La contraseña más usada en España sigue siendo "admin".
Llevamos celebrando este día desde 2013. Trece años de campañas, artículos, infografías y recordatorios. Y la contraseña más usada en España en 2025 es "admin". Si esto fuera una película, diríamos que tiene un tercer acto muy flojo. Pero no es una película — es la realidad de la seguridad digital de millones de personas y miles de empresas. Y tiene consecuencias muy concretas.
Existe una tradición que se repite cada primer jueves de mayo desde hace más de una década. Expertos en ciberseguridad publican listas de contraseñas terribles. Medios de comunicación las reproducen con cierta incredulidad. Las empresas de tecnología aprovechan para recordar que existen mejores alternativas. Y el resto del año, nada cambia.
No lo decimos para desanimar. Lo decimos porque entender por qué no cambia es el primer paso para hacer algo diferente. La seguridad digital no falla por falta de información — falla porque la información no se traduce en comportamiento. Y eso, resulta, tiene solución.
1. El ranking de la vergüenza —
España, 2025
Cada año, las empresas NordPass y NordStellar analizan decenas de millones de credenciales filtradas en 44 países — incluyendo datos de la dark web — para identificar las contraseñas más usadas del mundo. El resultado, año tras año, es que la humanidad no aprende. Pero hay matices que merecen atención.
El dato de "Pass@123" merece una pausa. Cumple perfectamente con los requisitos de complejidad que muchos sistemas exigen: mayúscula, símbolo, número, más de ocho caracteres. Y está en todas las listas de contraseñas comprometidas del mundo porque millones de personas han llegado a la misma solución "inteligente" para cumplir los requisitos del formulario. Cuando todo el mundo piensa igual, la contraseña se convierte en predecible por el simple hecho de ser predeciblemente ingeniosa.
La contraseña del sistema de seguridad del museo más visitado del mundo era "Louvre"
No es un ejemplo hipotético. El Louvre de París fue víctima de una intrusión que facilitó el robo de joyas valoradas en más de 100 millones de dólares. La contraseña que protegía el sistema de seguridad era simplemente el nombre del propio museo. Es el equivalente digital de esconder la llave bajo el felpudo — excepto que el felpudo pone "bienvenido" en letras de cinco metros.
Si el Louvre puede cometer este error, cualquier empresa puede. Y muchas lo cometen.2. Por qué seguimos fallando —
no es ignorancia, es psicología
El dato más incómodo del informe anual de NordPass no es qué contraseñas usan las personas. Es quiénes las usan. Los hábitos a la hora de elegir credenciales son casi idénticos en todas las franjas de edad. La Generación Z, que creció con internet, usa contraseñas igual de débiles que sus padres. Los universitarios, los directivos, los técnicos de IT — todos. No es un problema de conocimiento. Es un problema de fricción.
La razón por la que "123456" sigue siendo la contraseña más usada del mundo no es que nadie sepa que es mala. Todo el mundo sabe que es mala. La razón es que funciona — entra al servicio, hace lo que hace y no molesta. Una contraseña segura, en cambio, hay que memorizarla, escribirla correctamente con el móvil en la mano, recuperarla cuando se olvida y cambiarla cuando el sistema lo exige cada 90 días para un servicio al que se accede una vez al año.
⚡ El problema no es la contraseña — es el sistema: el NIST americano lleva dos años recomendando algo que parece contraintuitivo: que las organizaciones dejen de obligar a cambiar contraseñas periódicamente. El motivo es que los cambios forzados no generan contraseñas más seguras — generan "Contraseña1" que pasa a ser "Contraseña2" que pasa a ser "Contraseña3". El cambio periódico sin cultura real de seguridad produce exactamente lo contrario de lo que pretende.
Lo mismo ocurre con la reutilización. El 54% de las contraseñas filtradas en 2025 ya habían aparecido en filtraciones anteriores. Las personas no reutilizan contraseñas porque sean negligentes — las reutilizan porque gestionar decenas de contraseñas diferentes sin ayuda es genuinamente difícil. La solución no es pedirles que se esfuercen más. Es quitarles el problema.
3. La contraseña en la empresa:
donde el riesgo individual se vuelve colectivo
Todo lo anterior aplica a los usuarios particulares. En el contexto empresarial, los mismos comportamientos adquieren una dimensión completamente diferente: cuando un empleado reutiliza en el trabajo una contraseña que ya fue filtrada en una brecha de otro servicio, no está poniendo en riesgo solo su cuenta — está abriendo una puerta a los datos de sus clientes, de sus compañeros y de la organización.
El artículo 32 del RGPD obliga a implementar medidas técnicas y organizativas adecuadas al riesgo. En 2026, "adecuado al riesgo" tiene una traducción muy concreta.
⚠️ Lo que la AEPD considera en las brechas relacionadas con contraseñas: cuando una brecha de seguridad ocurre por ausencia de medidas técnicas adecuadas — contraseñas débiles, ausencia de doble factor, reutilización de credenciales — la AEPD valora si la organización había implementado previamente una política de seguridad razonable. La ausencia de esa política es un agravante que puede convertir un apercibimiento en una sanción económica. Los procedimientos sancionadores por brechas crecieron un 157% en 2025 según la Memoria AEPD publicada hoy mismo.
4. El futuro que ya está aquí:
el mundo sin contraseñas
La buena noticia — y la hay — es que la industria tecnológica lleva años construyendo una alternativa que resuelve el problema de raíz. No mediante contraseñas más complicadas ni recordatorios más frecuentes. Sino eliminando la contraseña por completo.
Se llaman passkeys — llaves de acceso en español — y ya funcionan hoy mismo en Google, Apple, Microsoft, Amazon, GitHub y WhatsApp, entre otros. La idea es sencilla aunque la tecnología detrás es sofisticada: en lugar de teclear una contraseña, el dispositivo confirma tu identidad con tu huella dactilar, tu cara o el PIN del teléfono. Nunca se envía nada al servidor que pueda ser robado. El phishing se vuelve técnicamente imposible porque la clave está vinculada al dominio exacto del sitio real.
Cuentas compatibles con passkeys en febrero de 2026
15.000 millones de cuentas ya pueden usar passkeys. Más de 1.000 millones de personas tienen al menos una passkey activada. Microsoft activó passkeys como método predeterminado para nuevas cuentas en mayo de 2025, lo que generó un aumento del 120% en su adopción. TikTok reportó que sus usuarios inician sesión 17 veces más rápido con passkeys. Fuentes: FIDO Alliance Passkey Index 2025, Microsoft, Google.
La transición no será inmediata. Todavía existen muchos servicios que no admiten passkeys y la cobertura total es de aproximadamente el 20% de las plataformas populares. Pero el camino es claro: Google, Apple y Microsoft han apostado por eliminar las contraseñas como método principal antes de 2027. El NIST americano ya exige autenticación resistente a phishing — passkeys o equivalente — para todas las agencias federales. La contraseña tradicional tiene fecha de caducidad. Lo que no está decidido es cuándo llega esa fecha para cada organización.
5. Lo que puede hacer hoy —
cinco acciones concretas
El Día Mundial de la Contraseña tiene sentido si se traduce en algo. No en un artículo más, sino en cambios reales. Estas son las cinco acciones con mayor impacto por menor esfuerzo, ordenadas de más urgente a más estratégico:
Un apunte final —
la contraseña perfecta ya no es una contraseña
Durante años, el consejo fue siempre el mismo: usa una contraseña larga, con mayúsculas, minúsculas, números y símbolos, diferente para cada servicio y cámbiala regularmente. Es un consejo correcto. Y también es un consejo que nadie sigue porque es genuinamente difícil de cumplir en la práctica.
La solución no es pedir más esfuerzo a las personas. Es diseñar sistemas que no dependan de ese esfuerzo. Las passkeys hacen exactamente eso: ponen la seguridad máxima en el comportamiento más natural posible — desbloquear el teléfono. El mismo gesto que ya hacemos ochenta veces al día.
Hoy, Día Mundial de la Contraseña, el mejor homenaje que le podemos hacer a trece años de campañas de concienciación es empezar a dejar de necesitarla. La tecnología para hacerlo ya existe. Solo falta activarla.
¿Tiene su empresa una política de
contraseñas documentada?
El RGPD art. 32 obliga a implementar medidas técnicas adecuadas al riesgo. Una política de accesos y contraseñas es parte de ese cumplimiento. En Artico la revisamos, la documentamos y formamos a su equipo. DPOs certificados AEPD/ENAC · 25 años en Aragón.
Escríbenos por WhatsApp