Las contraseñas más usadas del mundo

Año tras año, los análisis de contraseñas filtradas devuelven prácticamente la misma lista. Cambia el orden, entra alguna nueva, pero el podio lleva más de una década sin moverse. Estas son las que aparecen siempre, por qué se repiten y qué patrones las hacen predecibles.

Las que nunca fallan

Estas aparecen de forma consistente en los recuentos de contraseñas expuestas en filtraciones. Todas se descifran de forma instantánea: están las primeras en cualquier diccionario de ataque.

En español se repiten con la misma fuerza 123456, y además nombres propios, equipos de fútbol y palabras como contraseña, hola, amor o estrella. Los diccionarios de ataque llevan años incluyendo las variantes locales de cada idioma.

Los seis patrones que lo explican todo

Lo interesante no es la lista, sino lo que revela. Casi todas las contraseñas humanas caen en uno de estos patrones, y los programas de descifrado los prueban antes que la fuerza bruta.

1. Secuencias del teclado

qwerty, asdfgh, 1qaz2wsx. Parecen aleatorias escritas, pero son líneas rectas o zigzags sobre las teclas. Las herramientas de ataque conocen la distribución de cada teclado.

2. Palabra + número al final

El patrón más extendido del mundo. Madrid2026, Laura1985, verano23. Un atacante no prueba millones de combinaciones: prueba un diccionario cruzado con años, y termina en segundos.

3. Sustituciones «leet»

Cambiar a por @, e por 3, o por 0. P@ssw0rd se siente astuto y es una de las reglas de transformación más antiguas que existen. No aporta seguridad: los programas de descifrado la aplican automáticamente.

4. Datos personales

Fechas de nacimiento, nombres de hijos y mascotas, matrículas. Todo eso suele ser público o adivinable, y existen ataques dirigidos que construyen diccionarios a medida a partir de tus redes sociales.

5. Mayúscula al principio, símbolo al final

Cuando un formulario exige «una mayúscula y un símbolo», casi todo el mundo hace lo mismo: mayúscula en la primera letra y ! al final. Primavera2026! cumple todos los requisitos y sigue siendo predecible.

6. Reutilización

El más grave de todos, porque no depende de la contraseña sino de dónde la uses. Una contraseña excelente reutilizada en diez sitios vale exactamente lo que valga el peor de esos diez. Cuando ese sitio sufra una filtración, tu contraseña entra en las listas y el resto de cuentas quedan expuestas.

Por qué la «complejidad» engaña

Compara estas dos:

• K7#mQ — 5 caracteres, mayúsculas, minúsculas, número y símbolo. Cumple cualquier requisito de formulario. Se descifra al instante.
• caballo-bateria-grapa-correcto-melon-taza — solo minúsculas y guiones. Prácticamente inviable.

Las reglas de complejidad heredadas de los años 2000 empujan a la gente hacia contraseñas cortas, difíciles de recordar y fáciles de descifrar. El NIST lleva desde 2017 recomendando lo contrario: priorizar longitud, no obligar a cambios periódicos sin motivo y comprobar las contraseñas contra listas de filtraciones conocidas.

Qué hacer en su lugar

1. Comprueba si la tuya está en las listas. Nuestro comprobador la contrasta con miles de millones de credenciales filtradas, sin que la contraseña salga de tu navegador.
2. Genera, no inventes. Cualquier contraseña que se te ocurra tiene estructura. Un generador aleatorio no.
3. Usa frases si necesitas recordarla. El generador de frases crea combinaciones memorables y muy resistentes.
4. Una contraseña distinta por sitio, con un gestor de contraseñas que las recuerde por ti.
5. Activa la verificación en dos pasos donde puedas. Aunque tu contraseña se filtre, no basta para entrar.

¿Quieres saber cuánto aguantaría la tuya? Tenemos la tabla completa de tiempos de descifrado.