Cambiar la contraseña cada tres meses te vuelve predecible

Tu banco copió su manual, pero Bill Burr se retractó en 2017. En 2003 él había escrito, en el estándar del NIST, que había que mezclar mayúsculas, números y símbolos y cambiar la contraseña cada tres meses. «Mucho de lo que hice, lo lamento», dijo catorce años después al Wall Street Journal.

El problema no era su idea; era la tuya. Cuando te obligan a poner un símbolo, tú pones «!» al final. Cuando te obligan a cambiar cada tres meses, escribes «Verano2024!», luego «Otoño2024!», luego «Invierno2024!». Weir y sus colegas procesaron en 2010 treinta y dos millones de contraseñas robadas: menos del 4 % eran realmente impredecibles.

La versión de 2017, la que sigue en vigor, cambió tres cosas. Tu banco no debería obligarte a cambiar la contraseña sin indicios de robo. Ni a mezclar símbolos. Sí debería rechazar las que aparezcan en listas filtradas.

Lo que tú puedes hacer sin esperar: elige una frase de cuatro palabras al azar. «Manzana burro rojo puente» le cuesta hoy a un atacante 550 años, según el cálculo del NIST. Añadir un símbolo al final le suma media hora.