Un correo con una factura falsa, una contraseña reutilizada y cinco minutos de descuido pueden bastar para que un atacante entre en Microsoft 365, suplante a un empleado o cifre archivos críticos. Los errores comunes en la gestión de contraseñas no suelen ocurrir por falta de interés, sino porque muchas pymes han crecido sin definir unas reglas claras para los accesos digitales.
En una asesoría, una clínica o una empresa de logística, las contraseñas protegen mucho más que el correo electrónico. Dan acceso a facturación, historiales, proveedores, copias de seguridad, cuentas bancarias, ERP, cámaras, servidores y almacenamiento en la nube. Por eso, una mala práctica aparentemente pequeña puede convertirse en una parada operativa, una pérdida de datos o un problema de cumplimiento.
1. Reutilizar la misma contraseña en varios servicios
Es uno de los fallos más frecuentes y también uno de los más peligrosos. Un empleado utiliza la misma clave para el correo corporativo, una plataforma de formación, una tienda online y el programa de gestión. Si uno de esos servicios externos sufre una filtración, esa contraseña puede probarse automáticamente en los demás.
El problema no es solo que una cuenta quede expuesta. Si la clave coincide con la de Microsoft 365 o Google Workspace, un atacante puede acceder al correo, restablecer contraseñas de otros sistemas y enviar mensajes fraudulentos en nombre de la empresa. En muchos casos, el fraude a proveedores empieza así.
Cada servicio corporativo debe tener una contraseña distinta. Parece una medida incómoda si se gestiona de memoria, pero deja de serlo cuando se utiliza un gestor de contraseñas empresarial. Esta herramienta permite crear claves largas y únicas sin obligar al equipo a recordarlas todas.
2. Compartir contraseñas por WhatsApp, correo o notas
La contraseña del WiFi, del ERP o del correo genérico de administración suele terminar en una conversación de WhatsApp, un correo reenviado o una nota pegada junto al monitor. Es comprensible: alguien necesita acceso urgente y busca resolverlo rápido. Sin embargo, esa urgencia deja una huella difícil de controlar.
Una vez compartida una clave por esos medios, la empresa pierde visibilidad. No sabe cuántas personas la tienen, si se ha guardado en un teléfono personal o si continúa siendo válida después de que un trabajador se marche. Además, los correos y aplicaciones de mensajería pueden quedar abiertos en dispositivos no gestionados.
La solución no consiste en bloquear la operativa. Consiste en asignar accesos individuales siempre que sea posible y compartir credenciales mediante una bóveda corporativa con permisos. Así, administración puede acceder a una cuenta compartida sin ver necesariamente la contraseña, y el responsable puede retirar ese acceso cuando cambie el puesto o la relación laboral.
3. Crear claves fáciles de adivinar
Nombres de empresa, fechas de nacimiento, números consecutivos o variantes como Empresa2026! siguen siendo habituales. Son fáciles de recordar, pero también fáciles de probar para un atacante que conoce el sector, consulta la web corporativa o revisa perfiles públicos de empleados.
Una contraseña segura no tiene por qué ser imposible de usar. Lo recomendable es que sea larga, única y generada aleatoriamente. Una combinación de varias palabras sin relación entre sí puede funcionar para una cuenta que deba memorizarse, pero para sistemas críticos es preferible generar una clave compleja y guardarla en el gestor autorizado.
Cambiar una contraseña débil por otra igual de predecible no resuelve nada. Por ejemplo, sustituir Clínica2025! por Clínica2026! ofrece una falsa sensación de seguridad. El criterio debe ser la calidad de la clave, no solo la fecha de su última modificación.
4. No activar la autenticación multifactor
La autenticación multifactor añade una segunda comprobación al iniciar sesión, normalmente mediante una aplicación, una notificación o una llave física. Aunque alguien consiga la contraseña, seguirá necesitando ese segundo factor para entrar.
No elimina todos los riesgos. Hay ataques que intentan engañar al usuario para que apruebe una notificación o entregue un código. Pero reduce de forma muy significativa los accesos no autorizados causados por contraseñas filtradas, débiles o reutilizadas.
En una pyme conviene activarla como mínimo en el correo corporativo, las plataformas cloud, las cuentas de administración, el acceso remoto, el ERP si lo permite y las copias de seguridad. Las cuentas con privilegios elevados merecen un nivel extra de protección, porque desde ellas se pueden modificar usuarios, borrar información o desactivar medidas de seguridad.
5. Mantener cuentas de exempleados o proveedores
Cuando una persona abandona la empresa, su acceso no debería depender de que alguien recuerde cambiar una contraseña compartida. Debe existir un proceso de baja que permita retirar permisos, cerrar sesiones activas, recuperar equipos y revisar cuentas vinculadas.
Esto aplica también a proveedores informáticos, asesorías externas, desarrolladores, empresas de mantenimiento y personal temporal. Dar acceso remoto para resolver una incidencia puede ser necesario, pero debe hacerse con permisos limitados, caducidad y registro de actividad cuando sea viable.
Una cuenta antigua puede pasar inadvertida durante meses. Mientras tanto, conserva acceso al correo, documentos o aplicaciones internas. Mantener un inventario de usuarios, cuentas compartidas y permisos evita que la seguridad dependa de la memoria de una sola persona.
6. Usar cuentas genéricas para todo el equipo
Cuentas como administracion@, ventas@ o recepcion@ son prácticas para atender comunicaciones comunes. El problema aparece cuando varias personas inician sesión directamente con la misma clave. Si ocurre un envío fraudulento, un borrado de correos o una descarga indebida, resulta difícil saber quién lo hizo y desde dónde.
Siempre que la plataforma lo permita, cada trabajador debe usar su identidad individual y recibir permisos sobre buzones, carpetas o aplicaciones compartidas. Así se conserva la continuidad del servicio sin sacrificar trazabilidad. Si una administrativa está de vacaciones, otra puede atender el buzón compartido con su propio usuario.
También es una forma más ordenada de gestionar cambios de plantilla. No hay que entregar una contraseña general ni modificarla cada vez que entra o sale alguien. Se añade o retira el permiso correspondiente y el resto del equipo mantiene su acceso.
7. Creer que el problema termina al elegir una buena contraseña
La gestión de contraseñas es un proceso, no una tarea de una tarde. Una empresa puede implantar buenas claves y seguir expuesta si no revisa accesos, no actualiza equipos, no protege el correo o no tiene copias de seguridad verificadas.
También hay que considerar el tipo de sistema. Para un portal sin información sensible, un acceso individual con multifactor puede ser suficiente. Para un servidor, una cuenta de dominio, el panel de copias o la administración de Microsoft 365, conviene aplicar controles más estrictos, limitar quién puede administrar y revisar periódicamente los permisos.
Las políticas excesivamente rígidas pueden provocar el efecto contrario: empleados que apuntan claves, reutilizan contraseñas o buscan vías no autorizadas para trabajar más rápido. La norma debe ser segura, pero también realista para el ritmo de una oficina, clínica, comercio o almacén.
Cómo recuperar el control sin frenar el trabajo
El primer paso es identificar dónde están las cuentas críticas: correo, banca, facturación, software de gestión, accesos remotos, servidores, NAS, copias de seguridad y herramientas cloud. Después, conviene eliminar usuarios que ya no deban existir, separar cuentas personales de cuentas compartidas y activar autenticación multifactor.
A continuación, implante un gestor de contraseñas empresarial y defina quién puede crear, compartir o recuperar accesos. No todas las personas necesitan los mismos permisos. Aplicar el mínimo acceso necesario reduce el impacto de un error humano o de una cuenta comprometida.
Por último, forme al equipo con ejemplos concretos: un aviso falso de Microsoft 365, una petición urgente de un supuesto gerente o un mensaje que solicita un código de verificación. La formación breve y repetida funciona mejor que una sesión teórica que nadie recuerda seis meses después.
En RSI ayudamos a las empresas a ordenar sus accesos, proteger el correo y reducir el riesgo de fraude o ransomware sin complicar el trabajo diario. Una revisión preventiva de contraseñas, permisos y autenticación puede evitar que la próxima incidencia urgente sea una cuenta comprometida cuando más falta hace que todo siga funcionando.
