Hace unos días, mientras daba una vuelta por la sección de papelería de unos grandes almacenes, me topé con un expositor un poco peculiar: libretas diseñadas específicamente para guardar contraseñas. Con títulos bien visibles como «Password Keeper» o «Cuaderno de contraseñas» y secciones ya preparadas para anotar nombre de usuario, sitio web, contraseña y nota.

Mi primera reacción, como experto en ciberseguridad, fue fruncir el ceño. ¿En serio? ¿En 2025? En un mundo en el que se habla de autenticación de dos factores, cifrado de extremo a extremo y claves de acceso, proponer anotar las contraseñas en un cuaderno me parecía, como mínimo, anacrónico… o incluso peligroso.

Pero, al reflexionar un poco más, me di cuenta de que esta práctica quizá no fuera tan absurda en determinados contextos. Y que ese juicio instintivo, por muy bienintencionado que fuera, podía pasar por alto realidades de uso que nosotros, los profesionales de la ciberseguridad, a veces tendemos a pasar por alto.

Este artículo no pretende zanjar la cuestión de forma categórica. Se trata más bien de examinar los pros y los contras de este método «a la antigua usanza», en un momento en el que los métodos de autenticación se diversifican y en el que la concienciación sobre la seguridad debe seguir siendo accesible, pragmática y humana.

Los riesgos evidentes: un soporte físico vulnerable

Aunque la idea de anotar las contraseñas en un cuaderno pueda parecer tranquilizadora para algunos —tangible, sencilla, sin conexión—, no deja de entrañar riesgos significativos, sobre todo en un contexto profesional. Estos riesgos se deben a la propia naturaleza del soporte: físico, sin cifrar y difícil de rastrear en caso de acceso no autorizado.

El riesgo de robo o pérdida

Un cuaderno de contraseñas puede ser robado, extraviado o consultado sin el conocimiento de su propietario, ya sea en casa, en la empresa o durante un desplazamiento. A diferencia de un sistema informático, no dispone de ninguna alerta, ningún registro y mucho menos de un sistema de bloqueo automático. Basta con que un compañero malintencionado, un visitante o un familiar lo encuentre, y el acceso a todas las cuentas queda potencialmente comprometido.

En sectores sensibles, como los seguros o la intermediación, donde los puestos de trabajo pueden dar acceso a datos de carácter personal o a portales de clientes, la simple desaparición de una libreta puede bastar para desencadenar un incidente de seguridad grave.

La ausencia total de cifrado

Un gestor de contraseñas digital (como Bitwarden, 1Password o KeePass) se basa en una caja fuerte cifrada, protegida por una contraseña maestra o una autenticación multifactorial. Aunque el archivo sea robado o filtrado, su contenido sigue siendo ilegible sin la clave adecuada.

Por el contrario, una libreta en papel contiene datos de acceso en texto plano, sin ningún tipo de protección. Basta con abrir la libreta para obtener una lista completa de cuentas sensibles —correos electrónicos, accesos bancarios, aplicaciones profesionales, etc.—, a menudo acompañadas de anotaciones útiles para un atacante (nombre del servicio, cargo en la empresa, código PIN, etc.).

Una concentración de riesgos en un único punto de fallo

La libreta de contraseñas representa lo que en ciberseguridad se denomina un «punto único de fallo»: un único punto de vulnerabilidad cuya compromisión puede tener efectos en cadena. Una vez que se accede al cuaderno, un atacante puede hacerse con el control de varias cuentas, saltar de un servicio a otro, recuperar datos confidenciales o incluso hacerse con el control de infraestructuras críticas en el caso de un administrador o un gestor de carteras de clientes.

En el ámbito de los seguros, esto plantea inmediatamente problemas de cumplimiento normativo:

• RGPD: la filtración de datos de clientes a través de una contraseña mal protegida puede dar lugar a la obligación de notificarlo a la CNIL, o incluso a sanciones en caso de negligencia grave.

• ISO 27001: una política de seguridad de accesos que tolere el uso de libretas en papel sin protección va en contra de las buenas prácticas recomendadas en el anexo A.9 de la norma (Control de acceso).

• Asegurabilidad: algunas garantías de los seguros cibernéticos pueden verse cuestionadas si la aseguradora demuestra que las credenciales se han almacenado de forma insegura, incumpliendo los compromisos contractuales o las políticas internas.

   

Las ventajas poco conocidas: simplicidad, resiliencia, accesibilidad

En los círculos de expertos en ciberseguridad, resulta tentador descartar de plano la mera idea de anotar las contraseñas en un cuaderno. Y, sin embargo, en la práctica, esta costumbre —por arcaica que pueda parecer— presenta ciertas ventajas que sería un error pasar por alto.

El papel no se puede piratear a distancia

Es una obviedad que a menudo se olvida: un cuaderno de contraseñas no puede verse comprometido de forma remota. A diferencia de un navegador, que almacena las contraseñas sin cifrar en el perfil del usuario, o de un gestor conectado a la nube, el soporte en papel está fuera de la red y es inmune al ransomware, al malware o a los keyloggers. Es precisamente esta característica la que lo convierte en una solución viable en determinados entornos de alta criticidad, como las redes «air-gapped».

En una oficina protegida con tarjeta de acceso, un post-it debajo del teclado puede ofrecer una mejor protección contra una APT que un gestor de contraseñas vulnerable a un ataque lateral o a la compromisión de un terminal. Por el contrario, en un espacio abierto o en casa, estas mismas prácticas se vuelven arriesgadas ante accesos físicos no controlados.

Una solución sencilla y universal, adaptada a todos los perfiles

La ciberseguridad no puede seguir siendo un privilegio exclusivo de ingenieros, pentesters y responsables de seguridad de la información. Debe dirigirse a la señora Michu. Y la señora Michu, como muchos ciudadanos —incluidos algunos profesionales—, anota sus contraseñas. No por descuido, sino porque es una solución sencilla, comprensible, disponible de inmediato, sin barreras tecnológicas ni jerga técnica.

En un mundo en el que el 15 % de la población francesa se encuentra en situación de «illectronismo» (fuente: INSEE, 2023), no se puede esperar una adopción masiva de herramientas digitales avanzadas sin un mínimo de formación progresiva.

Ahí es donde el papel del «guía digital» se vuelve esencial: acompañar, explicar y proponer alternativas aceptables, en lugar de imponer una solución ideal pero inaplicable. Como resume Hubert Chenut, «es mejor una contraseña compleja anotada en una libreta bien ordenada que una contraseña única y débil guardada en el navegador web».

Una oportunidad para avanzar paso a paso

El cuaderno, si se utiliza correctamente, puede ser una herramienta pedagógica:

• Animar a crear una contraseña diferente para cada servicio, ya que ya no se depende únicamente de la memoria.

• Proponer contraseñas más largas y seguras, precisamente porque están anotadas.

• Explicar que se puede escribir una versión abreviada de la contraseña y añadir una parte de memoria (p. ej., tres letras personales que hay que añadir cada vez). Esto refuerza la seguridad al tiempo que estimula la capacidad de memorización.

• Por último, mostrar poco a poco que estas prácticas pueden automatizarse mediante un gestor de contraseñas o integrarse en un smartphone seguro.

En otras palabras, el cuaderno puede ser un primer paso hacia una mejor higiene digital, y no un callejón sin salida arcaico.

Una solución resistente en caso de emergencia

En un contexto de crisis —piratería, pérdida de acceso a los sistemas, interrupción del servicio—, la libreta puede servir de red de seguridad. Durante las auditorías realizadas por CnC Expertise, hemos visto empresas totalmente paralizadas por una pérdida de acceso centralizado (sobre todo tras un ataque de ransomware). En esos casos, los pocos empleados que habían conservado una copia de seguridad en papel permitieron restablecer los accesos prioritarios.

No se trata de un alegato a favor de volver al papel y al bolígrafo. Pero, en determinados contextos, la sencillez del soporte físico permite alcanzar un equilibrio entre accesibilidad y seguridad, siempre que su uso esté bien regulado: nada de transportarlo fuera del domicilio o de la oficina segura, nada de compartirlo, nada de exponerlo a terceros y, a ser posible… una transición progresiva hacia soluciones mejores.

El futuro: ¿hacia el fin de las contraseñas?

Tras examinar los riesgos relacionados con el almacenamiento físico de las contraseñas y las ventajas, a veces subestimadas, de esta práctica, es fundamental proyectarnos hacia el futuro: ¿y si el verdadero progreso no consistiera en gestionar mejor las contraseñas… sino en deshacerse de ellas?

Desde hace varios años, la comunidad de ciberseguridad coincide en un punto: la contraseña es un mal compromiso entre seguridad y facilidad de uso. Si es demasiado corta, es vulnerable a los ataques. Si es demasiado larga, se olvida. Si se reutiliza, se convierte en un factor de riesgo sistémico. E incluso si se gestiona bien, sigue siendo una variable humana en un sistema en el que el ser humano suele ser el eslabón débil.

Ante este callejón sin salida, los grandes actores del sector digital —Google, Apple, Microsoft y la alianza FIDO— abogan activamente por un cambio de paradigma: la autenticación sin contraseña.

Claves de acceso, biometría y dispositivos de confianza: una nueva era

En 2025, las claves de acceso (basadas en los estándares FIDO2 y WebAuthn) ya permiten iniciar sesión en numerosos servicios sin introducir ninguna contraseña. La autenticación se basa entonces en una combinación:

• un dispositivo de confianza (teléfono, ordenador, llave de seguridad),

• una prueba de posesión (clave privada local no exportable),

• y, a menudo, un factor biométrico (huella dactilar, reconocimiento facial, código PIN).

Este modelo ofrece varias ventajas decisivas:

• Es inviolable a distancia (no hay contraseña que interceptar ni adivinar).

• Es mucho más difícil de suplantar (phishing).

• Es transparente para el usuario y, por lo tanto, más fluido de usar.

Pero una transición larga y desigual

A pesar de sus promesas, esta transición hacia un mundo sin contraseñas no se producirá de la noche a la mañana. Requiere:

• una actualización de los sistemas de información,

• un marco de seguridad adecuado,

• equipos compatibles,

• y, sobre todo, un cambio profundo de hábitos.

Para las empresas, esto supone proyectos de migración potencialmente complejos, sobre todo en contextos en los que la autenticación se basa en sistemas antiguos o en servicios de terceros que aún no son compatibles. Para los usuarios, esto supone aceptar confiar su seguridad a su dispositivo, lo que puede plantear problemas de confianza, de continuidad (pérdida o robo) y de accesibilidad.

Y no olvidemos que la inclusión digital es un tema fundamental. De hecho, muchos usuarios aún no disponen de las herramientas, las competencias o los hábitos necesarios para adoptar estos nuevos métodos.

La realidad es que, en 2025, la contraseña seguirá ahí… por un tiempo. Y aunque poco a poco deba dar paso a soluciones más sólidas e intuitivas, esto no se producirá de forma abrupta, sino mediante una transición.

Por eso debemos acompañar a cada perfil de usuario con pragmatismo, teniendo en cuenta su nivel, su entorno y su exposición al riesgo. Un gestor de contraseñas bien utilizado hoy puede ser el primer paso hacia una autenticación sin contraseña mañana.

En conclusión

Anotar las contraseñas en un cuaderno es una práctica que plantea riesgos reales, pero que también puede, en determinados contextos bien controlados, estar justificada temporalmente. En un mundo ideal, todo el mundo utilizaría claves de acceso, autenticación multifactorial (MFA) y gestores cifrados… pero la realidad suele ser más matizada.

En lugar de juzgar o imponer herramientas sin tener en cuenta los usos y los niveles de madurez, resulta más pertinente acompañar progresivamente a cada usuario hacia unas mejores prácticas: reforzar sus contraseñas, diversificar sus accesos, comprender los fundamentos del phishing o aprender a proteger sus dispositivos.

CnC Expertise: formar, concienciar, proteger

En CnC Expertise, estamos convencidos de que una ciberseguridad eficaz se basa tanto en la tecnología como en el factor humano. Por eso acompañamos a nuestros clientes —aseguradoras, corredores, pymes, administraciones públicas— a través de acciones concretas:

• Formación a medida sobre ciberseguridad operativa (presencial o a distancia) tanto para equipos técnicos como para perfiles no relacionados con las tecnologías de la información;

• Talleres de sensibilización adaptados a cada área de actividad (RR. HH., dirección, comerciales, soporte), con casos prácticos realistas;

• Campañas de prevención sobre los riesgos relacionados con las contraseñas, el phishing, las redes Wi-Fi públicas, los viajes de negocios…;

• Evaluaciones de madurez cibernética y recomendaciones personalizadas en función del nivel de exposición y del sector de actividad;

• Y un acompañamiento humano, pragmático y respetuoso con las limitaciones del día a día.

Nuestro objetivo es claro: mejorar de forma sostenible la seguridad digital de las organizaciones, sin dogmatismos, sin jerga técnica y siempre con exigencia y amabilidad.

¿Y después?

Quizá la contraseña esté abocada a desaparecer. Pero, hasta entonces, cada buena práctica cuenta, y cada usuario merece un acompañamiento adaptado.

No dude en ponerse en contacto con nosotros si desea poner en marcha una iniciativa de formación o sensibilización en su organización. Juntos, construyamos una cultura cibernética sólida, accesible y responsable.