¿Qué mide realmente la tabla de Hive Systems 2026?
Una contraseña de 8 caracteres aleatorios con mayúsculas, minúsculas, números y símbolos aguantaría 132 años frente a un atacante bien equipado. Una de 16 letras minúsculas, también aleatorias, aguantaría 9.000 millones de años. La edición 2026 de la tabla de Hive Systems —publicada el 14 de julio de 2026 y vista por más de 6 millones de personas según la propia compañía— deja una lección incómoda para cualquier founder: la longitud pesa mucho más que la mezcla de símbolos.
Pero antes de reescribir las políticas de contraseñas de tu equipo hay que entender qué mide exactamente ese gráfico, porque el escenario que describe no es el que enfrentas todos los días.
El punto clave: la tabla no mide cuánto tarda alguien en adivinar tu contraseña escribiéndola en un formulario web. Mide un ataque fuera de línea. Supone que tu contraseña ya fue robada en una filtración, en forma de hash, y que el atacante la trabaja en su propio hardware, sin límite de intentos. Un hash es una versión cifrada en un solo sentido: los servicios no guardan tu contraseña, guardan su hash. El atacante genera combinaciones, calcula el hash de cada una y busca coincidencias.
¿Y esto cómo se aplica en tu negocio?
En CAR, dueños de empresa de Latinoamérica y España usan la tecnología para ser más rentables. Empiezas con una ruta de 7 días y terminas con un sistema funcionando en tu negocio.
👥 Probar 7 díasPor eso Hive responde con un «sí, pero da igual» a la duda más común: que las webs bloquean la cuenta tras varios intentos fallidos. Ese bloqueo solo protege el formulario de acceso. Con la base de datos robada no hay límites, ni alertas, ni nadie que frene al atacante.
Los supuestos detrás de las cifras
- Hardware: 16 tarjetas gráficas NVIDIA RTX 5090 de consumo, alquiladas en la nube en dos máquinas de ocho. Hive explica que ya no encontraba equipos de doce tarjetas en alquiler y que montó lo que haría un atacante motivado.
- Hash: bcrypt con factor de trabajo 10 (1.024 iteraciones), elegido tras revisar filtraciones catalogadas por Have I Been Pwned, donde bcrypt ha tomado el relevo de MD5.
- Velocidad medida: 138.675 hashes por segundo en conjunto, un 24 % más que el equipo de 2025.
Un detalle del informe que sorprende: las tarjetas para gaming baten a las de centro de datos. Según Hive, ocho NVIDIA A100 diseñadas para IA tardarían unos 52 años en romper una contraseña de 8 letras mayúsculas y minúsculas; ocho RTX 5090, 23.
¿Por qué la longitud le gana a la complejidad?
Cada carácter extra multiplica el número de combinaciones mucho más que añadir un tipo de símbolo. La tabla 2026 lo hace visible:
| Contraseña aleatoria | Tiempo máximo |
|---|---|
| 8 caracteres, todo mezclado | 132 años |
| 8 letras minúsculas | 2 semanas |
| 12 letras minúsculas | 21.000 años |
| 12 caracteres, todo mezclado | 3.000 millones de años |
| 16 letras minúsculas | 9.000 millones de años |
Dieciséis minúsculas superan a doce caracteres con todos los símbolos. Es exactamente lo que recomienda el NIST en su guía de autenticación SP 800-63B-4: exige un mínimo de 15 caracteres para contraseñas que se usan como único factor y prohíbe a los servicios imponer reglas de composición, como obligar a mezclar tipos de caracteres.
Y el tiempo se acorta cada año. Para la misma contraseña de 8 caracteres con todo mezclado y el mismo hash, Hive calcula 225 años en 2024, 164 en 2025 y 132 en 2026: una caída de entre el 20 % y el 25 % anual. Agotar todas las combinaciones de 8 minúsculas cuesta, según sus cálculos, unos 3.400 dólares (≈3.020 euros al cambio de octubre de 2026) de alquiler de tarjetas gráficas.
¿Qué no te dice la tabla de Hive Systems?
Que sus tiempos son el mejor caso posible para ti. Hive lo reconoce en el apartado de limitaciones: supone contraseñas generadas al azar, que no aparecieron en ninguna filtración previa y que el atacante parte de cero. Los atacantes reales empiezan por diccionarios, contraseñas ya filtradas y patrones humanos.
La propia Hive lo midió este año: con una sola RTX 5090, una contraseña de ocho caracteres con mezcla de símbolos como la de su ejemplo cayó en unos tres segundos cuando el atacante probó primero las variaciones predecibles. Es decir, «P@ssw0rd2026» no tiene la fortaleza de su columna, aunque la cumpla sobre el papel.
¿Y la IA? Hive sostiene que no acelera la fuerza bruta: el cálculo de hashes es un problema de potencia bruta y, en sus pruebas, el hardware de IA no rinde mejor. Lo que sí ha hecho la IA, según la empresa, es abaratar la tarea de montar y coordinar varias máquinas alquiladas, y mejorar la parte «pensante» del ataque, como encontrar la vulnerabilidad que permite robar la base de datos. Es su interpretación, no una medición.
Dos matices más que conviene tener presentes: el servicio que guarda tu contraseña puede usar un hash más débil que bcrypt, lo que acortaría todos los tiempos, y la tabla da por hecho que no tienes segundo factor o que el atacante lo esquivó.
El costo silencioso de las contraseñas en una empresa
El problema no es solo el riesgo. Un análisis publicado por Bleeping Computer sobre la migración a passkeys cita cifras que deberían interesar a cualquier equipo: Gartner estima que los problemas relacionados con contraseñas representan entre el 20 % y el 40 % de todas las llamadas al help desk, y que cada reseteo cuesta a las organizaciones unos 70 dólares en tiempo de soporte. En una startup de 50 personas, eso es un gasto que se repite cada mes sin aparecer en ningún dashboard.
El mismo artículo recoge que, según el Data Breach Investigations Report de Verizon de 2023, el 49 % de los incidentes de seguridad involucra contraseñas comprometidas, y que el 84 % de los usuarios admite reutilizar la misma contraseña en varias cuentas. La FIDO Alliance reporta que más de 15.000 millones de cuentas ya soportan passkeys, el doble que en 2023, con Amazon en 175 millones de passkeys creadas y Google en 800 millones de cuentas con passkeys activadas.
¿Qué significa esto para tu startup?
La tabla de Hive funciona mejor como argumento que como cronómetro. Sus cifras sirven para convencer a alguien de que alargue sus contraseñas; leídas al pie de la letra, transmiten una falsa tranquilidad, porque casi nadie usa claves realmente aleatorias. Si tu contraseña la inventaste tú, la columna que te corresponde es la de los tres segundos.
Acciones concretas que puedes implementar esta semana:
- Sube el mínimo a 15 caracteres en tus políticas de acceso. No obligues a mezclar símbolos: el NIST ya prohíbe ese tipo de reglas porque empujan a la gente hacia patrones predecibles. Pide longitud y frases de varias palabras al azar.
- Audita el hash que usa tu backend. Si tu base de datos guarda contraseñas con MD5 o SHA-1, todos los tiempos de la tabla se derrumban. Migrar a bcrypt o Argon2 es una tarea acotada con impacto directo en tu riesgo.
- Despliega un gestor de contraseñas para el equipo. Resuelve dos problemas a la vez: genera claves aleatorias y únicas, y avisa cuando una credencial aparece en una filtración conocida.
- Activa segundo factor o passkeys donde puedas. Si alguien descifra tu contraseña, el segundo factor hace que no le baste para entrar. Google reporta, según Bleeping Computer, una mejora del 30 % en la tasa de éxito de autenticación y un 20 % más de velocidad de inicio de sesión en cuentas que usan passkeys.
Para un founder, la conclusión práctica es simple: la seguridad de tus credenciales no se compra con un símbolo más, se compra con caracteres y con capas. Y cada año que pasa, el atacante necesita menos tiempo y menos dinero para hacer el mismo trabajo.
Fuentes
- Cuánto tarda hoy un atacante en adivinar tu contraseña: lo que dice (y lo que no) la tabla de Hive Systems (fuente original)
- Passwords to passkeys: Staying ISO 27001 compliant in a passwordless era (Bleeping Computer)
¿Y esto cómo se aplica en tu negocio?
En CAR, dueños de empresa de Latinoamérica y España usan la tecnología para ser más rentables. Empiezas con una ruta de 7 días y terminas con un sistema funcionando en tu negocio.
👥 Probar 7 días
