una sola cuenta: puede ser el principio de un problema mucho mayor.

Cuándo hay que notificar a la AEPD

Si una contraseña comprometida acaba en un acceso no autorizado a datos personales (de clientes, empleados o proveedores), deja de ser un problema puramente técnico y puede activar una obligación legal.

El Reglamento General de Protección de Datos (RGPD) exige notificar a la Agencia Española de Protección de Datos (AEPD) las violaciones de seguridad que supongan un riesgo para los derechos de las personas afectadas, en un plazo máximo de 72 horas desde que la empresa tiene constancia de ellas. Si el riesgo es alto, también puede ser necesario informar a los afectados. Además, la empresa debe documentar internamente cualquier brecha, aunque finalmente no haya que notificarla.

Por eso, ante una sospecha de credencial comprometida, la pregunta no es solo «¿cambio la contraseña?», sino también «¿esto ha podido afectar a datos personales y tenemos que notificarlo?».

Cómo crear contraseñas seguras y gestionarlas

Una buena contraseña debe ser difícil de adivinar y resistente a los intentos automatizados. Estos son los criterios clave:

• Longitud antes que complejidad. Cuanto más larga, mejor. Como referencia práctica, al menos 12-14 caracteres, y más para cuentas críticas.
• Frases de paso. Varias palabras sin relación entre sí son más fáciles de recordar y más difíciles de adivinar que una palabra corta con símbolos añadidos.
• Nada de datos personales o de empresa: nombres, fechas, el nombre de la compañía, secuencias de teclado.
• Una contraseña distinta para cada servicio.

La regla de la unicidad es la más importante. Una contraseña excelente deja de protegerte en cuanto la reutilizas: si un servicio sufre una filtración, los atacantes prueban automáticamente esa combinación de usuario y contraseña en otras plataformas. Esta técnica se conoce como credential stuffing.

¿Cómo recordar tantas contraseñas distintas? Con un gestor

La respuesta es que no deberíamos tener que hacerlo. Pedir a una persona que recuerde una contraseña larga y única para cada aplicación acaba provocando justo las malas prácticas que queremos evitar.

Para eso existen los gestores de contraseñas: almacenan las credenciales de forma cifrada, las autocompletan y generan claves robustas y diferentes para cada servicio, con una única contraseña maestra. En una empresa el cambio es importante: en vez de credenciales repartidas entre documentos, navegadores, correos y la memoria de cada empleado, hay un sistema. Los gestores corporativos permiten además compartir accesos de forma controlada, ver quién accede a qué y retirar permisos al instante.

En una empresa conviene activarlo, como mínimo, en el correo corporativo, las aplicaciones de gestión, el almacenamiento en la nube, los accesos remotos y las cuentas con privilegios elevados. Cuanto mayor sea el impacto de perder una cuenta, mayor debe ser su protección.

¿Y las passkeys? El siguiente paso más allá de la contraseña

Cada vez más servicios incorporan passkeys (llaves de acceso), un método que sustituye la contraseña por una verificación basada en el dispositivo del usuario (huella, reconocimiento facial o PIN local). No existe una clave que pueda filtrarse, adivinarse o reutilizar en otro servicio, y resisten mejor el phishing.

Todavía no sustituyen a las contraseñas en la mayoría de sistemas empresariales, pero merece la pena tenerlas en cuenta al evaluar o renovar herramientas.

Usuarios compartidos y bajas de empleados

«Utilizamos todos el mismo usuario.» Es una frase más habitual de lo que debería, y plantea un problema que va mucho más allá de la contraseña: cuando varias personas comparten credenciales, la empresa pierde la información sobre quién hace cada acción. También resulta más difícil controlar permisos y retirar accesos cuando alguien cambia de puesto o se marcha.

Siempre que la aplicación lo permita, cada persona debe tener su propio usuario y solo los permisos que necesita para su trabajo. Si una persona solo tiene que consultar información y otra debe modificarla, el sistema debe reflejarlo sin obligarlas a usar una cuenta común. La seguridad no consiste solo en impedir que alguien de fuera entre, sino en controlar qué puede hacer cada persona que ya está dentro.

Contraseñas y bajas de empleados: el punto que muchas empresas olvidan

Una política de accesos no termina al crear una cuenta: también hay que pensar en cómo se elimina. Cuando alguien deja la empresa o cambia de funciones hay que revisar sus accesos: correo, ERP, CRM, carpetas compartidas, servicios cloud, VPN, herramientas internas y cualquier otra plataforma corporativa.

Con cuentas individuales, retirar accesos es sencillo. Con contraseñas compartidas, hay que cambiar varias credenciales y averiguar quién más las conoce. Por eso, la gestión de contraseñas debe formar parte de los procesos de alta, cambio de puesto y baja de empleados.

Política de contraseñas para empresas: reglas básicas

Mejorar la seguridad no requiere empezar con una política de cincuenta páginas. Unas reglas básicas que todo el equipo conozca reducen mucho la exposición:

• Contraseñas robustas y únicas para cada servicio.
• Un gestor de contraseñas corporativo en lugar de hojas de cálculo o notas.
• Doble factor activado, empezando por las cuentas críticas.
• Usuario individual para cada empleado, con permisos mínimos necesarios.
• Procedimiento de retirada de accesos en bajas y cambios de puesto.
• Protocolo claro ante una credencial comprometida, incluido valorar la notificación a la AEPD.
• Formación del equipo: una política que nadie entiende acaba siendo una política que nadie cumple.

¿Qué hacer si sospechas que una contraseña ha sido comprometida?

La rapidez importa. No conviene esperar a confirmar que alguien ha entrado en la cuenta.

1. Cambia la contraseña cuanto antes, y también en cualquier otro servicio donde se haya reutilizado.
2. Cierra las sesiones abiertas y revisa los dispositivos conectados y la actividad reciente.
3. Revisa el correo: reglas de reenvío automático, filtros nuevos o aplicaciones con acceso autorizado, que los atacantes usan para mantener el acceso.
4. Activa el doble factor si no estaba activo.
5. Avisa al responsable de sistemas o al proveedor IT para comprobar si hubo accesos no autorizados y valorar el alcance.
6. Valora si hay obligación de notificar a la AEPD en las 72 horas que marca el RGPD.

Puedes comprobar si el correo de tu empresa ha aparecido en filtraciones conocidas con servicios como Have I Been Pwned. Y recuerda que cambiar la contraseña resuelve solo una parte: entender cómo se comprometió es lo que evita que vuelva a ocurrir.

Hacia dónde va la normativa: NIS2 y la gestión de accesos

La gestión de contraseñas y accesos está dejando de ser solo una buena práctica para convertirse en una obligación formal para muchas empresas. La Directiva europea NIS2 exige a entidades de determinados sectores (energía, salud, transporte, infraestructura digital, entre otros) con 50 o más empleados, o más de 10 millones de euros de facturación, medidas como la autenticación reforzada y la gestión de identidades y accesos.

España aún no ha completado su transposición: la futura Ley de Coordinación y Gobernanza de la Ciberseguridad está pendiente de aprobación y, a septiembre de 2026, no está en vigor. Aunque tu empresa no esté todavía dentro de su ámbito, adelantarse con contraseñas robustas, doble factor y usuarios individuales reduce el esfuerzo de adaptación cuando la norma llegue.

La seguridad de una empresa empieza por controlar quién puede entrar

La ciberseguridad suele asociarse a antivirus, firewalls o copias de seguridad, y todo eso importa. Pero muchas veces la puerta de entrada es mucho más simple: unas credenciales.

Entender por qué es importante tener una contraseña segura es el primer paso. El siguiente es dejar de tratarlas como una responsabilidad individual y gestionarlas como parte de la seguridad de la empresa. Contraseñas únicas, gestor de credenciales, doble factor, usuarios individuales y buena gestión de permisos forman una barrera mucho más sólida que una contraseña complicada escrita en un post-it.

En Grupo iUNiS ayudamos a las empresas a revisar y mejorar la seguridad de sus sistemas, desde la protección de equipos y accesos hasta la implantación de medidas de ciberseguridad adaptadas a cada organización.

¿Sabes cómo se gestionan hoy las contraseñas y los accesos en tu empresa? Si no tienes clara la respuesta, es un buen punto de partida. Contacta con nosotros y revisamos tu situación.

Preguntas frecuentes sobre contraseñas seguras