La mayoría de los incidentes de seguridad en pequeñas empresas no empiezan con un hacker genio rompiendo un firewall. Empiezan con una contraseña reutilizada, filtrada en una brecha de datos de otro servicio hace tres años, que alguien reutiliza para entrar al correo del negocio.
Qué hace que una contraseña sea realmente segura
No es la complejidad exigida por formularios (mayúscula + número + símbolo), es la longitud y que sea única para cada servicio. Una frase larga como correcto-caballo-batería-grapa es más difícil de forzar por fuerza bruta que P@ssw0rd!, y además es más fácil de recordar.
- Largo mínimo: 14-16 caracteres para cuentas importantes (correo, banco, hosting).
- Única por servicio: si un sitio filtra su base de datos, esa contraseña no debe servir en ningún otro lado.
- Sin datos personales: nombres, fechas de nacimiento o el nombre del negocio son lo primero que prueba un atacante.
Usa un gestor de contraseñas
Memorizar una contraseña única y larga por cada uno de los 20-30 servicios que usa un negocio no es realista. Un gestor de contraseñas (Bitwarden, 1Password, o el integrado en Chrome/Firefox) genera y guarda contraseñas únicas, y solo necesitas recordar una contraseña maestra. Es la diferencia entre tener 30 candados con la misma llave y 30 candados con 30 llaves distintas guardadas en una caja fuerte.
Verificación en dos pasos (2FA): el seguro extra
2FA significa que, además de la contraseña, necesitas algo que solo tú tienes: un código generado por una app (Google Authenticator, Authy) o una llave física. Aunque alguien robe tu contraseña, no puede entrar sin ese segundo factor.
Prioriza activar 2FA en, al menos, estas cuentas:
- Correo electrónico del negocio (es la puerta de entrada para resetear todo lo demás).
- Panel de administración de tu sitio web / WordPress.
- Cuentas bancarias y de pago (Webpay, Flow, Mercado Pago).
- Redes sociales del negocio.
Evita 2FA por SMS cuando puedas usar una app — el SMS es vulnerable a "SIM swapping" (portación fraudulenta del número).
Qué hacer si sospechas que una contraseña fue filtrada
Revisa haveibeenpwned.com ingresando tu correo — te dice en qué filtraciones conocidas ha aparecido. Si aparece, cambia esa contraseña de inmediato y revisa si la reutilizaste en otro lado.
Checklist rápido
- ☐ Gestor de contraseñas instalado para el equipo.
- ☐ Contraseñas únicas en correo, hosting, banco y redes sociales.
- ☐ 2FA activado en correo y panel del sitio web.
- ☐ Ningún empleado comparte contraseñas por WhatsApp o Excel compartido.