Las contraseñas nunca se diseñaron para soportar el peso de la identidad empresarial moderna. Son baratas de desplegar, fáciles de entender y peligrosamente fáciles de atacar. A pequeña escala, los equipos pueden “parchear” el riesgo con políticas, formación y más factores. A escala enterprise, ese enfoque se convierte en deuda de seguridad.

Por eso los programas basados en contraseñas acaban colapsando bajo su propia complejidad, incluso en organizaciones bien gestionadas.

1) Las contraseñas crean un impuesto permanente al helpdesk

En muchas empresas, los resets de contraseña son una de las solicitudes más comunes al service desk, con estimaciones citadas habitualmente situándolos en el rango del 20% al 50% del volumen de tickets.

Ese coste no es solo el tiempo del técnico. Incluye el tiempo de usuario bloqueado, la interrupción de equipos de primera línea y la sobrecarga operativa de verificar identidad durante un reset. Forrester se cita ampliamente con una estimación de 70 dólares por reset de contraseña, lo que escala rápidamente en organizaciones grandes.

Incluso si reduces tickets con herramientas de autoservicio, sigues invirtiendo en un sistema cuyo modo de fallo es constante: la gente olvida contraseñas, los sistemas las expiran y los atacantes apuntan a los flujos de recuperación.

2) Las políticas de contraseña no escalan, proliferan

Cuando las contraseñas provocan incidentes, la respuesta por defecto es más política:

• contraseñas más largas
• más reglas de complejidad
• más rotación
• más excepciones
• más “arreglos temporales” sobre SSO y aplicaciones legacy

Con el tiempo, acabas con una jungla de políticas que cambia por aplicación, departamento, geografía y nivel de riesgo. Los usuarios aprenden que el camino más rápido no es un comportamiento seguro. Es un comportamiento de supervivencia: reutilizar patrones, apuntarlas, guardarlas en sitios inseguros o empujar trabajo a cuentas compartidas.

La guía moderna refleja esta realidad. NIST afirma explícitamente que los verificadores no deben requerir cambios periódicos de contraseña, y deben forzar un cambio solo cuando se sospeche compromiso.

Traducción: la rotación agresiva no es un control escalable, y a menudo empeora la seguridad.

3) Las contraseñas amplifican el impacto de una brecha

Las contraseñas no son solo un método de login. Son un multiplicador de brechas.

Cuando se filtran credenciales, los atacantes rara vez se quedan en un sistema. Encadenan acceso mediante:

• credential stuffing en servicios expuestos a internet
• reutilización en aplicaciones internas y VPN
• prácticas admin compartidas y excepciones de “solo por ahora”
• ingeniería social contra recuperación y helpdesk

Por eso la misma clase de ataques sigue funcionando año tras año: siempre hay otra contraseña que robar, reutilizar, resetear o forzar.

4) La recuperación de contraseña se convierte en superficie de ataque

Si un atacante no puede robar una contraseña, atacará la vía de reset.

Los flujos de recuperación se diseñan para usuarios bajo estrés. Van con prisa, y deben estar disponibles a escala. Eso los hace atractivos para la ingeniería social, especialmente cuando la verificación de identidad es inconsistente por regiones o proveedores.

Muchas organizaciones descubren que su “política fuerte de contraseñas” es irrelevante si un atacante puede ganar una conversación con el helpdesk o explotar enlaces de reset débiles.

5) El cumplimiento y la evidencia de auditoría se complican, no se simplifican

A medida que las organizaciones maduran, necesitan demostrar control:

• quién accedió a qué
• bajo qué nivel de aseguramiento
• con qué evidencia de intención del usuario
• y con qué resistencia al phishing

La guía enfatiza cada vez más la autenticación resistente al phishing para resultados de mayor aseguramiento. NIST exige ofrecer al menos una opción resistente al phishing en AAL2 y exige resistencia al phishing en AAL3.

Aunque tu entorno no esté regulado, tu comité de riesgo se está moviendo hacia las mismas expectativas.

Qué hacer después (sin intentar hacerlo todo a la vez)

Si las contraseñas están fallando a escala en tu entorno, no necesitas un reemplazo único tipo big-bang para empezar a mejorar resultados. Necesitas un plan que reduzca la dependencia de contraseñas donde más importa:

• prioriza aplicaciones de alto riesgo y acceso privilegiado
• reduce frecuencia de resets y elimina rotación forzada
• estandariza política en lugar de multiplicar excepciones
• refuerza flujos de recuperación y mide intentos de abuso
• adopta autenticación resistente al phishing cuando sea viable

Si tu siguiente paso es evaluar autenticación passwordless para la realidad enterprise, empieza por el ciclo de vida: alta, política, autenticación y recuperación. Ahí es donde la mayoría de programas triunfan o fallan.