¿Por qué los usuarios no cambian frecuentemente las contraseñas si saben que es necesario? Parece que todo está en nuestras cabezas.
Que las contraseñas caduquen regularmente es un requisito común en muchas políticas de seguridad. Sin embargo, el National Cyber Security Centre del Reino Unido, por ejemplo, se declara expresamente en contra de esta práctica. Esto se ve como algo contradictorio porque nos han dicho desde siempre que cambiar las claves regularmente es bueno. Nosotros mismos lo hemos dicho, y no hemos cambiado de opinión.
La razón por la que se está empezando a mirar mal el cambio de contraseñas es un error humano. Ya saben: si algo falla, especialmente en la tecnología, el error es humano: siempre lo es. El problema está en que cuando se exige cambiar las contraseñas, la mayoría de la gente termina utilizando su clave antigua con un pequeño cambio. Los investigadores llaman a estos pequeños trucos “transformaciones”, y los piratas informáticos son muy conscientes de ellos por lo que casi resultan contraproducentes. Así, cambiar las contraseñas no es malo, al contrario. Lo que es malo es cambiarlas mal.
También juega en nuestra contra la proliferación del uso de contraseñas para todo y los requisitos de dificultad cada vez más complejos. Ya no tenemos que recordar o apuntar una o dos sino decenas de ellas aun siendo un simple usuario estándar. Si además se nos pide que sean lo más aleatorias, largas y difíciles posibles, coloca una demanda poco realista en un usuario que tiende a la pereza.
Inevitablemente, los usuarios diseñan sus propios mecanismos de adaptación para hacer frente a esta ‘sobrecarga’. Esto incluye escribir claves repetidas, volver a usar la misma contraseña vieja sutilmente modificada o el uso de estrategias y patrones simples y predecibles en la creación; lo cual termina siendo una práctica casi tan mala como cambiarla poco. Hay que esforzase en el cambio, cambiarlo mal es como no hacer nada.
¿Pero qué pasa cuando no nos insisten en forzar los cambios? ¿Es mejor? Para nada. Si no nos obligan a cambiar las contraseñas pasa que no la cambiamos en lo absoluto hasta que efectivamente pasa algo que nos obliga. En ambos casos nos puede la desidia. ¿Por qué? Gestionamos mal la demora cuando se trata de riesgo.
Las contraseñas siguen sintiéndose relativamente seguras por largos períodos de tiempo, y como es incómodo y requiere mucho tiempo cambiarlas con demasiada frecuencia, procrastinamos como lo hacemos en otras muchas cosas similares.
A veces es porque las cosas más placenteras llaman nuestra atención y el tiempo simplemente va pasando, pero también tenemos una tendencia a priorizar las tareas más sensibles al tiempo sobre aquellas que pensamos que son menos urgentes” —Frank Partnoy, autor de ‘Wait: The Art and Science of Delay‘.
Además hay otro problema: no hay cambios. Cuando se trata de contraseñas y el riesgo de no cambiarlas con frecuencia, a menudo nos recuerdan el riesgo que corremos —como estoy haciendo yo en este artículo—, pero simplemente no se siente como un escenario real para nosotros ni un cambio en el estado actual cuando efectivamente accedemos a actualizarlas. Nuestro sistema de recompensa no ve el premio y nuestro sentido de la demora se convence de que el peligro es bajo. Existe un sentido equivocado de invencibilidad o, como dice Taleb en Antifrágil, una falacia del pavo: durante 365 días el pavo no hace más que obtener pruebas que le tranquilizan y le incitan a creer que mañana también recibirá de comer y que su dueño lo ama. No hay ninguna prueba que le indique que algo podría salir mal porque hay 364 ejemplos donde no ha pasado. Sin embargo, el día 365 llega el Día de Acción de Gracias y muere aunque esto contradiga todo patrón anterior.
Por lo general, hasta que no hayas sido hackeado o el servicio haya sido vulnerado y esto te de miedo o un sistema de actualización te obligue a hacerlo, como no hay ninguna recompensa, es decir, ningún cambio tangible tanto si se hace como si no, comienzas a permitir que el paso del tiempo funcione como una prueba de que no pasa nada. Lo cual en realidad es un error pues la ausencia de prueba no es una prueba de ausencia.
Así pues, ¿por qué no cambian los usuarios frecuentemente las contraseñas? Desidia, pereza, escaso sentido de gestión del riesgo y otras múltiples manifestaciones de un cerebro traicionero que confunde lo importante con lo urgente y la ausencia de prueba con una prueba de ausencia.
¿Por qué los usuarios no cambian frecuentemente las contraseñas si saben que es necesario? Parece que todo está en nuestras cabezas.
Que las contraseñas caduquen regularmente es un requisito común en muchas políticas de seguridad. Sin embargo, el National Cyber Security Centre del Reino Unido, por ejemplo, se declara expresamente en contra de esta práctica. Esto se ve como algo contradictorio porque nos han dicho desde siempre que cambiar las claves regularmente es bueno. Nosotros mismos lo hemos dicho, y no hemos cambiado de opinión.
La razón por la que se está empezando a mirar mal el cambio de contraseñas es un error humano. Ya saben: si algo falla, especialmente en la tecnología, el error es humano: siempre lo es. El problema está en que cuando se exige cambiar las contraseñas, la mayoría de la gente termina utilizando su clave antigua con un pequeño cambio. Los investigadores llaman a estos pequeños trucos “transformaciones”, y los piratas informáticos son muy conscientes de ellos por lo que casi resultan contraproducentes. Así, cambiar las contraseñas no es malo, al contrario. Lo que es malo es cambiarlas mal.
También juega en nuestra contra la proliferación del uso de contraseñas para todo y los requisitos de dificultad cada vez más complejos. Ya no tenemos que recordar o apuntar una o dos sino decenas de ellas aun siendo un simple usuario estándar. Si además se nos pide que sean lo más aleatorias, largas y difíciles posibles, coloca una demanda poco realista en un usuario que tiende a la pereza.
Inevitablemente, los usuarios diseñan sus propios mecanismos de adaptación para hacer frente a esta ‘sobrecarga’. Esto incluye escribir claves repetidas, volver a usar la misma contraseña vieja sutilmente modificada o el uso de estrategias y patrones simples y predecibles en la creación; lo cual termina siendo una práctica casi tan mala como cambiarla poco. Hay que esforzase en el cambio, cambiarlo mal es como no hacer nada.
¿Pero qué pasa cuando no nos insisten en forzar los cambios? ¿Es mejor? Para nada. Si no nos obligan a cambiar las contraseñas pasa que no la cambiamos en lo absoluto hasta que efectivamente pasa algo que nos obliga. En ambos casos nos puede la desidia. ¿Por qué? Gestionamos mal la demora cuando se trata de riesgo.
Las contraseñas siguen sintiéndose relativamente seguras por largos períodos de tiempo, y como es incómodo y requiere mucho tiempo cambiarlas con demasiada frecuencia, procrastinamos como lo hacemos en otras muchas cosas similares.
Además hay otro problema: no hay cambios. Cuando se trata de contraseñas y el riesgo de no cambiarlas con frecuencia, a menudo nos recuerdan el riesgo que corremos —como estoy haciendo yo en este artículo—, pero simplemente no se siente como un escenario real para nosotros ni un cambio en el estado actual cuando efectivamente accedemos a actualizarlas. Nuestro sistema de recompensa no ve el premio y nuestro sentido de la demora se convence de que el peligro es bajo. Existe un sentido equivocado de invencibilidad o, como dice Taleb en Antifrágil, una falacia del pavo: durante 365 días el pavo no hace más que obtener pruebas que le tranquilizan y le incitan a creer que mañana también recibirá de comer y que su dueño lo ama. No hay ninguna prueba que le indique que algo podría salir mal porque hay 364 ejemplos donde no ha pasado. Sin embargo, el día 365 llega el Día de Acción de Gracias y muere aunque esto contradiga todo patrón anterior.
Por lo general, hasta que no hayas sido hackeado o el servicio haya sido vulnerado y esto te de miedo o un sistema de actualización te obligue a hacerlo, como no hay ninguna recompensa, es decir, ningún cambio tangible tanto si se hace como si no, comienzas a permitir que el paso del tiempo funcione como una prueba de que no pasa nada. Lo cual en realidad es un error pues la ausencia de prueba no es una prueba de ausencia.
Así pues, ¿por qué no cambian los usuarios frecuentemente las contraseñas? Desidia, pereza, escaso sentido de gestión del riesgo y otras múltiples manifestaciones de un cerebro traicionero que confunde lo importante con lo urgente y la ausencia de prueba con una prueba de ausencia.
Compartir esto: